¿Cree que sus clientes y empleados son capaces de detectar las estafas en línea, los «deepfakes» y la desinformación deliberada? Estudios recientes demuestran que las personas sobreestiman su capacidad para distinguir la verdad de la ficción, y es probable que esta situación empeore a medida que la inteligencia artificial se vuelva más sofisticada.
Esto debería ser motivo de preocupación para los responsables de las empresas, que deberían recurrir a sus directores de seguridad de la información. Resulta que esos CISO cuentan con algunos trucos de siempre que pueden contrarrestar estas nuevas amenazas impulsadas por la inteligencia artificial.
En primer lugar, el estudio: una encuesta de Citi « » ( ), publicada en noviembre, preguntó a 2,432 encuestados en línea en qué medida eran capaces de detectar una estafa financiera, y el 90 % afirmó que se les daba bien, a pesar de que más de una cuarta parte (el 27 %) había sido víctima de este tipo de estafas.
Otro estudio de « », publicado en junio, reveló que las personas tienden a creer más en la desinformación generada por la inteligencia artificial que en las afirmaciones falsas redactadas por seres humanos. La diferencia es mínima —las 697 personas encuestadas tenían un 3 % menos de probabilidades de detectar tuits falsos generados por IA en comparación con las mentiras escritas por personas—, pero es significativa teniendo en cuenta la avalancha prevista de este tipo de contenido tan convincente.
«El hecho de que la desinformación generada por la inteligencia artificial no solo sea más barata y rápida, sino también más eficaz, me provoca pesadillas», declaró en junio el investigador de la Universidad de Zúrich, el Dr. Giovanni Spitale, que dirigió el estudio, a MIT Technology Review .
Seis meses después, sigue sintiéndose inquieto.
«No me preocupa la tecnología en sí misma, sino la posibilidad de que se haga un uso indebido de ella», afirma en un correo electrónico dirigido a , el punto de contacto de Focal Point . A Spitale, quien se autodefine como un entusiasta de la tecnología y un «gran friki» (empezó a programar en un Olivetti 386 en 1993 , cuando tenía seis años), le preocupa que los gobiernos y la legislación sean demasiado lentos para seguir el ritmo de tecnologías disruptivas como los modelos de lenguaje a gran escala (LLM), que son la base de ChatGPT.
La Ley de IA « » de la UE, aprobada este verano, «ya ha quedado obsoleta», señala. Y eso deja a particulares y empresas en una situación de vulnerabilidad.
Información errónea, desinformación… llámela como quiera, está aquí
Los expertos llevan años advirtiendo sobre la capacidad de la inteligencia artificial para aumentar la frecuencia y la calidad de la desinformación (afirmaciones erróneas), la información falsa (mentiras descaradas) y la información malintencionada (verdades tergiversadas deliberadamente o sacadas de contexto con fines maliciosos), y ahora estamos siendo testigos de cómo esto se está produciendo.
«. No me preocupa la tecnología en sí misma, sino su potencial para ser objeto de abuso.»Giovanni Spitale, doctor, investigador especializado en desinformación, Universidad de Zúrich
Los estafadores utilizan cada vez más la inteligencia artificial para «potenciar» el fraude, según advirtió en junio Lina Khan, presidenta de la Comisión Federal de Comercio ( ), en . Pindrop, que supervisa miles de millones de llamadas en numerosos grandes bancos estadounidenses, señaló que este año se ha producido un repunte de las estafas mediante «deepfakes», en las que se ha utilizado la inteligencia artificial para simular las voces de los clientes con el fin de intentar transferir fondos.
Las pequeñas y medianas empresas (pymes) corren el mismo riesgo que las grandes multinacionales. Los anuncios negativos en Internet —inventados por clientes o empleados descontentos para manchar la reputación de una marca, o ideados por bandas cibernéticas para extorsionar— ya suponen un problema para las pymes. Ottawa Perogies descubrió esto en 2021, cuando un ciberdelincuente inundó Facebook y Google con valoraciones de una estrella después de que el restaurante familiar de comida para llevar ignorara sus exigencias de dinero. Los pedidos se redujeron drásticamente en cuestión de días, y el restaurante tardó semanas en recuperar su reputación en Internet. Ese mismo año, las empresas sufrieron unas pérdidas estimadas de 152 000 millones de dólares en todo el mundo a causa de las reseñas falsas, según un estudio de la Universidad de Baltimore . Los expertos advierten de que la inteligencia artificial no hará más que aumentar ese tipo de ataques.
La buena noticia es que los responsables de las empresas pueden confiar en los métodos tradicionales de ciberseguridad —tácticas de probada eficacia que los CISO y otros profesionales de la seguridad llevan años defendiendo— para contrarrestar este tipo de amenazas. «Por el momento, la mejor defensa que hemos identificado consiste en contar con un manual de procedimientos no solo para responder a los incidentes, sino también para evaluar su probabilidad de que se produzcan; pero las cosas sucederán», admite Spitale.
Me parece bien. Las siguientes medidas de seguridad no pueden proteger por completo a una organización, pero sí pueden reducir en gran medida los efectos negativos:
1. Reescriba los manuales de respuesta ante incidentes y póngalos en práctica
Aunque en un principio se diseñaron para hacer frente a crisis técnicas, como las filtraciones de datos, los planes de respuesta ante incidentes pueden y deben revisarse para gestionar las crisis de desinformación y de información errónea. Esto implica incorporar medidas a su plan de acción para detectar rápidamente la información inexacta —como vídeos y clips de audio «deepfake», hashtags malintencionados que incluyan el nombre de su marca y otros contenidos nocivos en Internet—, determinar su origen y poner en marcha una estrategia de comunicación firme para contrarrestar sus efectos. (Más adelante hablaremos de ello.)
«Si alguien de su círculo de contactos en línea comparte noticias falsas, usted siente la presión de compartirlas también, aunque no sepa si son falsas o verdaderas.»Matthew Asher Lawson, doctor, profesor adjunto de Ciencias de la Decisión, NSEAD
Una guía actualizada de respuesta ante incidentes de « » ( ) le ayudará a reaccionar con rapidez y eficacia cuando personas malintencionadas, ya sea a sabiendas o sin darse cuenta, desvíen el mensaje de su marca de su rumbo.
Conviene destacar este último escenario: las mentiras difundidas por cómplices involuntarios. Un estudio realizado sobre unos 60,000 usuarios de redes sociales, publicado este año por la Asociación Americana de Psicología, reveló que la mayoría de las personas que difunden noticias falsas no tienen ningún interés particular en perjudicar a una persona o a un grupo concreto; simplemente desean integrarse.
[Lea también: 5 pasos para elaborar un plan de respuesta ante incidentes sólido como una roca]
«Si alguien de su círculo de contactos en línea comparte noticias falsas, usted siente la presión de compartirlas también, aunque no sepa si son falsas o verdaderas», señaló el investigador principal, el Dr. Matthew Asher Lawson, profesor adjunto de ciencias de la decisión en el INSEAD, una escuela de negocios de Francia.
2. Incluya vídeos «deepfake» en los tutoriales sobre phishing
Los ciberdelincuentes están utilizando la inteligencia artificial para manipular imágenes y grabaciones reales o crear contenidos totalmente falsos. Este verano, por ejemplo, se publicaron unos 50 vídeos falsos en TikTok, Facebook y YouTube en los que se veía a Elon Musk en «entrevistas de» con diversas personalidades de la televisión —Gayle King, Tucker Carlson, Bill Maher— promocionando un plan de inversión falso. Consiguieron decenas de miles de visualizaciones.
También se prevé que los ataques de phishing evolucionen, ya que «los deepfakes permiten suplantar de forma casi perfecta a figuras de confianza, lo que supone un avance significativo con respecto al método habitual de replicar el estilo de redacción o imitar el diseño de los correos electrónicos», escribe Neil Lappage, director de seguridad de la información (CISO) y asesor de seguridad en empresas como C5 e ITC Secure, en un artículo reciente de para la organización de confianza digital ISACA. Los vídeos y audios «deepfake» pueden utilizarse para suplantar la identidad de personal informático o directivos, dirigiéndose a empleados desprevenidos o incluso a sistemas biométricos que utilizan software de reconocimiento de voz y facial.
«Los empleados deben conocer los procedimientos estándar para responder ante posibles casos de manipulación de medios de comunicación y comprender los mecanismos para denunciar esta actividad dentro de su organización», aconseja un informe conjunto titulado « » ( ), publicado por la NSA, el FBI y la CISA.
La actualización de sus programas de formación del personal también pone de manifiesto el compromiso de la empresa ante los riesgos cambiantes en materia de ciberseguridad, algo que puede y debe comunicar a sus agentes de seguros cibernéticos de , quienes buscan indicios tangibles de la vigilancia cibernética de la empresa.
Para obtener más información sobre cómo detectar los «deepfakes» y qué debería incluir su formación, consulte estos consejos de SANS aquí; del Centro para un Público Informado de la Universidad de Washington aquí; y del MIT aquí y aquí.
3. Mejorar el DEX: también conocido como «apostar por el largo plazo»
Reforzar su experiencia digital de los empleados (DEX) en es, quizás, una forma menos evidente pero muy eficaz de combatir la desinformación y la información errónea. Dedicar tiempo hoy a mejorar la DEX mediante interfaces intuitivas, herramientas de trabajo y canales de comunicación digital fluidos puede resultar beneficioso de varias maneras:
En general, la satisfacción de los empleados constituye un indicador importante de la reputación global de la marca de una empresa. Cuando surge una noticia falsa que ensombrece la imagen de una empresa, los consumidores se mostrarán más escépticos si dicha empresa es conocida por el trato que dispensa a sus trabajadores.
En el ámbito laboral, los empleados satisfechos son más productivos, están menos estresados y son menos propensos a convertirse en amenazas internas. Las personas que se sientan valoradas se mostrarán menos propensas a difundir información falsa y más comprometidas con los programas de formación mencionados anteriormente, y serán más propensas a denunciar la información errónea y la desinformación cuando la detecten (o sospechen de ella).
4. Capacite a los equipos de detección de amenazas para que estén atentos —y miren hacia el exterior— a los «desconocidos desconocidos»
Las operaciones de detección de amenazas «», concebidas para analizar el entorno interno y buscar puntos de acceso desprotegidos dentro de una red informática, también pueden centrarse en el mundo exterior para identificar patrones y detectar anomalías relacionadas con una crisis de desinformación o información errónea que se esté gestando.
Los cazadores de amenazas están formados en el arte de explorar «unknown unknowns», es decir, aquellas vulnerabilidades no identificadas o riesgos imprevistos que son propicios para su explotación. En el ámbito de la desinformación o la información errónea, esto podría incluir capacidades avanzadas de «deepfake» aún por inventar, nuevos canales de difusión o un repentino aumento de las menciones negativas en las redes sociales que relacionen a su marca o a sus directivos con una cuestión política o social con la que su empresa nunca se haya relacionado anteriormente. Como mínimo, son capaces de detectar una oleada inminente de comentarios negativos injustificados cuando aún no es más que un goteo inicial.
Gracias a las herramientas de monitorización de redes sociales, los especialistas en detección de amenazas pueden identificar patrones y tácticas habituales utilizados por actores maliciosos conocidos y alertar a los equipos de comunicación, relaciones públicas y marketing cuando se detecte un aumento de los mensajes negativos sobre su empresa. Este tipo de seguimiento no puede detener un ataque, pero puede proporcionar a sus portavoces unos días u horas de aviso previo para elaborar una campaña de «prebunking» —mensajes de contrarresto que llegan al público antes de que una avalancha de mentiras inunde Internet—.
A la hora de hacer frente a la información errónea y a la desinformación, la rapidez es fundamental. Los investigadores han descubierto que el «prebunking» proactivo resulta más persuasivo y anima a los consumidores a mostrarse más escépticos ante las mentiras que el desmentido a posteriori de las noticias falsas.
5. Aplique las normas de una comunicación eficaz en situaciones de crisis
Una vez que la información falsa se difunde de forma viral, los principios fundamentales de la comunicación en situaciones de crisis —la rapidez, la transparencia y la empatía— deben guiar la respuesta de una organización.
«Si la empresa tiene un historial de actuar sin empatía ni transparencia, resulta mucho más fácil que la gente se crea afirmaciones infundadas sobre su marca.»Jeff Pollard, vicepresidente y analista principal de Forrester
Es fundamental actuar con rapidez y transparencia. Last year, the U.S. Department of Justice convicted Uber CISO Joe Sullivan for lying and trying to cover up a 2016 hack in which thieves stole data of some 57 million customers. A otras empresas tampoco les ha ido mejor ante la opinión pública cuando los retrasos en su salida a bolsa se han hecho, por así decirlo, públicos.
«El mundo suele ser bastante indulgente si se es sincero», declaró Jenai Marinkovic, directora de seguridad de la información (CISO) de Tiro Security, a Focal Point en un artículo sobre estrategias de comunicación eficaces publicado la pasada primavera.
Traducir la jerga técnica de en mensajes claros y sencillos que los clientes (y los miembros del consejo de administración) puedan entender resulta igualmente fundamental a la hora de responder a un ataque informativo, ya que demuestra empatía hacia las partes interesadas. La empatía humaniza una marca y es una de las siete palancas de la confianza que se recogen en el informe de Forrester « » (El imperativo de la confianza), un conjunto de directrices destinadas a ayudar a las empresas a forjar vínculos duraderos con sus clientes y partes interesadas. Además, es algo que cualquier empresa puede fomentar y promover a partir de hoy mismo.
No se equivoquen: al igual que otros ciberataques, los ataques de desinformación impulsados por la inteligencia artificial no son una cuestión de « » si « », sino de «» cuando «». Por ello, es fundamental fomentar la empatía en las operaciones empresariales y en las comunicaciones, según escribe Jeff Pollard, vicepresidente y analista principal de Forrester, en una entrada del blog « » publicada a principios de este año. «La historia es importante a la hora de defenderse del daño a la reputación que causan los deepfakes», explica.
«Si la empresa tiene un historial de actuar sin empatía ni transparencia», señala, «resulta mucho más fácil que la gente se crea afirmaciones infundadas sobre su marca».
PARA SABER MÁS
No se pierda la primera entrega de esta serie de dos partes, en la que se ofrecen más consejos sobre cómo combatir la desinformación y se explica por qué las empresas no pueden confiar en terceros ni en las autoridades judiciales para solucionar este problema:
