¿Cómo identificar un deepfake y protegernos frente a él?

¿Qué es un deepfake?

Los deepfakes imitan a las personas utilizando herramientas de inteligencia artificial (IA) y se han empezado a desplegar a gran escala con un coste muy bajo para los ciberdelincuentes. Hemos estado investigando sobre la creación de estos deepfakes y sólo hacen falta 30 segundos de conversación para capturar la voz de una persona y modificar sus palabras o su imagen con IA.

Si lo trasladamos a las empresas, la preocupación está en que la imagen o la voz de directivo pueda manipularse de forma que el empleado piense que es real. A principios de este año, un empleado de una empresa en Hong Kong fue víctima de este tipo de engaño y pensó que estaba recibiendo una orden real del director financiero -pero era un deepfake- y aprobó un pago de 25 millones de dólares. El caso puso de manifiesto la evolución de la tecnología y su potencial como nuevo formato de estafa.

¿Cómo saber si la persona que está al otro lado de la pantalla en una videollamada es real o un deepfake?

Hay que estar alerta y hacer algunas comprobaciones, igual que lo hacemos con la veracidad de un correo electrónico, por ejemplo, comprobando la identidad del remitente, pasando el ratón por encima de una URL o un archivo adjunto, examinando el estilo y la gramática, es importante chequear elementos que pueden ser claves para detectar un deepfake.

Comprueba la actividad

La primera medida que se puede tomar es realizar una comprobación rápida de la “actividad”, es decir, pedir a la persona que está al otro lado mueva su cabeza. Las herramientas de IA generativa que se utilizan para producir deepfakes no crean un espacio tridimensional o de 360 grados de la persona, sino que sólo pueden producir imágenes planas de frente. Por eso, si los empleados sospechan, deben pedir a la persona que gire a la izquierda o a la derecha y, si la cara desaparece, colgar.

Esto es efectivo hoy, pero puede no serlo mañana. La IA generativa está avanzando rápidamente, lo que significa que las herramientas pueden crear imágenes más realistas de personas y sus movimientos. Esto podría dificultar la verificación de la actividad con el tiempo.

Verificar enlace de la videollamada

Cuando recibas un enlace para una videollamada o te unas a una llamada grupal, es útil verificar si los participantes están utilizando una versión empresarial con licencia del software. Por lo general, esto es evidente cuando la URL incluye el nombre de la empresa, como companyname.videoplatform.com. Si sabes que esperas una invitación de un dominio empresarial específico, es otro aspecto que debes considerar antes de aceptar la reunión. Si la call comienza desde una cuenta personal o alguien se une inesperadamente desde una cuenta personal sin explicación, podría ser una señal de alerta. También es importante establecer códigos internos que se verifiquen offline antes de realizar ciertas acciones, como transferencias de dinero.

Mantente actualizado para hacer frente a las amenazas

Los empleados deben tener cuidado, seguir todos los consejos y mantenerse al día con la evolución de la tecnología de IA para hacer frente a la amenaza de encontrarse con un deepfake. Las empresas pueden fortalecer sus defensas mediante soluciones de ciberseguridad, como filtros de correo electrónico, que pueden detectar y bloquear muchas invitaciones maliciosas a reuniones antes de llegar a las bandejas de entrada. Dada la realidad de la amenaza, es importante contar con una protección completa.

Cómo protegerse frente a los deepfakes

“Desenmascarar los deepfakes es un esfuerzo multifacético que requiere tecnología avanzada, educación pública y colaboración global. En 2024, con el auge de la inteligencia artificial, estas medidas son más importantes que nunca para combatir el fraude y proteger la integridad de la información”, afirma Pierre Matta, country manager de España de Fourthline. Según esta fintech europea, existen cinco prácticas imprescindibles para proteger a las empresas de los deepfakes:

• Utilizar modelos entrenados con datos KYC: una parte significativa de los modelos de reconocimiento facial utilizados en el mercado no están entrenados con datos de “Conozca a su cliente” (KYC), que proceden directamente de presentaciones de clientes del mundo real durante los procesos de verificación de identidad. La mayoría de los proveedores entrenan sus algoritmos con datos genéricos, como imágenes de archivo, fotos de famosos, datos públicos o datos de vigilancia. Sin embargo, este material de partida no responde a las necesidades específicas de la verificación de identidad y no puede ofrecer el nivel de precisión requerido.
• Herramientas de análisis forense digital: estas herramientas pueden analizar metadatos y características de los archivos de medios para detectar manipulaciones. Los cambios en las propiedades del archivo, como su firma digital, pueden indicar alteraciones sospechosas.
• Regulaciones y legislación: implementar leyes que penalicen la creación y difusión de deepfakes malintencionados. La colaboración internacional es crucial para crear un marco legal que permita perseguir a los creadores de deepfakes independientemente de su ubicación geográfica.
• Alianzas entre plataformas de redes sociales y empresas tecnológicas: las plataformas como Facebook, Twitter, y YouTube pueden desarrollar y compartir tecnologías de detección con gobiernos y otras organizaciones para eliminar rápidamente contenido falso. Además, estas plataformas pueden marcar o eliminar contenido sospechoso de ser un deepfake, alertando a los usuarios.

Esta nueva práctica de la IA representa una amenaza en expansión, especialmente cuando cae en manos de ciberdelincuentes, y cada vez se le debe de prestar una mayor atención, mediante el desarrollo de herramientas de detección más avanzadas y un compromiso constante con la educación y la ética. La colaboración entre gobiernos, empresas y ciudadanía apunta a ser la mayor solución para reducir estos peligros y asegurar que esta nueva tecnología se aplique de manera positiva.