Cómo la IA facilita la recopilación de información para fraudes: cualquiera puede ser un objetivo

La velocidad a la que evoluciona la inteligencia artificial implica que actividades que antes requerían varias horas o incluso días de trabajo de un ciberdelincuente experimentado ahora pueden realizarse en una fracción de ese tiempo por alguien con pocos o ningún conocimiento previo. ESET, compañía líder en detección proactiva de amenazas, asegura que esto reduce la barrera de entrada para los ciberdelincuentes y que esto se observa en la explotación de vulnerabilidades, en la generación básica de malware y en las tareas de reconocimiento de víctimas.

“Esta modificación debería poner en alerta incluso a los usuarios habituales de internet. Si los ataques se vuelven más baratos y fáciles de ejecutar para los estafadores, cualquiera podría convertirse en un objetivo.”, comenta Mario Micucci, Investigador de Seguridad Informática de ESET Latinoamérica.

Antes de la aparición de la IA, un adversario debía invertir tiempo en identificar las cuentas públicas de sus objetivos, sus intereses, amistades, familiares y colegas. También podía necesitar herramientas especializadas o revisar innumerables sitios web, perfiles y publicaciones, correlacionando y verificando información, estableciendo relaciones entre individuos y determinando qué elementos podrían utilizarse en un ataque. La recopilación de inteligencia de fuentes abiertas (OSINT, por sus siglas en inglés) solía ser una práctica reservada para objetivos de alto perfil y potencialmente de alto valor, ya que requería habilidades especializadas y mucho tiempo.

Las herramientas de IA pueden localizar contenido disponible públicamente en toda la web, vincularlo con posibles víctimas y mapear las relaciones entre estas y otras personas. Lo que las hace especialmente eficaces para encontrar información no estructurada, en particular imágenes y videos. Esta realidad resulta preocupante ya que los estafadores pueden recopilar fácilmente información pública sobre una persona para hacer más convincentes las campañas de ingeniería social y escalar sus fraudes. Por ejemplo:

Un correo electrónico de phishing diseñado para engañar a la víctima y hacer que comparta sus credenciales o haga clic en un enlace que instale malware sin darse cuenta. Este mensaje sería mucho más convincente si incluyera datos personales como el lugar de trabajo, la escuela de un hijo, un evento reciente al que asistió la víctima, como un cumpleaños o unas vacaciones recientes. Toda esa información puede encontrarse en el dominio público y recopilarse fácilmente a gran escala.
Un video o una llamada telefónica que suplante la voz o la imagen de una persona podría utilizarse para convencer a un familiar o ser querido de que esta se encuentra en peligro. Los ciberdelincuentes pueden emplear deepfakes para solicitar dinero utilizando la “voz” de la víctima o para simular un secuestro y exigir el pago de un rescate para garantizar su seguridad. Incluso utilizar un deepfake para crear un video de carácter obsceno y amenazar con compartirlo no se les paga. En el Reino Unido, cientos de menores de 18 años reportaron haber sido víctimas de este delito.

“Los modelos de lenguaje de gran escala (LLM) son eficaces para reunir el tipo de información que los estafadores necesitan para que sus fraudes funcionen. Pueden perfilar grandes cantidades de posibles víctimas en poco tiempo, recopilando imágenes, videos e información personal, de trabajo, familiares y amigos que puede utilizarse con fines maliciosos. La IA también puede ayudar a diseñar los guiones de ingeniería social, permitiéndoles sonar convincentes a través del correo electrónico, las redes sociales u otros canales, incluso cuando no son hablantes nativos del idioma.”, aclara Micucci.

Una vez que la información personal se encuentra en el dominio público, resulta difícil solicitar su eliminación, especialmente porque es posible que haya sido republicada en otros lugares. Las fotografías antiguas en redes sociales suelen ser más fáciles de eliminar, pero pocas personas tienen el tiempo necesario para revisar toda su vida digital en busca de información potencialmente útil para los ciberdelincuentes.

Por ello, ESET recomienda centrarse en aquello que sí está al alcance de cada usuario y comparte las siguientes recomendaciones:

Asegurarse de que los perfiles en redes sociales no sean accesibles públicamente, para limitar la capacidad de la IA de encontrar información, imágenes o videos contenidos en ellos.
Ser cuidadoso con la información que se comparte en redes sociales. Datos como fechas de nacimiento, a qué escuela asisten los hijos, vacaciones y eventos similares deberían mantenerse en privado.
Tener presente que las fotografías pueden contener información que permita identificar direcciones, datos de vehículos u otros detalles sensibles.
Evitar publicar contenido que pueda utilizarse para vincular la vida personal con la vida profesional.
Utilizar autenticación multifactor (MFA) y contraseñas robustas y únicas para añadir una capa adicional de seguridad a las cuentas.
No aceptar solicitudes de amistad o seguimiento de personas que no se conoce. Si se tienen dudas o curiosidad, contactar primero a esa persona a través de otro canal independiente.

“La IA está mejorando muchos aspectos de nuestras vidas. Sin embargo, también trae consigo riesgos de los que apenas estamos comenzando a tomar conciencia. La cautela sigue siendo la mejor estrategia. Conviene actuar bajo la premisa de que cualquier cosa que publiques podría ser leída y procesada por sistemas de IA. Actúa en consecuencia y anima también a familiares y amigos a hacer lo mismo.”, concluye Micucci de ESET Latinoamérica.