51 min
Fraudology
Aumento del fraude con IA: dentro de las últimas amenazas con Frank McKenna y Matt Vega
Frank McKenna y Matt Vega
Desglosemos esto.
Hoy estamos analizando el auge del fraude con IA y cómo se ve cuando los equipos antifraude ya no solo se enfrentan a estafas más rápidas, sino a rutas de ataque completas que se automatizan, escalan y perfeccionan en tiempo real. Me senté con Frank McKenna y Matt Vega para hablar sobre lo que están viendo en torno al fraude con deepfakes, los sitios de phishing generados por IA, los ataques basados en credenciales y la convergencia más amplia entre fraude y ciberseguridad.
Y sí, esta es una de esas conversaciones en las que muchas cosas que antes sonaban teóricas ya no lo parecen.
A primera vista, parte de esto puede sonar como un problema de ciberseguridad. Pero cuando lo miras más de cerca, encaja directamente en las operaciones de fraude. Toma de control de cuentas a gran escala. Clonación de sitios de phishing con IA. Ataques de fraude adaptativos que responden a los controles. Suplantación de identidad habilitada por deepfakes. Operaciones de estafa impulsadas por IA que pueden moverse mucho más rápido de lo que la mayoría de las colas de revisión manual podrían hacerlo jamás.
Esa es la parte que debería preocupar a los equipos de fraude.
Porque el auge del fraude impulsado por la IA no se trata solo de nuevas herramientas para los delincuentes. También se trata de lo que ocurre cuando esas herramientas hacen que los patrones de fraude conocidos sean más escalables, más creíbles y más difíciles de detener con los controles que funcionaban hace apenas uno o dos años.
Esto es lo que significa en la práctica:
- Los sitios de phishing generados por IA ahora se pueden crear más rápido, a menor costo y con menos errores evidentes
- El uso de IA en los ataques de relleno de credenciales está haciendo que la toma de control de cuentas a gran escala sea más adaptable y difícil de bloquear
- La detección de fraudes con deepfakes se está volviendo esencial a medida que la suplantación resulta más creíble
- Los equipos de fraude necesitan biometría del comportamiento para combatir el fraude con IA, no solo controles estáticos
- La pila moderna de prevención de fraude frente a amenazas de IA debe tener en cuenta tanto los riesgos de automatización del fraude como la superposición con la ciberseguridad
Lo que escucharás en este episodio
- Cómo el auge del fraude con IA está cambiando la velocidad y la escala de las operaciones fraudulentas
- Por qué la detección de fraudes con deepfakes y las protecciones de identidad digital son ahora más importantes
- Qué significan los sitios de phishing generados con IA y la clonación de sitios de phishing con IA para las marcas y los consumidores
- Por qué el uso de la IA en el credential stuffing está generando ataques de fraude más adaptativos
- Lo que los líderes de fraude pueden hacer ahora con mejor inteligencia, automatización y controles en capas
Deberías escuchar este episodio si
- Diriges equipos de fraude, riesgo, confianza y seguridad, o de seguridad, y quieres una respuesta más clara de los líderes de fraude ante las amenazas de la IA
- Están desarrollando una estrategia de prevención del fraude fintech para 2025 y más allá
- Necesitan comprender cómo la convergencia entre ciberseguridad y fraude está cambiando la detección y la respuesta
- Quieren ideas prácticas para prevenir el abuso de cuentas impulsado por IA y mejorar la prevención del fraude en ataques a la identidad digital
- Están replanteando su stack moderno de prevención de fraude para hacer frente a las amenazas de IA y la detección en tiempo real del fraude habilitado por IA
Si te gustó este episodio, asegúrate de suscribirte y dejar una reseña del podcast en iTunes, Spotify, YouTube o en cualquier plataforma donde escuches podcasts. Realmente ayuda a que más gente lo conozca.
Notas del episodio y puntos clave
Por qué el auge del fraude con IA se siente diferente
Desglosemos esto.
Los equipos de fraude están acostumbrados al cambio. Nuevos patrones de estafas. Nuevas herramientas de ataque. Nuevos canales. Esa parte no es nueva. Lo que se siente diferente ahora es el ritmo.
El auge del fraude impulsado por la IA se está acelerando porque la IA está facilitando que los delincuentes creen, prueben y mejoren sus ataques sin necesitar el mismo nivel de habilidad, tiempo o costo. Eso no significa que de repente todos los atacantes se hayan vuelto sofisticados. Significa que las herramientas mejoraron y la barrera de entrada se redujo.
Eso importa.
Porque, una vez que eso sucede, la antigua separación entre el fraude de baja especialización y el fraude de alta especialización empieza a desdibujarse. Un delincuente no necesita programar desde cero un sitio falso convincente si los sitios de phishing generados por IA pueden hacer la mayor parte del trabajo. No necesita un gran equipo redactando textos de estafa si las operaciones de fraude impulsadas por IA pueden generar variantes sin fin. Y tampoco necesita probar manualmente cada conjunto de credenciales si el relleno de credenciales con IA puede ajustarse sobre la marcha.
Aquí es donde eso se manifiesta operativamente:
- Configuración y repetición de ataques más rápida
- Clonación de sitios de phishing de menor costo con IA
- Orquestación de bots y fraudes más escalable
- Más presión sobre los equipos que dependen de la lógica de detección estática
Cómo la IA está ampliando el phishing y la toma de control de cuentas
Este es uno de los ejemplos más claros del problema.
El phishing siempre ha sido efectivo porque se aprovecha de la confianza. Una marca copiada. Un flujo de inicio de sesión familiar. Un mensaje que se ve lo suficientemente legítimo como para que la gente no se detenga a cuestionarlo. La IA está haciendo que eso sea más fácil de replicar y más rápido de lanzar.
A primera vista, un sitio clonado puede parecer la misma táctica de siempre. Pero cuando la IA puede generar código más limpio, mejor diseño, un lenguaje más natural y variaciones más rápidas, la escala cambia. Y cuando esos sitios se conectan con ataques de relleno de credenciales mediante IA o flujos de trabajo de toma de control de cuentas en tiempo real, el daño se multiplica rápidamente.
Eso normalmente no termina bien.
Por eso la prevención del abuso de cuentas impulsado por IA debe comenzar antes del pago. Antes de que el inicio de sesión tenga éxito. Antes de que el cliente quede bloqueado. Los equipos de fraude deben considerar la toma de control de cuentas a gran escala como un problema por capas, no solo como un problema de contraseñas.
Eso incluye:
- Detectar tempranamente comportamientos sospechosos del dispositivo y de la sesión
- Uso de biometría de comportamiento para el fraude de IA a fin de identificar automatizaciones o patrones anómalos
- Supervisión de la clonación de sitios de phishing con IA y del abuso de dominios similares
- Conectar las señales de riesgo de identidad, inicio de sesión y pago en lugar de revisarlas de forma aislada
Por qué la detección de fraudes con deepfakes ahora forma parte de la estrategia contra el fraude
Durante mucho tiempo, los deepfakes se percibían como un problema de reputación o quizá como un desafío futuro para los equipos de identidad. Ya no es realmente ahí donde estamos.
Los deepfakes ahora están mucho más cerca de las pérdidas reales por fraude. Afectan la incorporación de usuarios, las interacciones de soporte, las aprobaciones internas, la recuperación de cuentas y la ingeniería social. Y en algunos casos, se integran en esquemas de fraude más amplios en lugar de utilizarse por sí solos.
Aquí es donde las cosas se ponen interesantes.
Porque la detección de fraudes con deepfakes no se trata solo de identificar un video falso o una voz sintética. Se trata de entender cómo evolucionan los ataques a la identidad digital cuando los delincuentes pueden imitar la apariencia, la voz, la seguridad en sí mismos y el contexto lo suficientemente bien como para superar controles débiles.
Y ese es exactamente el tipo de vulnerabilidad que buscan los delincuentes.
La prevención del fraude frente a ataques de identidad digital ahora debe tener en cuenta:
- Medios sintéticos utilizados durante verificaciones o llamadas de soporte
- Suplantación integrada en la recuperación de cuentas y en los cambios de pago
- Presión sobre los equipos para tomar decisiones rápidas sin suficiente evidencia
- Mayor solapamiento entre la revisión de fraude, la verificación de identidad y las operaciones de seguridad
Por qué los equipos de fraude necesitan inteligencia de amenazas ofensiva
Uno de los puntos más sólidos de esta conversación es que la defensa por sí sola no es suficiente. Los equipos de fraude no pueden simplemente esperar a que los ataques lleguen a producción y luego ajustarse. Necesitan visibilidad sobre lo que los delincuentes están creando, compartiendo, probando y vendiendo.
Ahí es donde entra en juego la inteligencia de amenazas ofensiva para los equipos de fraude.
En términos sencillos, esto significa aprender desde el lado del atacante. Supervisar las herramientas, los foros, los flujos de trabajo y las señales que muestran cómo está evolucionando el abuso antes de que llegue por completo a tu plataforma. No porque nadie quiera glorificarlo. Todo lo contrario. Porque los buenos equipos necesitan contexto.
Ya hemos visto este mismo patrón antes. Cuanto antes entiendas cómo operan los atacantes, mejores suelen ser tus controles.
Esa inteligencia puede respaldar:
- Respuesta más rápida ante nuevos métodos de phishing o suplantación de identidad
- Mejor ajuste de reglas frente a riesgos conocidos de automatización del fraude
- Priorización más inteligente para la detección en tiempo real de fraudes habilitados por IA
- Respuesta más contundente de los líderes antifraude ante las amenazas de IA antes de que aumenten las pérdidas
Lo que la pila moderna de prevención de fraude necesita ahora
Demos un paso atrás.
Ninguna herramienta por sí sola va a resolver el auge del fraude con IA. Y, siendo sinceros, ese suele ser el punto en el que el texto de marketing empieza a volverse raro. Así que, en lugar de eso, mantengamos esto práctico.
Los equipos que van a responder bien suelen ser aquellos con bases sólidas y capas flexibles. No solo un modelo. No solo un motor de reglas. No solo una verificación de identidad.
Una pila moderna de prevención de fraude frente a amenazas de IA debería combinar:
- Biometría del comportamiento para fraudes con IA
- Detección en tiempo real del fraude habilitado por IA en los flujos de inicio de sesión, registro y pagos
- Fuertes señales de identidad y de dispositivo
- Controles adaptativos para la orquestación de bots y fraudes
- Flujos de trabajo de revisión humana guiados por buena inteligencia, no solo por el volumen
Y sí, la detección de fraude de IA contra IA se va a volver más común. Los equipos de fraude usarán automatización para combatir la automatización. Eso tiene sentido. Pero solo funciona si la estrategia subyacente es sólida. De lo contrario, solo obtienes caos más rápido.
Qué deberían hacer a continuación los líderes de prevención de fraude
Si diriges un equipo de fraude, esta conversación trata realmente sobre la preparación.
Sin pánico. Sin exageraciones. Preparación.
Porque las tendencias de fraude bancario con IA y las cuestiones más amplias sobre estrategias de prevención del fraude en fintech ya están pasando de la discusión a la implementación. Los ataques son cada vez más baratos de ejecutar. Las señales son cada vez más ruidosas. Y la línea entre el abuso cibernético y el abuso por fraude es cada vez más difusa.
Entonces, ¿en qué deberían centrarse ahora los equipos?
Empieza por los fundamentos que siguen siendo importantes. Controles sólidos y en capas. Mejor visibilidad. Mejor intercambio de datos interno. Mejor coordinación entre fraude y seguridad. Luego pon a prueba si esos controles realmente se mantienen firmes frente a ataques de fraude adaptativos y operaciones de estafas impulsadas por IA.
La conclusión aquí es bastante sencilla.
El auge del fraude con IA no se trata solo de nuevas herramientas. Se trata de un nuevo entorno operativo, en el que los patrones de fraude conocidos pueden escalar más rápido, ocultarse mejor y evolucionar más deprisa de lo que muchos equipos están preparados para enfrentar.
Eso no significa que los equipos antifraude sean impotentes. Significa que la respuesta tiene que ser más contundente.
Y eso importa.
