La IA pone en jaque a las multinacionales españolas con ciberataques más sofisticados que nunca

Los 'deepfakes' y otras técnicas de IA como imitación de voz se usan para engañar con mensajes falsos. Checkpoint ha detectado 'deepfakes' en un tercio de las campañas electorales analizadas. Pero no es solo una cuestión de ataques a empresas con interés político, sino a cualquier compañía que pueda generar un impacto económico a los ciberdelincuentes al vender los datos de los clientes de una gran empresa -como ha ocurrido en los últimos casos de Iberdrola, Santander, Telefónica o incluso la DGT-.

«Con el avance de la IA se están creando vulnerabilidades porque se tiene menos control sobre los sistemas. Se crean dependencias de otras empresas y tecnologías que son difíciles de asegurar», explica Lorena Jaume-Palasi, investigadora independiente y vocal del consejo asesor del parlamento europeo y del Instituto Max Planck de sistemas inteligentes. Por ello, defiende que el personal tiene que estar entrenado para no caer en trampas de ingeniería social de la IA generativa y reconocer que «no todas las compañías pueden ofrecer soluciones de IA porque hace falta mucha infraestructura con un coste, como la seguridad».

Más allá de técnicas de 'deepfake', los 'hackers' también son capaces de acceder a sistemas complejos de seguridad de grandes empresas porque utilizan la técnica de «ataques por fuerza bruta», es decir, probando millones de contraseñas de acceso en un solo segundo hasta que dan con ella. Una solución podría ser el reconocimiento biométrico, pero Jaume-Palasi reconoce que estos sistemas «fallan bastante» y añaden una complejidad al sistema que hace que se vuelva a perder el control de la situación. Por ello, a su juicio es mejor invertir en métodos más clásicos pero haciéndolos más sofisticados y entrenar a los trabajadores.

La opinión de los expertos consultados es que se está «abusando» del uso de ChatGPT en cualquier ámbito empresarial, lo que puede tener consecuencias a nivel de seguridad muy negativas. Es más, Cristina Muñoz-Aycuens, directora de Forensic de Grant Thornton, asegura que hay incluso dos ChatGPT específicos para defraudar, unas alternativas maliciosas denominadas 'FraudGPT' y 'WormGPT' que aprovechan las vulnerabilidades de empresas y empleados.

«Hay que tener en cuenta que la IA se alimenta de algún sitio, y si se usa de forma abusiva ChatGPT puede ser que empiece a alimentarse de códigos maliciosos que pueden ejecutar 'malware' en nuestro sistema», explica Muñoz-Aycuens, que asegura que ChatGPT se está usando principalmente para generar 'fake news', ataques de 'phishing', robo de identidad, desarrollo de 'malware', automatización de procesos ofensivos y chats maliciosos.

Una nueva era en la que ya estamos inmersos y que los expertos denominan «carrera armamentística cibernética» por el impacto de la IA tanto para los profesionales de la ciberseguridad como para los adversarios. Zeki Turedi, director de Tecnología en CrowdStrike Europa, advierte de que las empresas «no pueden permitirse el lujo de quedarse atrás». «La tecnología heredada de ayer no puede competir con la velocidad y la sofisticación del adversario moderno», asegura el experto en ciberseguridad.

Como los ciberdelincuentes no paran de innovar, cada día se crean medios más rápidos y eficaces para acceder a los sistemas de las grandes empresas. Datos de CrowdStrike revelan que la actividad libre de 'malware' representó el 75% de las detecciones de accesos no deseados el año pasado, cuatro puntos más que en 2022. «La IA generativa ha popularizado enormemente la tecnología para mejorar las operaciones de los adversarios, pero también está reduciendo la barrera de entrada a las amenazas para los actores menos sofisticados», destaca Turedi.