Antes de la COVID-19, los defraudadores operaban mayormente siguiendo la semana laboral estándar, activos entre las 9 a. m. y las 5 p. m., disminuyendo la actividad durante los fines de semana. Luego, durante la pandemia, el fraude aumentó en horarios no pico, incluyendo altas horas de la noche y fines de semana.

Esto sugiere que los defraudadores comenzaron a dirigir sus ataques a las empresas cuando el personal no supervisaba los sistemas, o bien lo vieron como una actividad más oportunista o recreativa.

Hoy, el patrón se ha revertido de nuevo. En la era digital en constante crecimiento, las herramientas asistidas por IA no solo automatizan procesos para los delincuentes, permitiéndoles escalar operaciones rápidamente, sino que también hacen que el fraude sea más barato y más difícil de detectar. El fraude ha pasado a ser una amenaza “siempre activa” que fluye como el agua, buscando grietas para explotar.

Sin embargo, los vectores de ataque más recientes impulsados por IA también han desviado la atención de las empresas. Los métodos más simples y de baja tecnología siguen presentes, pero se han convertido en un punto ciego en la seguridad de muchas compañías.

El enfoque en resolver el problema de alto nivel ha desviado la atención de la cuestión de baja tecnología, creando una vulnerabilidad renovada a ataques rudimentarios. La clave es aprender a combatir los ataques de identidad impulsados por IA, al tiempo que se cierran los huecos que permiten que los intentos de fraude rudimentarios pasen desapercibidos.

En última instancia, eso significa implementar un conjunto amplio de capas: combinar verificación de identidad, autenticación biométrica, detección de vitalidad y otros controles para cubrir los diferentes espectros de ataque.

La nueva cara del fraude

El fraude moderno está coordinado e imita intencionalmente a usuarios y dispositivos legítimos para evadir la detección.

Los anillos de fraude ahora utilizan automatización y emulación de dispositivos para realizar ataques de alto volumen. Pero, en lugar de lanzar cientos de solicitudes fraudulentas a la vez, los atacantes envían lotes pequeños con el tiempo, permitiéndoles desaparecer antes de que se identifiquen los problemas.

También observamos picos leves de actividad fraudulenta entre las 2 y las 4 a. m. Esto sugiere coordinación deliberada, donde los atacantes aprovechan horarios en los que tanto usuarios como equipos de seguridad tienen menos probabilidades de responder rápidamente. Esto crea una ventana mayor para abusar de identidades comprometidas antes de que se detecten y se remedien los problemas.

Los defraudadores también están aprovechando cada vez más el comportamiento humano. Ha habido una tendencia al alza en phishing, impersonaciones mediante deepfakes y estafas románticas, con cada táctica orientada a una vulnerabilidad diferente, ya sea la confianza, el apego emocional o incluso la fatiga. La Thames Valley Police ha advertido que los defraudadores de amor mantienen a las víctimas conversando durante largas horas, aprovechando el agotamiento para erosionar el juicio.

Sin embargo, las empresas han sido lentas para adaptarse a la nueva cara del fraude. Debido a que los usuarios modernos demandan velocidad y simplicidad, las compañías continúan impulsando cambios en la experiencia de usuario que reducen la fricción durante momentos críticos, como la incorporación.

Pero en muchos casos, esto se ha convertido en un talón de Aquiles. Demasiadas organizaciones están optimizadas para minimizar la fricción del usuario sin equilibrarlo con una protección continua. Establecen controles automatizados que, por sí solos, no están a la altura de los defraudadores que explotan el comportamiento humano y operan deliberadamente por debajo de los umbrales de detección.

Dos cambios de seguridad están teniendo un gran impacto para reforzar las defensas contra estos ataques. Primero, enfoques de seguridad más adaptativos que detectan señales de ingeniería social a través de señales conductuales y contextuales, por ejemplo. Segundo, insertar controles de identidad más variados e impredecibles que dificultan significativamente que los atacantes se apoyen en tácticas automatizadas o guionizadas.

Los enfoques proactivos, como pruebas de red Team o ejercicios de simulación de fraude, también pueden ayudar a las organizaciones a identificar debilidades antes de que sean explotadas.

La IA ha hecho que el fraude sea más barato, no solo más inteligente

Ya desde 2019, la IA se utilizaba para imitar la voz de un CEO para fines de explotación financiera. La tecnología de deepfake ha avanzado mucho desde entonces. Los ataques de inyección, donde medios manipulados o sintéticos se introducen directamente en sistemas para evadir la cámara, aumentaron un 40% en 2025 respecto a 2024, y los deepfakes ya representan una de cada cinco tentativas de fraude biométrico.

Esto se debe a que la IA ha ayudado a commodities el fraude a gran escala. Las herramientas asistidas por IA han reducido las barreras de entrada, haciéndolo accesible para cualquiera con acceso a un portátil y una tarjeta de crédito.

Las plataformas de fraude como servicio venden kits listos para usar, volcaduras de credenciales, deepfakes y datos robados en línea. Esta es una de las razones por las que las falsificaciones digitales, a menudo creadas con modelos de código abierto, ahora representan el 35% de todas las presentaciones de documentos fraudulentos.

A medida que estas técnicas se vuelven estandarizadas y ampliamente disponibles, los controles de identidad estáticos (como selfies) ya no son suficientes. Una identidad que parece legítima al momento de la incorporación puede verse comprometida posteriormente, lo que obliga a las organizaciones a verificar la confianza de forma continua en lugar de tratar la identidad como un evento único.

Sin embargo, los métodos de baja tecnología siguen teniendo éxito

A pesar del incremento de amenazas impulsadas por IA, los puntos de entrada más comunes siguen siendo sorprendentemente simples. Muchos defraudadores aún dependen de métodos de baja tecnología, por ejemplo, en la verificación de identidad mediante selfies, el 90% de los ataques involucran métodos de presentación básicos, como usar la foto de otra persona en una pantalla, una imagen de una identificación o mostrar una copia impresa a la cámara.

Las organizaciones que se concentran exclusivamente en técnicas avanzadas se exponen a las más básicas.

Al exigir que los usuarios realicen movimientos específicos e impredecibles, los sistemas pueden distinguir entre personas reales y imágenes en 2D, máscaras, medios inyectados como deepfakes o intentos simples de suplantación, como un video de un video o una foto. Combinadas con análisis conductual y señales de riesgo en tiempo real, estas tácticas proporcionan una defensa fuerte.

A medida que el fraude se distribuye e industrializa, las organizaciones mejor posicionadas para responder serán aquellas que adopten un enfoque de seguridad centrado en la identidad. Debemos dejar de ver las verificaciones de identidad como un momento único y empezar a entenderlo como un proceso continuo a lo largo del viaje del cliente.

El objetivo es hacer que la seguridad de la identidad sea invisible para los usuarios legítimos y unavoidable para los defraudadores. En un mundo donde el fraude ya no duerme, las estrategias de seguridad tampoco pueden permitírselo.

Hemos presentado las mejores aplicaciones autenticadoras.

Este artículo se produjo como parte de TechRadar Pro Perspectives, nuestro canal para presentar las mentes más brillantes de la industria tecnológica hoy.

Las opiniones expresadas aquí corresponden a la autora y no necesariamente a TechRadarPro o Future plc. Si te interesa contribuir, descubre más aquí: https://www.techradar.com/pro/perspectives-how-to-submit

from Latest from TechRadar https://ift.tt/MvyjmJc
via IFTTT IA