Fraude del CEO con inteligencia artificial: sin señales de alarma, la defensa son los procesos

Nuestro compañero Yobany Barbosa, responsable del área de ciberseguridad de Var Group Andorra, lo explicó sin rodeos el 6 de octubre: las pistas que antes delataban el fraude del CEO ya no existen. Lo contó en ACTINN&Talks, el espacio de divulgación del clúster andorrano de la tecnología y la innovación.

El fraude del CEO consiste en hacerse pasar por una persona con capacidad de decisión dentro de una organización. El objetivo suele ser que alguien de la empresa haga una transferencia a una cuenta fraudulenta. Hasta hace poco había detalles que hacían sospechar. Ahora, con la inteligencia artificial, el engaño es mucho más difícil de detectar.

«Antes había unos indicadores que nos permitían decir que esto parecía fraudulento, pero estos indicadores ya no existen, porque la inteligencia artificial lo hace perfectamente», explica Yobany. «La IA ha ganado terreno en este tipo de fraude tanto por su eficacia como por el bajo coste que representa para los atacantes».

Y no hace falta mucho material para montar la suplantación: «con muy poca información de internet, por ejemplo, su voz y su imagen publicadas en redes sociales o en páginas web, ya basta para que una inteligencia artificial lo procese todo y construya un relato detrás del intento de fraude».

También pasa en Andorra

Yobany contó que en Andorra ya se han detectado casos, y que WhatsApp es una de las vías más utilizadas. «Se han dado situaciones en las que los atacantes han recurrido a la reproducción de la voz o de la imagen de la persona suplantada mediante deepfakes. Estos intentos pueden llegar a derivar en transferencias de dinero que, una vez cometido el fraude, se mueven entre entidades bancarias de diferentes países para dificultar su rastreo y recuperación».

La defensa está en los procesos

Para prevenirlo, lo decisivo es que la organización sepa verificar quién le pide qué y cuándo algo se sale de lo normal. «No se trata de tecnología o de herramientas a utilizar. Se trata de procesos y de cómo saber cuándo se rompen dichos procesos dentro de una organización».

Su recomendación para cualquier empresa:

• Un protocolo para verificar la identidad de quien pide una operación antes de ejecutarla.
• Que ese protocolo esté comunicado y documentado.
• Formación para el equipo, especialmente para quienes intervienen en operaciones financieras.

Le puede pasar a cualquier empresa

La sesión la condujo Nacho Martín, director de ACTINN, que insistió en que este fraude puede afectar a organizaciones de cualquier tamaño: «Alguien te llama como si fuera tu CEO, tu director financiero, para que hagas una transferencia de miles de euros para realizar un pago a un proveedor. Son capaces, a partir de captar tu voz, de reproducirla y hacer que una persona que sabe cómo es esa voz incluso caiga en la trampa».

¿Quieres revisar cómo está preparada tu empresa? Habla con nuestro equipo de ciberseguridad.