La ingeniería social sigue siendo el método más común que utilizan los cibercriminales para acceder a las organizaciones. Con cada año, estos ataques se vuelven más sofisticados gracias al rápido desarrollo de la inteligencia artificial (IA). En noviembre de 2022 se presentó el primer modelo de lenguaje grande (LLM), que fue lanzado gratuitamente al público. A partir de 2023, las herramientas generativas de IA comenzaron a ser utilizadas ampliamente, y en la segunda mitad de 2024 surgió una nueva iteración: los agentes impulsados por IA, también llamados «IA agéntica», que pueden actuar de forma autónoma y ejecutar tareas complejas.
La evolución de la interacción humano-IA
La forma en que los humanos interactúan con la IA está avanzando gracias a la «IA con agentes», una tecnología emergente que transformará las industrias. Esta tecnología combina modelos de lenguaje grandes (LLM), inteligencia artificial tradicional y automatización empresarial para crear agentes autónomos capaces de analizar datos, establecer objetivos y tomar decisiones con menor supervisión humana. Estos agentes pueden resolver problemas dinámicamente, aprender y mejorar a través de cada interacción.
El uso de la IA en ataques de ingeniería social
La IA está ayudando a los cibercriminales a avanzar en sus campañas de ingeniería social. Algunos de los métodos que utilizan incluyen:
- Phishing personalizado: Los algoritmos de IA analizan datos de redes sociales y fuentes OSINT para crear ataques más personalizados y convincentes.
- Contenido local y contextual: Herramientas como ChatGPT, Copilot y Gemini permiten redactar correos electrónicos de phishing gramaticalmente correctos, contextualmente apropiados y traducidos a cualquier idioma. Se pueden imitar estilos o tonos específicos.
- Deepfakes realistas: Los actores de amenazas utilizan herramientas de deepfake para crear personajes virtuales falsos y clones de audio, lo que permite convencer a los empleados de compartir información confidencial o realizar transacciones.
Cómo los cibercriminales utilizarán la IA agéntica
Los actores maliciosos pueden aprovechar la IA agéntica para lanzar ataques de ingeniería social. Algunas formas en que lo harán incluyen:
- Amenazas automejorables y adaptativas: La IA agéntica puede aprender e improvisar a partir de datos recopilados durante las interacciones, mejorando la efectividad de sus campañas.
- Phishing selectivo automatizado: Los agentes de IA pueden recopilar datos autónomamente y crear mensajes personalizados para personas o organizaciones específicas.
- Orientación dinámica: La IA puede ajustar su discurso en tiempo real según la respuesta del destinatario, lo que hace más adaptables los ataques de phishing.
- Campañas de varias etapas: Los agentes pueden orquestar ataques complejos y de múltiples etapas, aprovechando información obtenida en una interacción para impulsar la siguiente.
- Ingeniería social multimodal: La IA puede usar canales como mensajes de texto, llamadas telefónicas o redes sociales combinados con correos electrónicos para aumentar las posibilidades de éxito.
Prácticas recomendadas para las organizaciones
Las organizaciones deben implementar medidas para contrarrestar estos ataques. Algunas prácticas incluyen:
- Combatir la IA con IA: Considerar la creación o adquisición de agentes de IA que puedan evaluar cambios en la superficie de ataque, detectar actividades sospechosas y priorizar parches según tendencias de vulnerabilidad.
- Aprovechar la concientización sobre seguridad basada en la IA: Utilizar herramientas que asignen contenido atractivo a los usuarios según su riesgo, generen cuestionarios dinámicos y actualizaciones breves.
- Preparar a los empleados para la ingeniería social con IA: Fomentar una cultura de ciberseguridad, educar sobre los riesgos de la ingeniería social y capacitar a los empleados para identificar y denunciar amenazas.
Los cibercriminales no tardarán en aprovechar estos avances tecnológicos. Las organizaciones deben reforzar sus defensas mediante la implementación de agentes de ciberseguridad basados en IA, la capacitación en seguridad y el fomento de una cultura de responsabilidad.