Deepfakes maliciosos: cómo se usan los medios generados con IA para desinformar, estafar y espiar

Un deepfake es una imagen, un vídeo o una grabación de audio creados o alterados con inteligencia artificial para mostrar a alguien diciendo o haciendo algo que nunca dijo ni hizo. No es malware: ningún código infecta un equipo y un antivirus no puede "detectar" una llamada falsa. Es un medio sintético usado para engañar, y los casos documentados que verás a continuación se reparten en tres tipos de daño: desinformación, fraude financiero y espionaje.

1. Qué es realmente un deepfake malicioso

Las propias fuerzas del orden separan los deepfakes del malware tradicional, porque el daño pasa por la confianza de las personas y no por un sistema comprometido.

2. Cómo se fabrican los deepfakes

La mayoría de los deepfakes actuales salen de una misma técnica de entrenamiento adversarial. La clonación de voz, en particular, se ha abaratado tanto que casi no requiere preparación.

Los modelos de difusión y los sistemas de clonación de voz basados en ese mismo enfoque han hecho que producir falsificaciones convincentes sea cada vez más barato y rápido. Por eso los deepfakes han pasado de ser una curiosidad a una herramienta que hoy usan de forma habitual tres tipos de actores maliciosos.

3. Desinformación y manipulación electoral

Los audios e imágenes falsos se difunden más rápido, y cuesta más desmentirlos, cuando salen en un momento clave, como unas elecciones o un ciclo de noticias de última hora: no hay tiempo de verificar nada antes de que el daño esté hecho.

Un tercer caso muestra la misma dinámica sin elecciones de por medio. En mayo de 2023, una imagen falsa que supuestamente mostraba una explosión cerca del Pentágono se extendió por Twitter, amplificada en parte por cuentas verificadas y por medios estatales rusos, y se vinculó con una breve caída de la bolsa antes de que la policía del condado de Arlington confirmara oficialmente que no había habido ninguna explosión.^[12][13][14]

4. Fraude financiero mediante suplantación de directivos

Los casos de deepfake más costosos documentados hasta ahora siguen el mismo patrón: un empleado real, una petición que parece venir de alguien en quien ya confía (por su aspecto y por su voz) y una urgencia que desalienta una segunda verificación.

Arup confirmó la pérdida directamente a CNN Business y aseguró que el fraude usó voces e imágenes falsas sin comprometer ninguno de los sistemas internos de la empresa.^[16] El caso británico de 2019 solo se conoció a través de la aseguradora que cubrió la pérdida, Euler Hermes, que mantuvo en el anonimato a las empresas. Los fondos pasaron por una cuenta húngara antes de dispersarse todavía más.^[15]

5. Espionaje y acceso no autorizado

Los deepfakes también sirven para saltarse por completo los controles de identidad: para conseguir un empleo con acceso legítimo a los sistemas o para hacerse pasar por un cargo oficial lo bastante creíble como para que la víctima baje la guardia.

6. La escala del problema: pérdidas por fraude y un mercado de detección en crecimiento

Los casos aislados no explican la velocidad a la que esto crece. Las empresas de prevención del fraude que miden los intentos con deepfakes, y no solo los fraudes consumados, registran fuertes aumentos interanuales, y el mercado de herramientas de detección crece al mismo ritmo.

7. Cómo protegerte de los ataques con deepfakes

Como los deepfakes atacan la confianza de las personas y no un sistema informático, las defensas más eficaces son de procedimiento, no técnicas:

• Verifica las peticiones por un canal distinto. Contacta con la persona usando un número de teléfono o una dirección que ya tuvieras, no el que aparezca en el mensaje sospechoso. El caso de Arup demuestra que una videollamada, por sí sola, ya no prueba una identidad.
• Añade fricción a los pagos. Exige varias aprobaciones y un tiempo de espera para las transferencias grandes o inusuales, sobre todo las que se presentan como urgentes o confidenciales: la urgencia y el secreto aparecen en casi todos los casos documentados más arriba.
• Refuerza la contratación remota. Verifica los documentos de identidad, fíjate en si el audio y el vídeo no encajan y valora una comprobación de identidad en directo antes de dar a una nueva incorporación remota acceso a sistemas sensibles.
• Forma a tu equipo para reconocer el patrón, no solo la tecnología: quien sabe que las voces y los rostros pueden falsificarse de forma convincente tiene más probabilidades de pararse a verificar antes de actuar.
• Espera a que se confirme una noticia de última hora, sobre todo si son imágenes o grabaciones impactantes, antes de compartirla: las fuentes oficiales y los verificadores consolidados desmontan la mayoría de las falsificaciones en cuestión de horas, pero pocas veces en cuestión de minutos.

8. Perspectiva regulatoria

Las herramientas de detección y los estándares de procedencia del contenido están mejorando, y los reguladores empiezan a incluir normas de transparencia específicas sobre deepfakes directamente en la ley, en lugar de apoyarse en la legislación general sobre fraude.

Cifras clave de un vistazo

Sources