38 millones de euros es la cantidad récord robada por ladrones a una promotora inmobiliaria parisina utilizando técnicas de ingeniería social por teléfono y correo electrónico. En un principio, podría pensarse que la víctima mostró falta de discernimiento, pero los ciberdelincuentes no dejan nada al azar y están dispuestos a todo para lograr sus fines. Ahora considere el siguiente escenario: recibe un correo electrónico de su director ejecutivo que le solicita que le envíe información confidencial. El mensaje retoma su vocabulario habitual e incluso se refiere a su perro en una broma. Es preciso, fiel y muy convincente. El problema ? Fue diseñado por una IA generativa basada en información que un ciberdelincuente encontró en las redes sociales.
El surgimiento de ChatGPT ha llevado a la IA al centro de atención y, al mismo tiempo, ha generado serias preocupaciones sobre sus implicaciones de defensa cibernética. Unas semanas después de su lanzamiento, los investigadores pudieron demostrar que ChatGPT es capaz de escribir correos electrónicos de phishing, crear código malicioso y explicar cómo incrustar malware en los documentos.
Para empeorar las cosas, ChatGPT no es el primer chatbot en llegar al mercado, ni el último. La semana pasada, Google y Baidu se embarcaron en la aventura. Pero mientras los gigantes tecnológicos se esfuerzan por crear la mejor IA generativa, ¿qué significará eso para el futuro de la ciberdefensa?
La brecha de habilidades sigue siendo un obstáculo para los ciberdelincuentes
Uno de los primeros debates que plantea ChatGPT es el de la ciberseguridad: ¿los ciberdelincuentes podrían utilizar ChatGPT u otras IA generativas para mejorar sus campañas de ataque? ¿Podrían así facilitar la acción de los aspirantes a hackers?
ChatGPT es una herramienta poderosa y sus muchos casos de uso pueden ayudar a sus usuarios a ser más eficientes, agregar conocimientos y automatizar tareas simples.
Dicho esto, la IA generativa aún no es la panacea; tiene sus límites. Para empezar, solo domina aquello en lo que ha sido entrenada y requiere un entrenamiento constante. Además, los datos a partir de los cuales se entrenó la IA plantean interrogantes. La academia y los medios ya están preocupados por el riesgo de plagio y desinformación asistidos por IA. Por lo tanto, los humanos a menudo necesitan verificar los resultados obtenidos por ChatGPT. Sin embargo, a veces es difícil saber si el contenido fue inventado o si los resultados se basan en información confiable.
Lo mismo ocurre con la IA generativa aplicada a las ciberamenazas. Si un delincuente quisiera escribir malware, siempre tendría que guiar a ChatGPT para crearlo y luego verificar que el software funciona. Un ciberdelincuente aún necesitaría algún conocimiento previo sobre campañas de ataque para usarlo de manera efectiva; lo que significa que las habilidades requeridas para desarrollar técnicas de ataque siguen siendo un obstáculo para los principiantes. Sin embargo, es posible usar IA para cosas más simples, como crear correos electrónicos de phishing creíbles.
Los ataques generativos basados en IA priorizan la calidad sobre la cantidad
¿Está justificado el temor de que ChatGPT provoque un aumento en la cantidad de ataques cibernéticos dirigidos a empresas? Como suele suceder, la realidad difiere un poco de los discursos.
Si bien la cantidad de ataques de correo electrónico apenas ha cambiado desde el lanzamiento de ChatGPT, la cantidad de correos electrónicos de phishing que intentan engañar a la víctima para que haga clic en un enlace fraudulento en realidad ha disminuido entre un 22 % y un 14 %. Sin embargo, la complejidad lingüística promedio de los correos electrónicos de phishing aumentó en un 17 %.
Por supuesto, correlación no es sinónimo de causalidad, pero es muy posible que ChatGPT permita a los ciberdelincuentes redirigir sus actividades. En lugar de multiplicar los ataques por correo electrónico agregando enlaces fraudulentos o malware, los delincuentes pueden esperar un mejor retorno de la inversión mediante el desarrollo de estafas sofisticadas que explotan la confianza de sus víctimas y les piden que tomen medidas específicas: solicitar a RR. salario para pagarlo en otra cuenta bancaria controlada por un hacker.
Volvamos a la suposición planteada en la introducción: un ciberdelincuente solo tardaría unos minutos en recuperar información sobre una posible víctima de sus redes sociales y pedirle a ChatGPT que cree un correo electrónico. En cuestión de segundos, ese delincuente tendría un correo electrónico de phishing creíble, bien escrito y contextualizado listo para enviar.
Un futuro donde las máquinas luchen contra las máquinas
La carrera por la IA generativa empujará a los gigantes tecnológicos a querer comercializar la IA más precisa, rápida y creíble. Y es inevitable que los ciberdelincuentes aprovechen esta innovación para su propio beneficio. El uso de inteligencia artificial (que también permite la integración de datos de audio y video falsificados) facilitará que los delincuentes lancen ataques personalizados, más rápidos y efectivos.
Para los equipos de seguridad encargados de proteger a su gente, infraestructura y propiedad intelectual, la defensa cibernética basada en IA será esencial. La IA de autoaprendizaje sabe cómo identificar y contener ataques sutiles a través de un conocimiento profundo de los usuarios y dispositivos dentro de las organizaciones que protege. Al aprender de estos patrones de vida, desarrolla una comprensión holística de lo que es normal para los usuarios en el contexto del mundo real de los datos que se intercambian a diario. En otras palabras, la mejor manera de detener los ataques hiperpersonalizados impulsados por IA es tener una IA que sepa incluso más sobre su negocio que un generador.
Obviamente, la generalización de la IA generativa nos llevará en última instancia a una guerra de algoritmos, enfrentando máquinas contra otras máquinas. Ha llegado el momento de que los equipos de seguridad introduzcan la IA en su conjunto de herramientas de ciberseguridad.
About the Author
