Una voz familiar en el teléfono, un rostro familiar en una videoconferencia… y, sin embargo, nada humano detrás. Con los deepfakes, los ciberataques ya no solo tienen como objetivo los cortafuegos, sino que manipulan los reflejos, las emociones y la automatización para forzar el acceso a los sistemas mejor protegidos.
Los deepfakes, estas tecnologías sintéticas de generación de audio y vídeo, han alcanzado un umbral crítico. ahora son herramientas totalmente integradas en las tácticas de ciberataque. Este cambio representa más que una evolución tecnológica; marca una transformación en la que la propia percepción humana se ha convertido en una superficie de ataque. Reconocer una voz o un rostro familiar ya no es garantía de autenticidad.
Como resultado, las empresas enfrentan una amenaza que depende menos de habilidades técnicas brutas que de la manipulación sutil del comportamiento humano. Voces clonadas y vídeos manipulados se utilizan ahora en campañas de fraude para simular comunicaciones reales, engañando incluso a los empleados más cautelosos. 24 millones de euros es la cantidad que transfirió un empleado de una multinacional de Hong Kong tras ser engañado por un deepfake en febrero de 2024. La estafa tuvo éxito porque todo parecía auténtico: el acento, el ritmo, el tono… La amplia disponibilidad de estas herramientas, gracias a su bajo coste y accesibilidad, está acelerando la industrialización de este tipo de ataques.
La amenaza tecnológica que explota nuestros defectos humanos
Los ataques simulados llevados a cabo contra organizaciones globales muestran que los deepfakes ya no son una suposición futurista, sino, por el contrario, una realidad bien establecida.
Los deepfakes explotan una vulnerabilidad poco prevista en la ciberseguridad: nuestra confianza innata en las interacciones humanas. Los casos de uso son numerosos: voces clonadas que imitan las de altos ejecutivos o vídeos generados a partir de contenido público se integran en escenarios creíbles para engañar a empleados experimentados. Más allá de su sofisticación técnica, es la industrialización de estas prácticas lo que debería alarmarnos.
La clonación de voz ahora requiere sólo unos segundos de grabación de audio accesible públicamente, a menudo disponible a través de plataformas públicas como YouTube o TikTok, lo que permite generar voces artificiales en instantes, con pocos recursos. Luego, estas voces se utilizan en campañas automatizadas. Estos incluyen llamadas telefónicas masivas realizadas por agentes conversacionales que reproducen una interacción humana convincente. Por lo tanto, el vector de ataque a los sistemas de TI se desplaza hacia el comportamiento humano, explotando la confianza, la urgencia y el reconocimiento de voz.
Identidad: la nueva superficie de ataque
Dadas las recientes infracciones, incluidas las que afectan a Marks & Spencer y Jaguar Land Rover, estamos viendo un cambio notable en el comportamiento de los piratas informáticos. Los adversarios ya no “hackean”, simplemente “se conectan”. Obtienen credenciales válidas a través de campañas de phishing, vishing e ingeniería social y luego las utilizan para operar sin el conocimiento de las defensas tradicionales. Los deepfakes ahora amplían este patrón al permitir el robo y la imitación de la identidad misma. Una voz clonada o un rostro generado por IA pueden sortear el escepticismo y convencer a los empleados de que están interactuando con un colega o ejecutivo de confianza.
La identidad se ha convertido en la principal moneda de acceso. A medida que las organizaciones fortalecen sus controles técnicos, los piratas informáticos explotan cada vez más la confianza humana como el medio de acceso más fácil. Esta convergencia entre la ingeniería social y el robo de identidad impulsado por la IA significa que la próxima ola de ataques no solo apuntará a las vulnerabilidades de los sistemas de TI, sino también a las personas.
Conciencia, duda, verificación: la nueva defensa digital
La mayoría de las organizaciones han centrado sus esfuerzos de ciberseguridad en proteger sistemas y datos. Sin embargo, en el caso de los deepfakes, son los humanos quienes se convierten en el punto de entrada. Estos ataques explotan una falla importante de la ciberseguridad actual: la ausencia de reflejos de verificación en las comunicaciones de voz y video. Si bien la mayoría de las organizaciones realizan campañas de concientización sobre phishing por correo electrónico, la concientización sobre los deepfakes sigue siendo mínima. Pero, a diferencia del phishing, que ahora es bien conocido, las llamadas o videoconferencias falsificadas siguen estando en gran medida subestimadas. El realismo de los deepfakes, especialmente en situaciones estresantes o de emergencia, oculta las señales sutiles que podrían desencadenar la alerta.
Entonces, ¿cómo se identifican estos deepfakes? Detectando pequeñas incoherencias como retrasos o un habla ligeramente robótica, señales que son fáciles de pasar por alto en un día ajetreado. Las organizaciones deben implementar prácticas de verificación que vayan más allá de los controles técnicos. Esto incluye preguntas contextuales que sólo conocen los colegas legítimos, respuestas que cambian periódicamente (por ejemplo, «¿Cuándo nos vimos por última vez?») o confirmación a través de canales secundarios. “Confiar, pero verificar” ha sido durante mucho tiempo el lema de la ciberseguridad, pero los ataques basados en identidad, como los deepfakes, lo hacen más relevante que nunca.
Por lo tanto, el alcance del equipo ya no puede limitarse a correos electrónicos. Debe incluir estos nuevos escenarios, capacitar a los empleados para que reconozcan la manipulación y promover una cultura de verificación sistemática. La confianza ya no debería ser implícita, incluso cuando parezca natural.
La amenaza de los deepfakes es real y ya no puede verse como una curiosidad tecnológica o un riesgo marginal. Pone en duda fundamentalmente la forma en que las empresas gestionan la confianza, la trazabilidad de las decisiones y la seguridad de las comunicaciones. Las organizaciones deben integrar estas preocupaciones en su gobernanza: simulaciones de crisis, protocolos de verificación, canales de información redundantes y formación continua. Más que una respuesta tecnológica, esto requiere un enfoque organizacional, cognitivo y cultural. Frente a una ilusión digital que se basa en la familiaridad, sólo la vigilancia activa puede evitar que ocurra el próximo ataque… a través de la voz del CEO.
____________________________
Por Ben Jacob, líder tecnológico en EMEA, Sophos Red Team en Sophos
[
