La velocidad con la que evoluciona la inteligencia artificial (IA) ha transformado el panorama de la seguridad digital, facilitando que actividades que anteriormente requerían horas o días de trabajo por parte de ciberdelincuentes experimentados ahora puedan ser ejecutadas en una fracción de ese tiempo. Según advierte ESET, compañía líder en detección proactiva de amenazas, esta situación ha reducido significativamente la barrera de entrada para los criminales informáticos, permitiendo que personas con pocos o ningún conocimiento previo en la materia puedan llevar a cabo ataques efectivos.
Esta democratización del cibercrimen se hace evidente principalmente en tres áreas: la explotación de vulnerabilidades, la generación básica de malware y las tareas de reconocimiento de víctimas. Mario Micucci, investigador de seguridad informática de ESET Latinoamérica, señala que esta modificación en el ecosistema de amenazas debería poner en alerta incluso a los usuarios habituales de internet. El experto advierte que, al volverse los ataques más baratos y fáciles de ejecutar para los estafadores, cualquier persona, independientemente de su perfil, podría convertirse en un objetivo potencial.
Para comprender el impacto de la IA, es necesario analizar cómo operaba el cibercrimen anteriormente. Antes de la aparición de estas herramientas, un adversario debía invertir una cantidad considerable de tiempo en identificar las cuentas públicas de sus objetivos, analizando sus intereses, amistades, familiares y colegas. Este proceso solía requerir el uso de herramientas especializadas o la revisión exhaustiva de innumerables sitios web, perfiles y publicaciones para correlacionar y verificar información. La recopilación de inteligencia de fuentes abiertas, conocida como OSINT (Open Source Intelligence, por sus siglas en inglés), era una práctica reservada generalmente para objetivos de alto perfil y alto valor debido a que exigía habilidades especializadas y una inversión temporal masiva.
En la actualidad, las herramientas de IA han automatizado este proceso. Ahora pueden localizar contenido disponible públicamente en toda la web, vincularlo con posibles víctimas y mapear las relaciones entre estas y otras personas de manera casi instantánea. Estas herramientas son especialmente eficaces para procesar información no estructurada, como imágenes y videos, lo que resulta preocupante ya que los estafadores pueden recopilar datos públicos para diseñar campañas de ingeniería social mucho más convincentes y escalar sus fraudes.
Un ejemplo crítico es la creación de correos electrónicos de phishing altamente personalizados. Un mensaje diseñado para engañar a una víctima y lograr que comparta credenciales o instale malware es mucho más efectivo si incluye datos personales reales, como el lugar de trabajo, la escuela de un hijo o eventos recientes, como vacaciones o cumpleaños. Toda esta información, que antes requería una investigación manual, ahora puede ser recopilada a gran escala mediante IA.
Asimismo, el uso de deepfakes representa una amenaza creciente. Los ciberdelincuentes pueden emplear la suplantación de voz o imagen para convencer a familiares de que un ser querido se encuentra en peligro, solicitando dinero mediante la simulación de secuestros o emergencias. Incluso se han reportado casos en el Reino Unido donde cientos de menores de 18 años fueron víctimas de extorsiones mediante la creación de videos de carácter obsceno generados por IA.
Sobre este punto, Micucci aclara que los modelos de lenguaje de gran escala (LLM) son sumamente eficaces para reunir la información necesaria para que los fraudes funcionen. Estos modelos pueden perfilar grandes cantidades de víctimas en poco tiempo y ayudar a diseñar guiones de ingeniería social que suenen convincentes, incluso cuando el atacante no es hablante nativo del idioma en el que se realiza el fraude.
Otro desafío reside en la permanencia de los datos. Una vez que la información personal llega al dominio público, es sumamente difícil solicitar su eliminación total, ya que puede haber sido republicada en diversos sitios. Aunque borrar fotografías antiguas en redes sociales es posible, pocas personas dedican el tiempo necesario para revisar su vida digital completa en busca de datos útiles para un criminal.
Ante este escenario, ESET recomienda a los usuarios centrarse en las medidas de prevención que están a su alcance. En primer lugar, es fundamental asegurar que los perfiles en redes sociales no sean públicos para limitar la capacidad de la IA de extraer información. Se aconseja ser extremadamente cautelosos con los datos compartidos, manteniendo en privado fechas de nacimiento, centros educativos de los hijos y eventos personales.
Además, se advierte que las fotografías pueden revelar direcciones o datos de vehículos, por lo que se recomienda evitar publicar contenido que vincule la vida personal con la profesional. En cuanto a la seguridad técnica, ESET sugiere el uso de autenticación multifactor (MFA) y contraseñas robustas y únicas. Finalmente, se recomienda no aceptar solicitudes de amistad de desconocidos y, en caso de duda, contactar a la persona a través de un canal independiente.
Mario Micucci concluye que, si bien la IA mejora muchos aspectos de la vida cotidiana, también introduce riesgos de los que apenas se está tomando conciencia. La cautela es la mejor estrategia, actuando bajo la premisa de que cualquier publicación podría ser procesada por sistemas de IA, extendiendo esta conciencia también a familiares y amigos.
