La inteligencia artificial está cambiando la escala de los fraudes digitales y también la forma en que gobiernos y empresas deben prepararse para responder. Esta fue una de las principales conclusiones del Digi Americas LATAM CISO Summit, realizado en Cancún, donde especialistas, funcionarios y exmandatarios analizaron riesgos como el phishing automatizado, la clonación de voz, la dependencia de proveedores tecnológicos y la protección de datos críticos. El mensaje central no fue abandonar la IA, sino ajustar las estrategias de seguridad antes de que los sistemas automatizados amplíen los daños.
La IA reduce el costo de los fraudes digitales
La inteligencia artificial generativa permite crear mensajes más convincentes, adaptar campañas a distintos idiomas y producir contenido a una velocidad que antes requería más tiempo y recursos. Durante el encuentro se expuso como ejemplo que, por alrededor de 10 dólares, sería posible enviar mil correos de phishing con redacción personalizada.
La cifra fue presentada en los paneles del evento y sirve para ilustrar un cambio importante: los atacantes ya no necesitan elaborar manualmente cada mensaje. Pueden utilizar herramientas automatizadas para imitar estilos de comunicación, suplantar identidades y dirigir engaños a grupos específicos.
El riesgo no se limita al correo electrónico. Los participantes también hablaron de herramientas capaces de replicar una voz a partir de aproximadamente 15 segundos de audio. Con esa tecnología, un delincuente podría intentar hacerse pasar por un familiar, un directivo o un empleado para solicitar dinero, contraseñas o información confidencial.
Una medida práctica mencionada durante la conferencia fue acordar una palabra de seguridad con familiares o personas cercanas. Esa clave permitiría comprobar la identidad del interlocutor en una llamada inesperada, aunque no sustituye otras medidas de verificación.
El problema no es solo la IA: también son los permisos
La discusión se extendió a los llamados agentes autónomos. Se trata de sistemas capaces de ejecutar tareas con cierto nivel de independencia, lo que plantea preguntas sobre qué información pueden consultar, qué acciones están autorizados a realizar y quién responde por sus decisiones.
Para las organizaciones, el desafío consiste en evitar que una herramienta automatizada tenga más acceso del necesario. Entre los principios de seguridad destacados en el evento estuvieron:
- Identificar los activos y servicios que resultan críticos.
- Clasificar la información según su importancia y sensibilidad.
- Limitar los privilegios de usuarios, aplicaciones y agentes automatizados.
- Mantener control sobre las identidades que acceden a los sistemas.
- Conservar visibilidad sobre la superficie de ataque.
Estas medidas no son nuevas, pero adquieren mayor relevancia cuando se incorporan sistemas capaces de procesar datos y actuar con rapidez. Un error de configuración o un permiso excesivo puede tener consecuencias más amplias si la herramienta puede consultar varios sistemas o ejecutar acciones sin una revisión humana constante.
La cadena de suministro amplía la superficie de ataque
Otro de los focos del summit fue la dependencia de proveedores externos. Una empresa puede tener controles internos sólidos y, aun así, quedar expuesta por una plataforma en la nube, un desarrollador, un servicio de software o un proveedor tecnológico que forma parte de su operación.
Por eso, los especialistas plantearon que revisar certificaciones o realizar auditorías ocasionales ya no es suficiente. La evaluación debe incluir monitoreo continuo, identificación de dependencias y planes de contingencia para mantener las operaciones si un proveedor crítico deja de funcionar o sufre un incidente.
El punto es especialmente importante en sectores como finanzas, salud, energía, transporte y administración pública. En estas áreas, la ciberseguridad está vinculada con la resiliencia operativa: la capacidad de contener un ataque, recuperar sistemas y mantener servicios esenciales.
Proteger los datos críticos se volvió un asunto de Estado
Toomas Hendrik Ilves, expresidente de Estonia, sostuvo durante el encuentro que la soberanía digital adquiere mayor peso ante la dependencia de proveedores extranjeros, los conflictos y la expansión de la inteligencia artificial.
Como ejemplo, mencionó la estrategia de Estonia para conservar copias sincronizadas de información estatal esencial fuera de su territorio. El país cuenta con una llamada embajada de datos en Luxemburgo, donde mantiene respaldos de registros relacionados con identidad, impuestos, salud y otros servicios públicos bajo un régimen de extraterritorialidad diplomática.
La lógica detrás de este modelo es reducir el riesgo de que un desastre natural, un ataque o una interrupción de servicios destruya simultáneamente la información y la infraestructura que la opera. No significa que un respaldo externo resuelva todos los problemas de seguridad, pero sí muestra la importancia de pensar en la continuidad de los servicios desde el diseño de los sistemas.
Ilves también señaló que Estonia comenzó un programa para incorporar inteligencia artificial en distintos sectores del gobierno y la economía. En ese contexto, defendió que los agentes utilizados por las instituciones tengan una identidad propia, con el objetivo de facilitar la rendición de cuentas y saber qué sistema realizó cada acción.
La ciberseguridad también tiene impacto económico
Iván Duque, expresidente de Colombia, planteó que los ataques digitales deben analizarse como un problema macroeconómico y de seguridad nacional, no únicamente como incidentes técnicos. Una interrupción informática puede afectar operaciones, servicios públicos y actividad comercial, además de generar costos para las organizaciones afectadas.
Duque afirmó que los ciberataques en América Latina se han multiplicado en los últimos cinco años, aunque la información citada durante el evento no incluyó una medición regional consolidada que permitiera comparar todos los países. También señaló que en varios casos no existe suficiente información pública sobre investigaciones o procesos judiciales relacionados con estos delitos.
Desde su perspectiva, la respuesta requiere coordinación política al más alto nivel, con responsables de tecnología y seguridad cerca de las oficinas de gobierno. La idea coincide con una de las conclusiones generales del encuentro: las decisiones de ciberseguridad no pueden quedar aisladas en los departamentos técnicos si afectan infraestructura, economía y servicios esenciales.
Regular sin bloquear la innovación
Ariel Waissbein, director del Centro Nacional de Ciberseguridad de Argentina, advirtió que la legislación por sí sola no puede detener la evolución tecnológica. El reto para los gobiernos consiste en reducir los riesgos y establecer condiciones de uso seguro sin impedir el desarrollo de nuevas herramientas.
Esto implica crear reglas que puedan adaptarse a tecnologías que cambian rápidamente. También requiere cooperación entre gobiernos, empresas, reguladores y organismos internacionales, ya que los ataques pueden involucrar proveedores, víctimas y operadores ubicados en distintos países.
En el evento participaron legisladores de México, Colombia, Brasil y Uruguay, quienes coincidieron en la necesidad de fortalecer los marcos regulatorios de ciberseguridad. Sin embargo, la fuente no detalla propuestas legislativas concretas ni un calendario común para su implementación.
Entre los riesgos actuales y los escenarios extremos
La agenda del encuentro estuvo marcada por las declaraciones de Evan Hubinger, responsable de un equipo de seguridad de Anthropic, quien estimó en más de 10% la probabilidad de que la inteligencia artificial provoque la extinción humana durante la próxima década. También reconoció que la empresa todavía no tiene una solución para el problema de alineación de una superinteligencia.
La alineación se refiere, en términos sencillos, a conseguir que un sistema avanzado actúe de acuerdo con los objetivos y valores definidos por sus creadores. La estimación de Hubinger es una valoración personal reportada por la fuente, no una predicción confirmada ni un consenso científico.
Varios asistentes consideraron que ese escenario es sensacionalista, mientras que otros prefirieron no descartarlo por completo. Más allá del debate sobre riesgos extremos, los problemas tratados en el summit ya tienen una dimensión práctica: correos fraudulentos más baratos, suplantación de voz, dependencia de proveedores y sistemas automatizados con permisos difíciles de supervisar.
Qué debe observar el usuario y qué deben revisar las organizaciones
Para las personas, el crecimiento de estas herramientas vuelve más importante verificar solicitudes urgentes por un canal distinto, desconfiar de llamadas que exijan transferencias o datos sensibles y no asumir que una voz conocida confirma la identidad de quien llama.
En el caso de las empresas y gobiernos, la prioridad señalada por los expertos es conocer qué datos manejan, quién puede acceder a ellos, qué proveedores intervienen y cómo se recuperarán las operaciones después de un incidente. La seguridad debe incorporarse desde el diseño de productos, procesos e infraestructura, no como una revisión posterior.
La principal implicación del encuentro es que la inteligencia artificial no crea todos los riesgos desde cero, pero sí puede acelerar amenazas conocidas y ampliar su alcance. Por eso, su adopción tendrá un impacto limitado si no está acompañada por controles de acceso, respaldos, monitoreo continuo y coordinación entre los sectores involucrados. Las declaraciones sobre escenarios catastróficos seguirán alimentando el debate, pero para los usuarios la atención inmediata debe concentrarse en los fraudes y fallas de seguridad que ya pueden aprovechar estas capacidades.
Fuente: kchcomunicacion.com