Confiar ya no es suficiente
Hace unos días me escribió Enrique Hernández Alcázar, con quien colaboro en W Radio. Me mandó una captura y una pregunta corta: “¿esto es fraude?”
Era un DM de alguien que conoce. Periodista, cuenta real, gente de la industria. El mensaje pedía votar por él en una competencia para copresentar un evento de Spotify y Google, con un enlace tipo: economic.liveblog365.com. Nada fuera de lo común. Así se ven ahora los mensajes de “apóyame” que todos hemos reenviado alguna vez por un conocido.
El problema es que no era su conocido. Era su nombre, su foto, su forma de escribir. Pero no era él quien estaba del otro lado.
La cosa es esta: Enrique no es ingenuo, tiene el radar entrenado. Y aun así dudó lo suficiente como para preguntarme antes de dar clic. Esa duda ya no la podemos dar por hecho en nadie más.
Del otro lado también hay objetivos que cumplir
Los criminales también tienen KPIs. Suena a frase ingeniosa, pero es literalmente lo que está documentado en la disciplina que ahora se conoce como pentesting autodidáctico: sistemas de IA que no solo ejecutan un ataque, sino que observan el entorno, prueban una hipótesis, aprenden del resultado y deciden el siguiente paso solos, sosteniendo un objetivo a lo largo de varias etapas sin que un humano tenga que intervenir a cada rato, según describe el análisis del Foro Económico Mundial que consulté sobre el tema.
Un deepfake en una firma de contrato o en un examen de admisión no es un truco aislado. Es la misma lógica aplicada a un objetivo específico: encontrar el punto exacto donde tu verificación es débil, y explotarlo con paciencia.
La defensa también está atrapada
Aquí hay un dato que me parece más incómodo que el engaño mismo. Según cifras citadas en ese mismo análisis, el 76% de los equipos que despliegan tecnología ya manda cambios significativos a producción cada semana o con más frecuencia, pero solo el 21% valida la seguridad en cada uno de esos cambios. Y el 48% admite que sus hallazgos de seguridad ya están obsoletos para cuando por fin los revisan.
No es falta de voluntad. Es que la velocidad con la que se generan estos riesgos ya superó la velocidad con la que los estamos revisando. Y el 76% de esos mismos equipos ha tenido que detener o revertir algo impulsado por IA en el último año por una preocupación de seguridad — cifra que sube a 98% entre quienes despliegan varias veces al día.
No es solo de TI, es cultura de datos
Aquí es donde más me detengo cuando hablo con empresas: esto no se le puede dejar únicamente al equipo de tecnología. Ya traen encima un reto enorme solo cubriendo su propia infraestructura.
Un deepfake en una firma de contrato no entra por un servidor. Entra por una videollamada, por un documento que alguien aprobó porque “se veía real”.
Eso significa que proteger los datos, la privacidad y la identidad de las personas dentro de una organización no es un tema que se resuelve con un manual de políticas que nadie lee. Es una cultura que tiene que vivir en cada persona, sin importar el puesto, porque cualquiera puede ser el punto de entrada. Escribí sobre un caso relacionado, con más detalle, en una columna sobre si este tipo de mensajes son fraude.
El consejo no pedido de hoy
La próxima vez que un proceso importante dependa de “ver” o “escuchar” a alguien para validarlo —una firma en video, una entrevista, un examen— no confíes solo en lo que percibes. Agrega una segunda verificación que no dependa de imagen ni voz: una pregunta que solo esa persona pueda responder, una confirmación por otro canal, una firma presencial cuando el riesgo lo amerite.
¿Cuántos procesos en tu empresa hoy dependen únicamente de que alguien “se vea” o “se escuche” como quien dice ser?
