Auditoría de TI

Por: CP Iván Rodríguez. Colaborador de Auditool.

En nuestro mundo actual, en el que la tecnología desempeña un papel cada vez más influyente en el trabajo y en las actividades cotidianas, la amenaza del delito cibernético plantea un desafío significativo para las empresas, los gobiernos y las personas (auditores incluidos) de todo el mundo.

Con los ciberdelincuentes cada vez más refinados, las medidas convencionales de ciberseguridad deben actualizarse permanentemente. Ahora, con la aparición de la inteligencia artificial (IA) se han abierto nuevas vías para los cibercriminales, pero a su vez, esto ha permitido desarrollar e implementar tecnologías y sistemas de ciberseguridad para combatir el cibercrimen.

Vale la pena recordar, entonces, qué es el cibercrimen. También conocido como delito informático, es un tipo de actividad ilegal que implica el uso de computadoras. Su impacto principal es financiero, ya que los ciberdelincuentes recurren a tácticas como ataques de ransomware, estafas por internet, correo electrónico y robo de identidad para lograr sus objetivos. También puede implicar la difusión de información ilegal, malware, imágenes u otros materiales dañinos, que pueden dañar o deshabilitar computadoras y dispositivos.

Por su parte, ha habido un gran desarrollo de la IA, a la cual se le ve normalmente como una tecnología de propósito general. Esto significa que, de manera similar a lo que ocurrió con la electricidad, las computadoras y el internet, es posible que la IA tenga aplicaciones en diferentes aspectos. Desafortunadamente para las organizaciones que buscan mantener su entorno informático seguro, hay que considerar el cibercrimen.

Desde hace algunos años, se ha identificado cómo los ciberdelincuentes están utilizando la IA para hacer que sus ataques sean más efectivos. Justamente, ellos suelen ser los primeros en adoptar las últimas tecnologías. Por ejemplo, se ha empleado la IA para adivinar contraseñas, superar controles, clonar la voz y muchas más innovaciones maliciosas que actualmente están en proceso.

Ahora bien, así como la alta dirección necesita entender cómo la IA puede ayudar a su organización a lograr sus propios objetivos, también es crucial que comprendan cómo la IA reforzará la sofisticación y la escala de los ciberataques criminales, para que puedan comenzar a prepararse contra ellos. Uno de los primeros usos de la IA por parte de los ciberdelincuentes para mejorar la efectividad de los ciberataques tradicionales se centra en eludir las defensas automatizadas que protegen los sistemas de TI. Desde ya hace algún tiempo se ha advertido el uso de IA para crear correos electrónicos maliciosos que pueden eludir los filtros de spam. También se utiliza la IA para desarrollar malware con un enfoque similar al software antivirus, buscando puntos débiles en el algoritmo de detección del software.

En el caso de adivinar contraseñas, algunas herramientas utilizan IA para analizar un gran conjunto de datos de contraseñas recuperadas de filtraciones públicas y hackeos en los principales sitios web y servicios. Esto revela cómo las personas modifican sus contraseñas a lo largo del tiempo, como agregar números al final o efectuar cambios simples, reemplazando unos caracteres por otros. También se está trabajando para utilizar el aprendizaje automático para romper los CAPTCHA^[1] que se encuentran en la mayoría de los sitios web para garantizar que el usuario sea humano.

Otros usos de la IA para el cibercrimen se centran en la ingeniería social, por medio de la cual engañan a los usuarios humanos para que hagan clic en enlaces maliciosos o compartan información confidencial. Los ciberdelincuentes emplean la IA para recopilar información sobre sus objetivos, esto incluye identificar todos los perfiles de redes sociales de una persona determinada, incluso haciendo coincidir sus fotos de usuario en todas las plataformas y posteriormente utilizan la IA para engañarlos de manera más efectiva.

El anterior caso, incluye crear imágenes, audio e incluso videos falsos para que sus objetivos piensen que están interactuando con alguien en quien confían. De hecho, hay herramientas que realizan la clonación de voz en tiempo real. Con una grabación de voz de unos cuantos segundos, los hackers pueden clonar la voz de cualquier persona y usarla para obtener acceso a servicios o engañar a otras personas. Inclusive, los ciberdelincuentes están utilizando falsificaciones profundas de video, que hacen que la cara de una persona reemplace a otra y, de esa manera, obtener acceso a sistemas de TI sensibles.

Se espera que el uso de la IA por parte de los ciberdelincuentes aumente a medida que la tecnología esté más ampliamente disponible. Los expertos predicen que esto les permitirá lanzar ataques cibernéticos a una escala mucho mayor de lo que es posible actualmente. Por ejemplo, los delincuentes podrán usar la IA para analizar más información que permita identificar objetivos y vulnerabilidades, y atacar a más víctimas a la vez. También podrán generar más contenido con el que engañar a la gente. Los modelos de lenguaje grandes, que se pueden usar para generar texto realista y otras salidas, pueden tener una serie de aplicaciones cibercriminales. Estos podrían incluir imitar el estilo de escritura de un individuo o crear chatbots^[2] que las víctimas confunden con personas reales.

Frente a este panorama, la protección contra la ciberdelincuencia impulsada por la IA requerirá respuestas a nivel individual, organizativo y social. Los empleados deberán estar capacitados para identificar nuevas amenazas, como falsificaciones profundas. Las personas están acostumbradas a que los ataques tengan cierta apariencia identificable, pero no a algo que aparece al azar en una llamada de Zoom o mensaje de WhatsApp y, por lo tanto, no están preparados cuando esto suceda.

Además de las mejores prácticas habituales de ciberseguridad, las organizaciones deberán emplear herramientas de IA para enfrentar la escala y la sofisticación de las amenazas futuras. Los sistemas de seguridad apoyados en IA ofrecen alertas en tiempo real de posibles amenazas y monitorean continuamente redes, dispositivos y aplicaciones, eliminando el retraso humano y el tiempo de respuesta. La capacidad de la IA para "aprender" del comportamiento anterior permite obtener información rápida y procesable cuando se enfrenta a información o comportamientos nuevos o desconocidos. Puede hacer inferencias lógicas basadas en subconjuntos de datos potencialmente inadecuados y proporcionar varias soluciones a un problema conocido, lo que le permite a los equipos de seguridad elegir el mejor curso de acción.

Actualmente, se están utilizando algoritmos sofisticados para entrenar a los sistemas de IA para detectar malware y reconocer los comportamientos más pequeños de los ataques de ransomware, también para ejecutar el reconocimiento de patrones antes de que se infiltren en un sistema. La IA permite una inteligencia predictiva superior, aprovechando el procesamiento del lenguaje natural para seleccionar datos sobre amenazas cibernéticas mediante la revisión de artículos, noticias y estudios. Esto brinda a los equipos de ciberseguridad una mejor comprensión de las nuevas anomalías, los ciberataques y las estrategias de prevención, ya que los ciberdelincuentes siguen constantemente las tendencias.

Asimismo, los sistemas de ciberseguridad impulsados por IA ofrecen la información más reciente sobre amenazas globales y específicas de la industria. Esto permite a las organizaciones tomar decisiones más informadas cuando se trata de priorizar sus defensas contra posibles ataques. Por ejemplo, toda vez que los chatbots constituyen una parte sustancial del tráfico de internet y pueden presentar riesgos sustanciales, como la adquisición de cuentas y el fraude de datos, la IA y el aprendizaje automático pueden ayudar a las organizaciones a obtener una comprensión más profunda del tráfico del sitio web y diferenciar entre chatbots buenos, chatbots malos y usuarios humanos.

La IA suele ser efectiva para prevenir ataques cibernéticos, especialmente para detener el spam y el phishing. Existen en el mercado soluciones de búsqueda de amenazas cibernéticas impulsadas por IA que permiten detectar y bloquear intentos de phishing, así como categorizar y bloquear sitios web en función de su origen. Así mismo, la IA también puede mejorar los procesos de autenticación, asegurando que las identidades de los usuarios se verifiquen a lo largo de su sesión de trabajo. Esto evidencia que el uso de la IA en la prevención de ciberataques es crucial en la lucha contra la ciberdelincuencia, permitiendo a las organizaciones responder de manera proactiva y proteger sus sistemas y datos.

Sin embargo, es importante tener en cuenta que la IA no es una solución mágica para la ciberseguridad. Los ciberdelincuentes también pueden aprovechar el poder de la IA para lanzar ataques más avanzados y sofisticados. Del mismo modo, los sistemas basados en IA tampoco son inmunes a los ataques en sí mismos. Por lo tanto, diseñar, probar y mantener adecuadamente los sistemas de ciberseguridad basados en IA es crucial para evitar el uso indebido.

^[1] Un CAPTCHA es una prueba utilizada por sitios y servicios web para comprobar si el usuario es un internauta humano y no un robot. Este sistema consiste en identificaciones sencillas de letras, cifras o imágenes.

^[2] Un chatbot es un programa informático diseñado para comunicarse con seres humanos a través de una interfaz de chat, ya sea en un sitio web, aplicación de mensajería o plataforma de redes sociales. Estos sistemas de inteligencia artificial pueden ser programados para responder preguntas frecuentes, realizar tareas específicas o proporcionar asistencia en línea.

CP Iván Rodríguez - CIE AF

Auditor y consultor, diplomado en Alta Gerencia de Seguros y Derecho de Seguros. Especialista en Dirección Financiera y Desarrollo Organizacional, diplomado en Gerencia de la Calidad. Contador público (CP) de la Pontificia Universidad Javeriana con 20 años de experiencia en diversas empresas. Tiene amplia experiencia en la elaboración y ejecución de auditorías y revisorías fiscales. Dirección y ejecución de asesorías, consultorías y capacitaciones. Colaborador de Auditool.

Bogotá D.C., Colombia.