Antes de la COVID-19, los estafadores normalmente operaban durante una semana laboral estándar, activos de 9 a. m. a 5 p. m. y cerrados los fines de semana. Luego, durante la pandemia, el fraude comenzó a aumentar durante las horas de menor actividad, incluidas las noches y los fines de semana.
Esto sugiere que los estafadores comenzaron a atacar deliberadamente a las empresas cuando el personal no estaba operando los sistemas, o que comenzaron a verlo como una actividad oportunista o recreativa.
Hoy, el patrón se ha vuelto a invertir. En una era digital en constante crecimiento, las herramientas asistidas por IA no solo están automatizando procesos para los delincuentes, permitiéndoles escalar rápidamente sus operaciones, sino que también están haciendo que el fraude sea más barato y más difícil de detectar. El fraude se ha convertido ahora en una amenaza “siempre activa” que fluye como el agua, buscando grietas que explotar.
Gerente Senior Especialista en Fraude en Entrust.
Aún así, los últimos vectores de ataque de IA también se han vuelto algo confusos para las empresas. Los métodos simples y de baja tecnología aún sobreviven, pero se han convertido en un punto ciego de seguridad para muchas empresas.
El enfoque en resolver problemas de alta tecnología ha desviado la atención de los problemas de baja tecnología, creando una nueva vulnerabilidad para ataques tempranos. La clave es aprender a combatir los ataques basados en la identidad impulsados por la IA y, al mismo tiempo, cerrar las brechas que permiten que los primeros intentos de fraude pasen desapercibidos.
En última instancia, esto significa aplicar un conjunto más amplio de capas (verificación de identidad, autenticación biométrica, detección de vida y más) para capturar un espectro diverso de ataques.
La nueva cara del fraude
El fraude moderno está coordinado y deliberadamente se hace pasar por usuarios y dispositivos legítimos para evitar la detección.
Las redes de fraude ahora utilizan la automatización y la emulación de dispositivos para ejecutar ataques de gran volumen. Pero en lugar de lanzar cientos de aplicaciones fraudulentas a la vez, los atacantes envían lotes más pequeños con el tiempo, lo que les permite desaparecer antes de que se detecten los problemas.
También vemos un ligero aumento en la actividad fraudulenta entre las 2 y las 4 a.m. Esto sugiere una coordinación deliberada, donde los atacantes aprovechan los momentos en los que es menos probable que tanto los usuarios como los equipos de seguridad respondan rápidamente. Esto crea una gran ventana para que las identidades comprometidas sean explotadas antes de que pueda ocurrir la detección y corrección.
Los estafadores también explotan cada vez más el comportamiento humano. Existe una tendencia al alza en el phishing, la suplantación de identidad y las estafas románticas, y cada técnica apunta a una vulnerabilidad diferente, ya sea confianza, apego emocional o incluso agotamiento. La policía de Thames Valley ha advertido que los estafadores románticos mantienen deliberadamente a las víctimas hablando hasta altas horas de la noche, utilizando la fatiga para subvertir el juicio.
Sin embargo, las empresas han tardado en adaptarse a la nueva cara del fraude. A medida que los usuarios modernos exigen velocidad y simplicidad, las empresas continúan realizando cambios en la UX que reducen la fricción durante momentos críticos como la incorporación.
Pero en muchos casos se ha convertido en el talón de Aquiles. Muchas organizaciones están optimizadas para minimizar la fricción del usuario sin equilibrar la seguridad continua. Establecen controles automatizados que no son rival para los estafadores que explotan el comportamiento humano y operan deliberadamente por debajo de los umbrales de detección.
Dos cambios de seguridad están teniendo un impacto importante en el fortalecimiento de las defensas contra estos ataques. En primer lugar, métodos de seguridad más adaptables que detectan señales de ingeniería social a través de señales conductuales y contextuales, por ejemplo. En segundo lugar, introducir controles de identidad más variados e impredecibles que hagan mucho más difícil para los atacantes confiar en técnicas automatizadas o programadas.
Los enfoques proactivos, como los equipos rojos o los ejercicios de simulación de fraude, pueden ayudar a las organizaciones a identificar vulnerabilidades antes de que sean explotadas.
La IA ha hecho que el fraude sea más barato, pero no más inteligente
A partir de 2019, la IA se utilizó para imitar la voz de un director ejecutivo con fines de explotación financiera. La tecnología Deepfake AI ha recorrido un largo camino desde entonces. Los ataques de inyección, en los que medios manipulados o sintéticos se introducen directamente en los sistemas para evitar las cámaras, aumentarán un 40 % en 2025 en comparación con 2024, y los deepfakes representan ahora uno de cada cinco intentos de fraude biométrico.
Porque la IA ha ayudado a mercantilizar el fraude a gran escala. Las herramientas asistidas por IA han reducido la barrera de entrada, poniéndola a disposición de cualquier persona con acceso a una computadora portátil y una tarjeta de crédito.
Las plataformas de fraude como servicio venden kits creados, volcados de credenciales, deepfakes y datos robados en línea. Esta es una de las razones por las que el fraude digital, a menudo creado utilizando modelos de código abierto, representa ahora el 35% de todos los envíos de documentos fraudulentos.
A medida que estas técnicas se estandarizan y están ampliamente disponibles, las verificaciones de identidad estáticas (como las selfies) ya no son suficientes. Una identidad que parece válida en el momento de la incorporación puede verse comprometida posteriormente, lo que requiere que las organizaciones verifiquen continuamente la confianza en lugar de tratar la identidad como un evento único.
Sin embargo, los métodos de baja tecnología todavía tienen éxito.
A pesar de la proliferación de amenazas impulsadas por la IA, los puntos de entrada más comunes son sorprendentemente simples. Muchos estafadores todavía dependen de métodos notablemente de baja tecnología. Por ejemplo, en la verificación de identidad basada en selfies, el 90% de los ataques involucran métodos de presentación básicos, como usar la foto de otra persona en la pantalla, mostrar una foto de identificación o una copia impresa a la cámara.
Las empresas que se centran exclusivamente en técnicas avanzadas se exponen a las más básicas.
Al exigir a los usuarios que se muevan de una manera específica y no planificada, los sistemas pueden distinguir a personas reales de imágenes 2D, máscaras, medios inyectados como deepfakes o simples intentos de suplantación de identidad, como videos o videos fotográficos. Combinadas con análisis de comportamiento y señales de riesgo en tiempo real, estas estrategias proporcionan una poderosa contramedida.
A medida que el fraude se distribuya e industrialice, las organizaciones mejor posicionadas para responder serán aquellas que sigan un enfoque de seguridad centrado en la identidad. Necesitamos dejar de ver las pruebas de identidad como un momento único y comenzar a verlas como un proceso continuo a lo largo de todo el recorrido del cliente.
El objetivo es hacer que la seguridad de la identidad sea invisible para los usuarios legítimos e impenetrable para los estafadores. En un mundo donde el fraude ya no duerme, las estrategias de seguridad no pueden darse el lujo de
Hemos presentado la mejor aplicación de autenticación.
Este artículo fue producido en parte Perspectiva profesional de TechRadarNuestro canal para mostrar las mejores y más brillantes mentes de la industria tecnológica actual.
Las opiniones expresadas aquí son las del autor y no necesariamente las de TechRadarPro o Future plc. Si está interesado en contribuir, obtenga más información aquí:
