La IA ha permitido que una nueva clase de ciberdelincuentes se fije en las lucrativas oportunidades que supone infiltrarse directamente en las empresas.
Los avances en la IA generativa han permitido a los estafadores explotar el proceso de contratación para puestos técnicos remotos muy demandados.
Hoy en día, las organizaciones deben reforzar sus defensas para garantizar la integridad de sus prácticas de contratación.
La inteligencia artificial (IA) generativa está transformando el panorama de la ciberseguridad al poner capacidades mejoradas en manos de los actores de amenazas.
Con herramientas basadas en IA, un solo actor de amenazas puede ahora hacer el trabajo de varios. Por ejemplo, en el reciente análisis de Anthropic sobre una campaña de ciberespionaje orquestada por IA, los investigadores observaron que el actor de amenazas utilizaba la IA para realizar el 80-90% del ataque, con solo una intervención humana esporádica.
Muchas personas ya han sentido los efectos de las tácticas de ingeniería social mejoradas, que dependen de que una persona revele información comprometedora, como una contraseña, datos bancarios u otra información de identificación personal (PII). También se ha observado que los actores de amenazas utilizan la IA para falsificar páginas de inicio de sesión en la web con la intención de obtener credenciales de usuario.
Además, la IA ha permitido que una nueva clase de ciberdelincuentes se fije en las lucrativas oportunidades que supone infiltrarse directamente en las empresas.
Específicamente, la evolución de la IA generativa ha permitido a los estafadores explotar el proceso de contratación para puestos técnicos remotos muy demandados. Utilizando herramientas de IA para elaborar currículos ficticios que los presentan como candidatos ideales, y empleando tecnología deepfake para superar las pruebas de selección y realizar entrevistas, se ha observado que los estafadores consiguen con éxito empleos de personal de TI remoto.
La aparición de estas estafas laborales impulsadas por IA ha puesto de nuevo de relieve algunos de los desafíos subyacentes de la seguridad de la identidad en la era de la IA. A medida que las herramientas de IA siguen mejorando y que los ciberdelincuentes incorporan flujos agénticos a sus operaciones, las organizaciones deben comprender cómo la superficie de ataque se ha extendido a la contratación y la incorporación, así como el papel que desempeña una gestión eficaz de la identidad para reforzar sus defensas.
Análisis de la amenaza
En los últimos años, el sector tecnológico fue el máximo exponente de las oportunidades de trabajo remoto. Con una alta concentración de puestos de ingeniería de software y otros puestos técnicos afines, funciones que podían desempeñarse prácticamente desde cualquier lugar, las empresas tecnológicas tenían el privilegio de captar talento de todo el mundo. Así, la industria tecnológica se convirtió en el objetivo inicial de estas estafas de trabajadores remotos.
Los actores respaldados por Estados han orquestado los ejemplos más destacados de este engaño hasta la fecha. Motivados principalmente por la necesidad de recaudar fondos para su Estado, dirigirse a empleos remotos ofrece a estos actores de amenazas una fuente de ingresos a costa de empresas desprevenidas.
Pero el rápido ritmo de la innovación digital ha provocado un creciente número de puestos técnicos remotos en sectores ajenos al tecnológico. Por ejemplo, las organizaciones sanitarias han ampliado la contratación para el desarrollo de aplicaciones móviles y plataformas de registros médicos electrónicos. En los servicios financieros han surgido nuevos puestos en funciones de procesamiento back-office, como nóminas y contabilidad.
Las investigaciones más recientes muestran que alrededor de la mitad de las empresas objetivo de estos ataques no pertenecían al sector tecnológico y que aproximadamente una cuarta parte de todos los objetivos se encontraban fuera de Estados Unidos.
Análisis de las tácticas
Para facilitar estos ataques, los actores de amenazas recurren a herramientas de IA generativa en casi cada etapa del proceso. Según la actividad observada por Okta Threat Intelligence, así podría ser el recorrido típico de un estafador hasta obtener un empleo fraudulento.
El atacante comienza creando una oferta de empleo falsa en una plataforma de contratación mejorada con IA. Es similar, o quizá incluso idéntica, a una oferta de una de sus organizaciones objetivo. Mientras los candidatos legítimos solicitan esta oferta fabricada, el actor de amenazas estudia cómo son las candidaturas reales y entrena a la IA con estas solicitudes para desarrollar su propia candidatura para la vacante real.
Tras perfeccionar el currículum, el estafador pone a prueba este perfil fabricado frente al software de seguimiento de candidatos, mejorando sus probabilidades de superar los filtros automatizados que utilizan muchas plataformas de contratación.
Una vez que la candidatura tiene éxito y se programa una entrevista, el actor de amenazas recurre a un servicio de revisión de entrevistas por webcam basado en IA. Mediante entrevistas simuladas a través de uno de estos servicios, pueden comprobar la eficacia de las superposiciones deepfake y cómo responden los modelos de lenguaje de gran tamaño (LLM) a preguntas técnicas complejas, lo que les ayuda a preparar las respuestas de la entrevista.
No está claro qué proporción de entrevistas se convierte exactamente en una oferta de trabajo, pero si el estafador consigue el empleo, depende en gran medida de chatbots basados en IA para desempeñar las responsabilidades diarias de su puesto.
Mejora de las defensas
Los acuerdos de trabajo flexible se han consolidado como la nueva norma en muchos sectores. Según la Oficina de Estadísticas Laborales de Estados Unidos (BLS), el número de estadounidenses que teletrabajan aumentó hasta el 23% el año pasado, lo que equivale a más de 35 millones de trabajadores.
La realidad es que las organizaciones actuales deben reforzar sus defensas para garantizar la integridad de sus prácticas de contratación. Las empresas pueden seguir los siguientes pasos para reforzar sus procesos:
1. Endurecer el proceso de selección y contratación: Los equipos de recursos humanos y de contratación deben recibir formación para identificar las señales de alerta sutiles asociadas a los candidatos fraudulentos. Entre los indicios habituales se encuentran candidatos que son sustituidos entre rondas de entrevistas, que se niegan a encender sus cámaras o que utilizan una conexión a internet extremadamente deficiente.
Implementar un proceso estructurado de verificación técnica y conductual, como exigir una demostración de habilidades en directo bajo observación directa, puede ayudar a los equipos a identificar a posibles estafadores. Además, los reclutadores deben investigar la huella digital de sus candidatos y la legitimidad del historial laboral que aportan, para asegurarse de que las muestras o proyectos no hayan sido copiados de perfiles existentes.
2. Verificar rigurosamente las identidades: Las organizaciones necesitan comprobaciones verificables de documentos oficiales de identidad en varias etapas de la contratación y durante la relación laboral. Los servicios de terceros pueden ayudar a autenticar documentos de identidad y credenciales académicas. Para evitar la falsificación de la ubicación, las organizaciones deben contrastar las ubicaciones declaradas por sus candidatos con datos técnicos, como la dirección IP, el comportamiento de la zona horaria y la información de nómina.
El proceso de verificación de identidad no debe desaparecer una vez que el empleado comienza su incorporación. Las organizaciones deben aplicar controles de acceso basados en roles y segregados, asignando por defecto a los nuevos trabajadores temporales el mínimo privilegio y acceso necesario hasta que se completen las comprobaciones del periodo de prueba y de verificación.
3. Vigilar las amenazas internas: Las organizaciones deben implementar una función específica de riesgo interno para gestionar de forma proactiva las posibles amenazas. Normalmente adopta la forma de un grupo de trabajo que reúne a miembros de los equipos de recursos humanos, jurídico, seguridad y TI. Esta función supervisa patrones de acceso anómalos, como descargas masivas de datos, inicios de sesión fuera de horario desde ubicaciones o VPN inusuales, y el intercambio de credenciales, indicadores que pueden señalar una actividad interna inusual.
Las organizaciones también deben formar y capacitar a su personal para observar y señalar actividades sospechosas.
Preparación para el futuro impulsado por la IA
A medida que la IA generativa sigue cambiando el terreno de juego de la ciberseguridad, el proceso de contratación se está convirtiendo cada vez más en un vector de ataque significativo.
Dado que estas estafas se han extendido a más sectores, ninguna organización puede confiar con seguridad en procesos de selección obsoletos. Reforzar las defensas requiere un enfoque por capas de la seguridad de la identidad, que dé prioridad a la verificación rigurosa y a la supervisión continua para evitar que las contrataciones fraudulentas se conviertan en amenazas internas críticas.
