La tecnología deepfake, cuyo objetivo principal es la difusión de desinformación, está siendo cada vez más utilizada por ciberdelincuentes, especialmente durante períodos electorales. Según la firma de ciberseguridad S2 Grupo, los delincuentes cibernéticos pueden propagar noticias falsas que alteran la percepción del público, lo que podría tener un impacto significativo en, por ejemplo, unas elecciones.
Como ha informado S2 Grupo en un comunicado, todo lo que se necesita para utilizar esta tecnología puede encontrarse tanto en mercados clandestinos como en foros abiertos como GitHub. «Se ha vuelto cada vez más fácil obtener estos recursos y esto ha llevado a un aumento en las ciberestafas de phishing. Por lo general, estos delincuentes se hacen pasar por políticos, líderes empresariales o otras personalidades famosas», ha señalado Miguel A. Juan, socio-director de S2 Grupo.
En este sentido, la compañía advierte de que los peligros y objetivos de los ciberdelincuentes con el uso de las deepfakes son principalmente: la desestabilización de organizaciones a través de afirmaciones falsas y engaños, la pornografía de personajes famosos (se calcula que representan hasta el 96% de los deepfakes que circulan por Internet), la manipulación electoral, la ingeniería social a través de audios haciendo creer que una persona de confianza ha dicho algo, ataques de desinformación automatizados como teorías de conspiración o robos de identidad de personas reales en los que se crean documentos falsos o se falsifica la voz de las víctimas.
Ante la relevancia de este tipo de tecnología con fines engañosos, el equipo de expertos de S2 Grupo ha desarrollado un decálogo con claves sobre las deepfake, con el fin de conocerlas mejor para evitar caer en su trampa:
Hay 3 tipos de deepfakes
Lo primero de todo es saber identificar las campañas de deepfakes. Por un lado, están las campañas de desinformación en las que se edita el contenido legítimo para cambiar el significado original de una noticia o vídeo. Se incluyen el uso de imágenes de una persona que no se encontraba en el lugar como, por ejemplo, pornografía de venganza. Pero también se encuentran los deepfakes con cambios en logotipos o imágenes. En tercer lugar están los deepfakes sintéticos que derivan de una colección de originales para crear una nueva versión.
Según advierte S2 Grupo, aunque es difícil reconocer una deepfake, se pueden detectar al observar movimientos forzados o actividades inusuales, como el movimiento ocular antinatural; la falta de parpadeo; las expresiones faciales, forma del cuerpo o cabello antinaturales. Además, las deepfakes no pueden replicar los colores de la piel. «La posición facial es otro posible indicativo de que lo que se está viendo no se corresponde con la realidad». Hay veces en las que a través de la iluminación es posible detectar sombras fuera de lugar. En otras ocasiones, es evidente la mala sincronización de las palabras con la boca de la persona que está hablando.
Las ciberestafas más comunes relacionadas con las deepfakes:
- Estafas de mensajería.
- Business E-Mail Compromise (BEC). Aunque esta estafa ya es muy común sin la tecnología deepfake, los estafadores también pueden usar videollamadas para hacerse pasar por alguien de la empresa y pedir dinero.
- Confección y secuestro de cuentas. Evadiendo la verificación de identidad, los delincuentes pueden crear cuentas en bancos con documentos de identidad robados y retirar o transferir dinero.
- Chantaje. Los ciberdelincuentes pueden crear tecnologías deepfake para usarlos como método de extorsión.
- Campañas de desinformación para manipular a la opinión pública, lo que puede conllevar consecuencias financiera, políticas y reputacionales.
- Estafas de soporte técnico. Por ejemplo, pueden usar identidades falsas para crear ingeniería social con el fin de que los usuarios compartan credenciales de pago.
- Ataques de ingeniería social que manipulen a familiares y conocidos de la persona suplantada.
- Secuestros de dispositivos IoT. Como los deepfakes pueden suplantar la voz o la apariencia física de una persona, pueden usarse para desbloquear dispositivos.
Recomendaciones para evitarlos
- Activar el doble factor de autenticación. Desde S2 Grupo se recomienda a las organizaciones autenticar a un usuario con tres factores básicos: algo que el usuario tiene, algo que el usuario sabe y algo que el usuario es.
- La concienciación del personal de la empresa y el principio de conocer a su cliente (KYC) son fundamentales.
- Los usuarios de las redes sociales deben minimizar la exposición de imágenes personales de alta calidad.
- Priorizar el uso de patrones biométricos como el iris o las huellas dactilares para verificar cuentas sensibles como las del banco.
