51 min
Fraudology
Campañas de phishing impulsadas por IA: crossover de Fraudology en Austin
Qué tal, luchadores contra el fraude. Bienvenidos a Fraudology.
Este episodio es un poco diferente y, la verdad, muy divertido. Es un episodio especial crossover con Hailey de Banking on Fraudology, y lo grabamos juntas en Austin. Hablamos de lo que ambas estamos viendo en el fraude en este momento, especialmente en torno a campañas de phishing impulsadas por IA, estafas de phishing con deepfakes y ataques de fraude con clonación de voz que se vuelven más convincentes cada semana.
También hablamos de algo que se ha vuelto bastante evidente últimamente. Muchas de las viejas señales de alerta de fraude que se enseñaba a la gente a buscar ya no funcionan como antes. La gramática es mejor. El momento es mejor. La suplantación de identidad es mejor. Y las estafas están ocurriendo a través de más canales al mismo tiempo: correo electrónico, teléfono, mensajes de texto, redes sociales, aplicaciones de mensajería. Todo eso. Esa es la parte que debería llamar la atención de todos.
A primera vista, esto puede sonar como tácticas de estafa aisladas. Pero cuando profundizas, en realidad se trata de la evolución del phishing en tiempo real y de cómo la IA está cambiando tanto la calidad como la escala de la ingeniería social. Así que sí, hablamos de los riesgos. Pero también hablamos de lo que los buenos equipos pueden hacer ahora, porque esta no es una situación de esperar y ver qué pasa.
Esto es lo que significa en la práctica:
- Las campañas de phishing impulsadas por IA son cada vez más difíciles de detectar usando las señales de alerta tradicionales
- Los ataques de fraude mediante clonación de voz y las estafas de phishing con deepfakes están haciendo que la suplantación de identidad resulte más creíble
- La suplantación de identidad mediante IA en múltiples canales está dando lugar a una ingeniería social multicanal más efectiva
- Los equipos de fraude necesitan defensas contra el fraude asistidas por IA y señales de comportamiento más sólidas para la protección contra el phishing
- Los bancos, las fintech y las empresas de comercio electrónico deben replantearse cómo protegen a sus clientes de las estafas telefónicas y otras amenazas de phishing de nueva generación
Lo que escucharás en este episodio
- Por qué las campañas de phishing impulsadas por IA están cambiando la forma en que los equipos de fraude piensan sobre la suplantación de identidad
- Cómo están evolucionando en tiempo real las estafas de phishing con deepfakes y el phishing con clones de voz
- Por qué las estafas de suplantación de contactos de confianza funcionan tan bien en múltiples canales
- Cómo debería ser la defensa contra el fraude asistida por IA a medida que las señales de alerta del phishing se vuelven obsoletas
- Cómo los equipos de fraude pueden mejorar la prevención del phishing para bancos, fintechs y plataformas digitales
Deberías escuchar este episodio si
- Trabajas en fraude, riesgo, confianza y seguridad, o en seguridad, y quieres mejorar tu capacidad para defenderte de las estafas potenciadas por IA
- Necesitas entender cómo los ataques de fraude mediante clonación de voz afectan a los clientes y a los equipos internos
- Apoyan la protección contra el phishing para fintechs o bancos y quieren una perspectiva práctica sobre hacia dónde se dirige todo
- Están pensando en la mitigación adaptativa de ataques de phishing y en la detección de estafas en tiempo real
- Se preocupan por la protección de la identidad digital frente al phishing y por el cambio más amplio en las estrategias de prevención del fraude con IA
Si te gustó este episodio, asegúrate de suscribirte y dejar una reseña del pódcast en iTunes, Spotify, YouTube o en cualquier plataforma donde escuches pódcasts. Realmente ayuda a que más gente lo conozca.
Notas del episodio y puntos clave
Por qué las campañas de phishing impulsadas por IA se sienten diferentes ahora
Desglosemos esto.
El phishing no es algo nuevo. Los equipos de fraude llevan mucho tiempo enfrentándose a la suplantación de identidad, páginas de inicio de sesión falsas, mensajes urgentes y técnicas de ingeniería social. Pero las campañas de phishing impulsadas por IA están cambiando la calidad de esos ataques de formas que tienen un impacto operativo.
Esto es lo que está ocurriendo en realidad.
El contenido es más claro. La personalización es mejor. El momento puede automatizarse. El atacante puede probar distintos mensajes más rápido. Y cuando añades estafas de phishing con deepfakes o ataques de fraude con clonación de voz a esa mezcla, la estafa ya no depende de un correo mal escrito y un poco de suerte.
Eso es un problema.
Porque la formación tradicional en concienciación suele decirle a la gente que busque errores evidentes: gramática extraña, formato raro, un tono que suena fuera de lugar. Pero a medida que las señales de alerta del phishing quedan obsoletas, esas viejas reglas dejan de ser suficientes.
Aquí es donde las cosas se ponen interesantes:
- La IA puede ayudar a los atacantes a generar mensajes más creíbles a gran escala
- La evolución en tiempo real del phishing significa que las campañas pueden adaptarse más rápido que las defensas estáticas
- La ingeniería social multicanal permite a los delincuentes reforzar la misma mentira a través de mensajes de texto, llamadas telefónicas, correos electrónicos y redes sociales
- Las estafas de suplantación de contactos de confianza se vuelven más convincentes cuando se añaden pistas de voz e imagen
Cómo los deepfakes y las clonaciones de voz cambian la suplantación de identidad
A primera vista, la clonación de voz puede parecer un tema muy específico. Tal vez algo para un titular. Tal vez algo de lo que solo las grandes empresas deban preocuparse.
En realidad no lo es.
Si alguien puede imitar a un jefe, a un familiar, a un empleado de banco o a un proveedor conocido lo suficientemente bien como para crear urgencia, no necesita un clon perfecto. Solo necesita uno lo bastante bueno como para hacer que la víctima supere la duda. Y por eso los fraudes con clonación de voz son tan efectivos. Primero explotan la confianza, no la tecnología.
Lo mismo ocurre con las estafas de phishing mediante deepfakes.
La imagen o el video no tiene que resistir un análisis forense. Solo necesita parecer creíble en el momento. Eso suele ser suficiente para mover dinero, restablecer credenciales, aprobar un pago o lograr que alguien comparta información que no debería compartir.
Y esta es precisamente el tipo de vulnerabilidad que buscan los delincuentes.
Los equipos de fraude deben estar atentos a:
- Suplantación de identidad mediante clones de voz vinculados a solicitudes urgentes de cuentas o pagos
- Suplantación de identidad con IA a través de múltiples canales que repite la misma historia en distintos formatos
- Brechas en la prevención de suplantaciones mediante deepfakes en las aprobaciones internas y la atención al cliente
- Oportunidades de detección de estafas en tiempo real basadas en el comportamiento, no solo en el contenido
Por qué las viejas señales de alerta de phishing ya no son suficientes
Gran parte de la educación al cliente e incluso de la formación interna sobre fraude sigue dando por hecho que las estafas se verán chapuceras, que parecerán obviamente falsas, que habrá una gran pista que te diga que debes detenerte.
Sí. No siempre.
El objetivo principal de la defensa contra el fraude asistida por IA es reconocer que la estafa en sí está mejorando. Esto significa que tu defensa no puede basarse solo en que la gente detecte un lenguaje extraño o note que la persona que llama suena un poco rara. Los atacantes están mejorando a la hora de eliminar las señales evidentes.
Entonces, ¿qué debería reemplazar esas viejas suposiciones?
Una mejor atención al contexto y al comportamiento.
Eso significa fijarse en:
- Si la solicitud es inusual para esa relación o flujo de trabajo
- Si la interacción intenta generar urgencia, secretismo o miedo
- Si los patrones de comportamiento coinciden con la actividad legítima de clientes o empleados
- Si se están utilizando múltiples canales para que la historia parezca más real
Por eso las señales de comportamiento son tan importantes para la defensa contra el phishing. Porque el contenido se puede pulir. Una voz falsa puede resultar convincente. Pero el comportamiento subyacente a menudo sigue delatando la estafa.
Qué deberían hacer ahora los equipos de fraude
Entonces, ¿qué significa esto para los bancos, las fintech y los equipos de comercio electrónico que intentan mantenerse al día?
En primer lugar, deja de asumir que el phishing es solo un problema del buzón de correo. No lo es. Ahora es un problema de suplantación de identidad a través de múltiples canales. Eso cambia la forma en que piensas sobre la prevención del phishing para los bancos, la protección contra phishing para las fintech y la protección de la identidad digital frente al phishing de manera más amplia.
En segundo lugar, prepárate para la realidad de que estos ataques seguirán mejorando. No porque los delincuentes sean brillantes, sino porque las herramientas son cada vez más fáciles de usar. Eso casi nunca termina bien para las empresas que esperan a sufrir pérdidas evidentes antes de ajustar sus controles.
Las buenas estrategias de prevención del fraude con IA deberían incluir:
- Mejor educación para los clientes sobre cómo protegerse de escenarios de estafas telefónicas con voz
- Flujos de trabajo internos más sólidos para la verificación de devoluciones de llamada y la escalada de aprobaciones
- Supervisión para la mitigación adaptativa de ataques de phishing en todos los canales, no de forma aislada
- Detección en capas que conecta señales de identidad, dispositivo, comportamiento y transacciones
- Rutas de escalamiento claras cuando los empleados o clientes sospechen de suplantación de identidad
Y, sinceramente, los equipos de fraude que mejor lo hagan aquí serán aquellos que combinen el escepticismo humano con una mejor tecnología. No una cosa u otra. Ambas.
Por qué es importante esta conversación de convergencia
Una de las razones por las que me gustó esta conversación con Hailey es que reunió dos perspectivas que deberían estar dialogando entre sí con más frecuencia. Prevención del fraude en la banca. Prevención del fraude en el comercio electrónico y en las plataformas digitales. Entornos diferentes, mismo patrón.
Las estafas se están volviendo más sofisticadas.
Los canales se están fusionando.
Y las señales de confianza en las que la gente confiaba son cada vez más fáciles de falsificar.
Por eso este episodio es importante.
Las campañas de phishing impulsadas por IA no son solo otra tendencia que observar desde la distancia. Ya están cambiando la forma en que funciona la suplantación de identidad en el mundo real. Y tanto si estás protegiendo a consumidores, empresas, clientes bancarios o usuarios de plataformas, el desafío es el mismo: averiguar qué sigue siendo una señal de confianza cuando el contenido, la voz y las pistas de identidad pueden manipularse todas.
Exacto. Ese es ahora el trabajo.
Mantente alerta, confía en tus instintos, pon a prueba tus controles y sigue impulsando la lucha contra el fraude.
