Se preveía ampliamente que los deepfakes alterarían las elecciones en todo el mundo y desencadenarían un apocalipsis de desinformación y información errónea.
Los deepfakes no lograron inclinar la balanza a favor de ningún candidato, aunque su ineficacia no significa que sean inofensivos.
A medida que mejora la tecnología de IA, las organizaciones deben estar alerta y mantener la concienciación para proteger a sus personas y sistemas.
¿Cuál es la mayor amenaza de los deepfakes? Si hace un año se hubiera preguntado a la gente, muchos habrían dicho que su capacidad para alterar las elecciones en todo el mundo y desencadenar un apocalipsis de desinformación y información errónea, pero eso no es lo que ocurrió.
Durante los ciclos electorales de 2024 vimos memes, propaganda y «contenido de IA» de mala calidad, ninguno de los cuales inclinó la balanza a favor de ningún candidato.
Pero los deepfakes siguen entre nosotros, y su ineficacia para influir en las elecciones no significa que sean inofensivos.
Muchos se equivocaron con los deepfakes
Llevo escribiendo sobre los deepfakes desde 2020, advirtiendo de que eran una amenaza distinta de la que esperábamos y no una amenaza de desinformación o información errónea que afectaría a las elecciones.
Un informe reciente de Meta lo confirma, al afirmar que menos del 1 % de toda la desinformación verificada durante los ciclos electorales de 2024 correspondía a contenido generado por IA.
Pese a que las grandes elecciones celebradas en todo el mundo transcurrieron sin incidentes relacionados con la IA, incluida la mayor elección del mundo, en India, los expertos siguieron advirtiendo de los peligros hasta las elecciones presidenciales estadounidenses de 2024.
Muchos sobrestimaron el impacto de los deepfakes porque no podían concebir cómo una imagen o un vídeo muy convincentes no engañarían a la gente. Al fin y al cabo, existían imágenes como el Papa con un plumífero y el vestido de Katy Perry en la Met Gala, que sí engañaron a la gente. Sin embargo, estas imágenes no tenían consecuencias y no entraban en conflicto con los sesgos de las personas.
Las elecciones pueden ser muy polarizadoras y profundamente divisivas. En estas circunstancias, el consumo y la difusión de información tienden a alinearse con los sesgos de las personas. En muchos casos, la propia verdad no cambia la opinión de la gente en estos escenarios.
Muchos ignoraron que la información falsa ya formaba parte en gran medida de internet mucho antes de la aparición de la IA generativa (IAG). Pese a ello, no hemos entrado en un apocalipsis de desinformación o información errónea. La desinformación se ha convertido en una forma de entretenimiento, con personas que comparten memes y propaganda que respalda su postura para mostrar solidaridad y provocar al otro bando.
Los riesgos reales de los deepfakes
A medida que la tecnología que impulsa los deepfakes se ha vuelto más capaz y accesible, surgen dos categorías inmediatas de daño: el acoso y la ingeniería social.
Los deepfakes pueden utilizarse para atacar y acosar a personas. La forma más extrema de acoso es la creación de pornografía no consentida. Estas imágenes pueden emplearse directamente o como contenido para chantajes y estafas de sextorsión.
Este tipo de acoso tiene repercusiones sociales más amplias, y se están proponiendo nuevas leyes para abordarlo específicamente. Un ejemplo es la TAKE IT DOWN Act en Estados Unidos, que fue aprobada por unanimidad por el Senado.
El segundo grupo de riesgos corresponde a los ataques de ingeniería social. Los deepfakes pueden utilizarse para explotar tanto a las personas como a la tecnología. Por ejemplo, un atacante puede usar la IA para clonar la voz de un familiar y tratar de estafar a un pariente con dinero. Este tipo de estafa va en aumento, lo que ha llevado a organizaciones como la Comisión Federal de Comercio de Estados Unidos a emitir una alerta para los consumidores.
Más allá de las estafas, los atacantes pueden dirigirse a personas de una organización con ataques de ingeniería social más avanzados. Estos ataques pueden utilizar voces clonadas o incluso ataques más elaborados que incorporen deepfakes de vídeo.
En febrero de 2024, se informó de que un empleado del área financiera de una multinacional en Hong Kong fue engañado para pagar 25 millones de dólares tras una reunión por Zoom en la que todos los participantes, incluido el director financiero de la empresa, eran deepfakes.
También se pueden generar deepfakes para atacar sistemas. Por lo general, atacan sistemas que proporcionan autenticación o verificación. Los deepfakes utilizados de esta forma pueden poner al descubierto estrategias de verificación frágiles, como un banco que solicita una simple identificación mediante huella de voz.
Sin embargo, aunque la tecnología de deepfakes puede potenciar los ataques de ingeniería social, de los numerosos compromisos de respuesta a incidentes que el equipo de respuesta a incidentes de Kudelski Security gestiona anualmente, hasta la fecha ninguno ha implicado técnicas avanzadas de deepfake. Los métodos básicos de ingeniería social siguen predominando.
Cómo defenderse de los deepfakes
La accesibilidad de las herramientas y la escasa fricción para crear contenido significan que los deepfakes han llegado para quedarse. Esto, por desgracia, recae en gran medida en las personas, que deben defenderse por sí mismas.
Para defenderse de las estafas, hable de este escenario con su familia y haga que sean conscientes de los peligros. Las familias deberían establecer un «secreto» compartido. Esta palabra o frase secreta puede solicitarse para verificar que el familiar es quien dice ser.
En las organizaciones y los lugares de trabajo, la responsabilidad se comparte entre los empleados y la tecnología implementada. Los programas de formación y concienciación de los usuarios deben complementarse con ejemplos de ataques con deepfakes, para que los usuarios conozcan los escenarios y el posible daño.
La tecnología de detección de deepfakes es un ámbito de investigación en curso. Pese a ello, pueden adoptarse ciertas medidas para reducir el riesgo y elevar el listón para los atacantes.
Deben existir mecanismos sólidos de autenticación y autorización. Identifique los ámbitos con autenticación o verificación débiles, como una simple identificación mediante huella de voz o simples comprobaciones de documentos de imagen plana, y refuércelos con capas adicionales de seguridad.
La autenticación basada en voz puede reforzarse con un secreto adicional que un atacante no conocería. Para la verificación facial, pueden implementarse comprobaciones de vitalidad que exijan girar y volver la cabeza.
El mismo concepto puede aplicarse a documentos como los documentos de identidad con fotografía, exigiendo que se giren y se vuelvan. Ninguna de estas técnicas es infalible, y los atacantes ya las están explotando, por lo que las organizaciones deberán superponer medidas de seguridad para dificultar su labor.ya las están explotando, lo que significa que las organizaciones tendrán que combinar varias capas de seguridad para poner las cosas más difíciles a los atacantes.
Algunos de los problemas relacionados con los deepfakes escapan a nuestro control. Puede ser necesaria la intervención de los gobiernos para crear leyes que regulen ciertos usos de la tecnología, como la pornografía no consentida. Sin embargo, si una persona está siendo acosada, puede trabajar con plataformas tecnológicas como Meta, X y otras para denunciar este comportamiento.
Sobre todo, las organizaciones deben estar preparadas para evolucionar sus estrategias y adaptarse. A medida que la tecnología de IA mejora y surgen nuevas técnicas, las organizaciones deben estar alerta y mantener la concienciación sobre las técnicas de los atacantes para proteger a sus personas y sistemas.
¿Cómo aborda el Foro los desafíos globales de ciberseguridad?
El Centro para la Ciberseguridad ofrece una plataforma de confianza en la que los líderes se reúnen para comprender los riesgos cibernéticos cambiantes y sus implicaciones sistémicas. Se centra en generar comprensión y confianza en un mundo digital cada vez más interconectado.
Al facilitar la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a los socios a reforzar la ciberresiliencia y a abordar desafíos que requieren respuestas colectivas.
