La autorización de operaciones dentro de las empresas solía depender del reconocimiento de la imagen o la voz de una jefatura. Sin embargo, la posibilidad de clonar rostros y voces mediante inteligencia artificial obliga hoy a las compañías chilenas a avanzar hacia modelos de cero confianza y a cumplir con las exigencias de la nueva Ley Marco de Ciberseguridad.
En el escenario digital actual, la suplantación de identidad se ha transformado en un riesgo crítico para las organizaciones. Aunque la falta de cultura de seguridad hace que las personas sigan cayendo en engaños cotidianos, la amenaza se ha sofisticado: al phishing tradicional basado en ingeniería social se suma ahora el apoyo de la IA.
Jummy Ulloa —no: Jimmy Ulloa, arquitecto de ciberseguridad de Coasin Logicalis— advierte sobre los peligros de la suplantación de identidad mediante inteligencia artificial. «Las herramientas de IA pueden facilitar la creación de imitaciones de voz e imagen a partir de material disponible públicamente, como entrevistas, fotografías y videos de ejecutivos. Esto es aprovechado por los ciberdelincuentes para hacerse pasar por directivos o personas de confianza para solicitar transferencias de dinero o información sensible. Por eso, las empresas no deben basar la validación de identidad únicamente en reconocer una voz o una imagen».
Cuando los atacantes reúnen información suficiente sobre su objetivo, pueden recurrir a correos electrónicos fraudulentos, técnicas de suplantación de remitentes (email spoofing) o videollamadas con imágenes y voces generadas o manipuladas con IA. Frente a ese panorama, la antigua validación visual o auditiva quedó obsoleta. En reuniones de alto riesgo, los equipos deben estar entrenados para detectar suplantaciones, atendiendo a señales como voces robóticas, movimientos erráticos o anomalías en la iluminación del rostro. La principal defensa frente a esto es una estrategia de cero confianza (zero trust).
«Ninguna organización está completamente exenta del riesgo de suplantación, independientemente de su tamaño o prestigio. Por eso, es fundamental combinar controles tecnológicos con medidas organizativas, como la segregación de funciones, la autenticación multifactor (MFA) y procedimientos de autorización para operaciones sensibles. Una solicitud urgente de transferencia de dinero o acceso a información confidencial debe pasar por verificaciones adicionales, independientemente del cargo de quien la solicite», explica Ulloa.
El manejo de estos riesgos no es solo un asunto técnico, sino también una cuestión de gobierno corporativo y cumplimiento normativo. «La ciberseguridad es transversal, por ende, un CISO no puede gestionar por sí solo los riesgos específicos de todas las áreas de una organización. Hay que establecer un comité de riesgo con representantes designados de cada área, que aporten su conocimiento, identifiquen riesgos y participen en la definición y seguimiento de las medidas de control. La responsabilidad debe ser compartida, con funciones y mecanismos claros», precisa Ulloa.
Ese enfoque contribuye a robustecer la gestión de los riesgos y se vincula con los objetivos de la Ley Marco de Ciberseguridad N.º 21.663, cuyas obligaciones deben aplicarse conforme al ámbito y las condiciones que correspondan a cada entidad.
«El factor humano sigue siendo un componente clave en la prevención de los ataques de ingeniería social. Los ciberdelincuentes suelen aprovechar factores como la urgencia, el estrés, la presión jerárquica y la exigencia de mantener ciertas gestiones en secreto. Estas condiciones pueden generar tensión y reducir el tiempo que una persona dedica a evaluar una solicitud, aumentando la probabilidad de que actúe sin verificar su legitimidad», sentencia Ulloa.
Ante una solicitud inusual de transferencia de dinero o de entrega de información sensible que supuestamente provenga de una jefatura, la recomendación es detenerse y verificar. Esto implica no continuar la gestión por el mismo canal, contactar a la persona a través de un número o medio de comunicación previamente validado y seguir los procedimientos internos de autorización antes de ejecutar la solicitud.
Con Información de revistaseguridad.cl
