Deepfaking: la nueva frontera de la ciberseguridad

Desde hacerse pasar por un alto ejecutivo hasta abrir cuentas bancarias para blanquear dinero, el fraude por suplantación de identidad se está convirtiendo en un problema creciente y plantea verdaderos retos a las empresas.
‍

Los "deepfakes" -manipulaciones realistas de vídeo o audio que parecen mostrar a personas reales- han pasado de la ciencia ficción a la realidad y han disparado su popularidad en el último año, con algunos creados simplemente como bromas y otros para difundir desinformación maliciosa. Los deepfakes que ocupan los titulares suelen ser los que representan a famosos y políticos, pero también plantean amenazas reales a empresas y particulares cuando se utilizan con fines fraudulentos, como robos importantes, pérdida de ingresos y daños a la marca.
‍

Emma Woollacott (escritor para Forbes, Private Eye y la BBC), ofrece una visión detallada de los problemas derivados de esta tecnología emergente en este extracto del Times Informe sobre identidad digital 2021...
‍‍

La amenaza del deepfake para las empresas

‍
El uso de tecnologías de vídeo y audio "deepfake" podría convertirse en una importante ciberamenaza para las empresas en los próximos dos años, según advierte la empresa de análisis de ciberriesgos CyberCube en un reciente informe.
‍

Imagina un escenario en el que un vídeo de Elon Musk dando consejos sobre información privilegiada se hace viral, sólo que no es el verdadero Elon Musk. O un político anuncia una nueva política en un videoclip, pero una vez más no es real", afirma Darren Thomson, responsable de estrategia de ciberseguridad de CyberCube.
‍

Ya hemos visto estos vídeos falsos utilizados en campañas políticas; es sólo cuestión de tiempo que los delincuentes apliquen la misma técnica a empresas y particulares adinerados. Podría ser algo tan sencillo como un mensaje de voz falso de un alto directivo dando instrucciones al personal para que realice un pago fraudulento o transfiera fondos a una cuenta creada por un hacker".

De hecho, este tipo de ataques ya están empezando a producirse. En un ejemplo muy sonado en 2019, los estafadores utilizaron un software de inteligencia artificial generador de voz para fingir una llamada del consejero delegado de una empresa alemana a su homólogo en una filial del Reino Unido. Engañado, el consejero delegado británico autorizó debidamente un pago de $243.000 a los estafadores.
‍

Lo que estamos viendo es que este tipo de ataques se utiliza cada vez más. No son demasiado sofisticados, pero la cantidad de dinero que intentan estafar es bastante elevada", afirma Bharat Mistry, director técnico de Trend Micro para el Reino Unido e Irlanda.
‍

Estaba con un cliente en el Reino Unido y me dijo que había recibido un mensaje de voz del Director de Información pidiéndole que hiciera algo. Sin embargo, sabía que el director de informática de la organización estaba de vacaciones y nunca le habría llamado. No había ningún factor distintivo, así que ya ves lo inteligente que es".
‍

Los ataques de este tipo siguen el mismo patrón que las estafas tradicionales que ponen en peligro el correo electrónico de las empresas, pero con una sofisticación mucho mayor.
‍

Hemos visto todas estas tecnologías en la nube, cosas como la analítica, el aprendizaje automático y la inteligencia artificial, y los deepfakes no son más que una extensión de esa tecnología, que se utiliza de forma abusiva", afirma Mistry.
‍

‍

Creación de cuentas fraudulentas

‍
Otro tipo emergente de fraude "deepfake" es la creación fraudulenta de cuentas, ya sean bancarias, de cambio de divisas o de acciones. La delincuencia organizada puede utilizarlas para blanquear dinero. Y con la llegada de la pandemia de coronavirus, lo que antes era un cambio gradual hacia la creación de cuentas a distancia se ha acelerado masivamente, junto con el potencial de fraude.
‍

La apertura de una cuenta a distancia suele implicar un proceso de dos pasos: en primer lugar, facilitar un documento de identidad escaneado y, a continuación, presentar un selfie. El selfie suele generarse pidiendo al solicitante que grabe un vídeo en el que recite palabras o números, o quizá mediante una breve entrevista en vídeo con un agente.
‍

Obviamente, hasta ahora ha sido una buena forma de protegerse contra el fraude, pero ahora los estafadores pueden falsificar su identidad para parecer víctimas inocentes", afirma Bud.
‍

Pueden haber robado o copiado los documentos de una víctima inocente de alguna fuente, y entonces todo lo que necesitan hacer es deepfake la cara de la víctima en su cara y llevar a cabo la entrevista con el agente, y el agente nunca será el más sabio ".
‍

En un informe publicado a finales del año pasado, la empresa de verificación de identidad Jumio descubrió que las tasas de fraude basado en selfies eran cinco veces superiores a las de fraude basado en el DNI y especialmente frecuentes cuando los usuarios pueden subir sus propias imágenes de DNI. Esto significa que los estafadores pueden manipular un documento de identidad legítimo o utilizar una imagen de un documento de identidad encontrado en la web oscura o en una búsqueda en Google Imágenes.
‍

Las instituciones financieras se están dando cuenta del riesgo. En una encuesta realizada para iProov, tres cuartas partes de los expertos en ciberseguridad del sector financiero afirmaron estar preocupados por el fraude deepfake y casi dos tercios dijeron que esperaban que la amenaza empeorara.
‍

Bancos como ING, Rabobank en los Países Bajos, Standard Bank en Sudáfrica y el gobierno de Singapur, que abastece al sector de servicios financieros, son conscientes de la amenaza de los deepfakes y están tomando medidas proactivas", afirma Bud.
‍

Sin embargo, sólo el 28% de los encuestados afirmó haber puesto en marcha planes de protección contra las falsificaciones, y el 41% tenía previsto hacerlo en los próximos dos años. Otra encuesta entre clientes bancarios reveló que la mayoría no se preocupaba por el fraude de deepfakes, por lo que introducir medidas de seguridad adicionales puede resultar problemático.
‍

Hay una gran diferencia entre cuánto creen los expertos en ciberseguridad que le importa a la gente y cuánto le importa en realidad, y eso se convierte en un problema en cuanto intentan aplicar medidas intrusivas", afirma Bud.
‍

'Existe el riesgo de que si se protegen contra los deepfakes de forma que repercuta en la experiencia del cliente, se les oponga una resistencia inmediata.'

‍

Protección fiable sin roces: IDlayr

‍
Evite las amenazas de deepfake utilizando una solución de autenticación fiable, basada en la posesión e invisible para los usuarios. IDlayr puede ayudarle a implementar la verificación móvil basada en la tarjeta SIM, que no puede duplicarse ni falsificarse.
‍

Nuestra gama de productos basados en API le permite implantar de forma rápida y sencilla una autenticación de usuarios móvil determinista, segura y sin fricciones, reduciendo el fraude y ayudándole a aumentar los ingresos móviles.

‍