¿Qué harías si la dueña de la empresa donde trabajas te hace una videollamada por Teams o Slack para pedirte que tramites un pago a un proveedor que necesita cobrar ya?

Sabes que no es el procedimiento estándar, pero la jefa te está llamando desde su cuenta, la estás viendo y suena a ella. ¿Procedes rapidito o algo te huele mal?

Con este escenario, Liberty Puerto Rico arrancó el miércoles su taller de concienciación sobre cómo la inteligencia artificial (IA) complica la ciberseguridad, especialmente cuando hay acceso gratis a herramientas que generan videos hiperrealistas para suplantar identidad, conocidos como “deepfakes”.

“Ya no puedes confiar en lo que ves ni en lo que escuchas. Los procesos de verificación y el criterio de las personas se vuelven el control más importante”, advirtió Felipe Ruiz vicepresidente de Seguridad de la Información de la empresa matriz, Liberty Latin America (LLA).

En el caso de Liberty, el escenario descrito se presentó con un vídeo del CEO de LLA, Balan Nair, que por Teams habría hecho la petición a una empleada, con la urgencia de que se hiciera antes de él entrar a una reunión importante.

La empleada fue muy cortés, pero no obedeció. Acudió a su supervisor con la pregunta clave: ¿Por qué el CEO querría que ella violara el procedimiento estándar para emitir pagos? Entre ambos, confirmaron que Nair no había hecho la petición y se reportó el incidente.

“Este es el tipo de ataque que empresas como la nuestra están experimentando hoy día. La IA puede falsificar imágenes, palabras, firmas, pero lo que no puede falsificar es el criterio humano”, planteó Milagros Rodríguez, gerente de comunicaciones de Liberty. “Pausa, verifica, reporta son los tres pasos críticos”.

Para Ruiz, lo más inquietante es que el equipo de Liberty creó el video falso en cuestión de minutos. Descargaron de Youtube un video público de Nair, para tener no sólo su imagen, sino una muestra de su voz. Lo cargaron a una herramienta gratuita, escribieron qué debía decir y el vídeo se generó con la cara de Nair y su cadencia al hablar.

Pero este servicio de hacer “deepfakes” más sofisticados o hiperpersonalizados también está a la venta en internet, porque genera dinero y a quienes lo hacen no les inquieta para qué se usen, advirtió Ruiz.

Con ese contexto, Ruiz compartió “5 reglas de oro” para usar IA con seguridad en el entorno corporativo y minimizar riesgos.

“La pregunta ya no es si usamos IA. Es si seguimos pensando mientras la usamos”, sintetizó Rodríguez.

Sobre cómo actuar cuando se detecta o sospecha que algún email, llamada o texto podría ser malicioso, Ruiz urgió a “bloquear inmediatamente” y reportarlo al equipo de ciberseguridad, para que se pueda eliminar de otras cuentas que también lo hayan recibido.

Por su parte, Luis García, líder del programa de concienciación sobre ciberseguridad de LLA, recalcó que la intención de monetización de los cibercriminales no ha cambiado. Por el contrario, se ha con herramientas de IA que facilitan, automatizan y extienden el alcance de sus ataques.

Por ello, instó a adoptar la práctica de dudar y verificar “como disciplina”.

“La IA es una evolución. Hace 5 años intentaban hacer el ‘phishing’ de otra manera”, coincidió Ignacio “Nacho” Román, gerente general de Liberty Puerto Rico,

Como ejemplo concreto, contó que hace unos años, mientras trabajaba en otra compañía, alguien logró enviar desde su email una orden de pago de $300,000. La transferencia debía hacerse a un banco de Hong Kong.

Indicó que el mensaje cumplía con todos los detalles para que la empleada hubiese caído, pero “tuvieron la suerte” de que laboraban cerca y no se hizo la transferencia.

Pero en otra empresa no fue igual: un virus de secuestro de sistema (“ransomware”) dejó pérdidas millonarias y un golpe a la reputación corporativa.

“Los impactos de hacerlo bien o hacerlo mal son muy importantes”, expresó Román.