(CHILE) En plena era digital, la suplantación de identidad se ha convertido en un riesgo crítico para las organizaciones. Las personas siguen cayendo en engaños cotidianos debido a una falta de cultura de seguridad, pero la amenaza ha evolucionado: el phishing tradicional mediante ingeniería social ahora cuenta con el respaldo de la IA.
Jimmy Ulloa, arquitecto de ciberseguridad de Coasin Logicalis, advierte sobre los riesgos de la suplantación de identidad mediante inteligencia artificial. “Las herramientas de IA pueden facilitar la creación de imitaciones de voz e imagen a partir de material disponible públicamente, como entrevistas, fotografías y videos de ejecutivos. Esto es aprovechado por los ciberdelincuentes para hacerse pasar por directivos o personas de confianza para solicitar transferencias de dinero o información sensible. Por eso, las empresas no deben basar la validación de identidad únicamente en reconocer una voz o una imagen”.
Una vez que obtienen información suficiente sobre su objetivo, los ciberdelincuentes pueden recurrir a correos electrónicos fraudulentos, técnicas de suplantación de remitentes (email spoofing) o videollamadas en las que utilizan imágenes y voces generadas o manipuladas mediante IA. Frente a esto, la antigua validación visual o auditiva queda obsoleta. En reuniones de alto riesgo, los equipos deben estar entrenados para detectar suplantaciones, prestando atención a voces robóticas, movimientos erráticos o anomalías en la iluminación del rostro. En esto, la defensa principal es una estrategia de cero confianza (zero trust).
“Ninguna organización está completamente exenta del riesgo de suplantación, independientemente de su tamaño o prestigio. Por eso, es fundamental combinar controles tecnológicos con medidas organizativas, como la segregación de funciones, la autenticación multifactor (MFA) y procedimientos de autorización para operaciones sensibles. Una solicitud urgente de transferencia de dinero o acceso a información confidencial debe pasar por verificaciones adicionales, independientemente del cargo de quien la solicite”, explica Ulloa.
La gestión de estos riesgos no es solo una cuestión técnica, sino también de gobierno corporativo y cumplimiento normativo. “La ciberseguridad es transversal, por ende, un CISO no puede gestionar por sí solo los riesgos específicos de todas las áreas de una organización. Hay que establecer un comité de riesgo con representantes designados de cada área, que aporten su conocimiento, identifiquen riesgos y participen en la definición y seguimiento de las medidas de control. La responsabilidad debe ser compartida, con funciones y mecanismos claros”, precisa Ulloa.
Este enfoque contribuye a fortalecer la gestión de los riesgos y se relaciona con los objetivos de la Ley Marco de Ciberseguridad N.º 21.663, cuyas obligaciones deben aplicarse según el ámbito y las condiciones que correspondan a cada entidad.
“El factor humano sigue siendo un componente clave en la prevención de los ataques de ingeniería social. Los ciberdelincuentes suelen aprovechar factores como la urgencia, el estrés, la presión jerárquica y la exigencia de mantener ciertas gestiones en secreto. Estas condiciones pueden generar tensión y reducir el tiempo que una persona dedica a evaluar una solicitud, aumentando la probabilidad de que actúe sin verificar su legitimidad”, sentencia Ulloa.
Ante una solicitud inusual de transferencia de dinero o entrega de información sensible que supuestamente provenga de una jefatura, la recomendación es detenerse y verificar. Esto implica no continuar la gestión por el mismo canal, contactar a la persona mediante un número o medio de comunicación previamente validado y seguir los procedimientos internos de autorización antes de ejecutar la solicitud.
