Formación sobre Deepfake: guía rápida

Los deepfakes se están convirtiendo cada vez más en un enorme riesgo cibernético para las organizaciones. Todos hemos visto vídeos como el siguiente, en el que aparecen personajes famosos diciendo las cosas más extravagantes. A menudo se podía ver fácilmente que era falso, lo que le daba cierta gracia. Pero a medida que pasan las semanas y los meses, los modelos de IA que crean estos vídeos mejoran a la hora de engañarnos.

En este artículo, explicaremos qué son los deepfakes, por qué suponen un riesgo tan grave para las empresas y cómo puedes preparar a tus empleados mediante una formación de concienciación sobre deepfakes.

Empecemos por el principio.

¿Qué son los deepfakes y por qué son peligrosos?

Los deepfakes son medios sintéticos (vídeo o audio) generados o manipulados mediante inteligencia artificial para que parezca que las personas dicen o hacen cosas que en realidad nunca dijeron o hicieron. Se pueden intercambiar caras y clonar voces para que suenen inquietantemente convincentes. Un deepfake puede convencer a otros de que una persona ha dicho o hecho cosas que nunca hizo. Como comer espaguetis en la playa.

Con los años, todos hemos aprendido a no fiarnos siempre de lo que leemos. Sin embargo, la gente aún no ha aprendido a desconfiar de todo lo que ve y oye. De esto se aprovechan actualmente los ciberdelincuentes. Ya se trate de un vídeo falso de un director general haciendo una declaración controvertida, o de una voz clonada solicitando urgentemente información sensible, los deepfakes pueden causar daños en el mundo real

Principales riesgos de las deepfakes para las organizaciones

Los deepfakes crean amenazas de varios niveles para las empresas. Los principales riesgos son:

Fraude y pérdidas financieras del CEO

Una de las principales amenazas es el fraude de los directores ejecutivos mediante deepfake. Los delincuentes utilizan una voz o un vídeo clonados de un alto ejecutivo para engañar a los empleados y hacerles transferir dinero. Estos ataques ya se están produciendo. Por ejemplo:

• En 2019, una empresa energética británica perdió 243.000 dólares tras una llamada de voz deepfake de un "CEO".
• En 2020, los estafadores utilizaron la tecnología de voz deepfake para robar 35 millones de dólares.
• En 2024, una empresa británica de ingeniería perdió más de 20 millones de libras después de que una videollamada falsa se hiciera pasar por un alto ejecutivo.

Los empleados tienden naturalmente a obedecer las peticiones urgentes de los dirigentes, especialmente bajo presión. Los deepfakes se aprovechan de este instinto, eludiendo los procedimientos habituales de verificación.

Daños a la reputación y desinformación

Los deepfakes también pueden utilizarse para destruir reputaciones. Imagínese un vídeo falso de su director general haciendo comentarios racistas -o pruebas falsas de que su producto no es seguro- que se hace viral en Internet. Aunque luego se desmienta, el daño a la confianza y a la percepción pública puede ser irreversible.

Europol advierte de que los deepfakes podrían utilizarse para difundir información falsa sobre empresas, creando pánico entre los accionistas, boicots de clientes o incluso investigaciones reguladoras.

phishing selectivo e ingeniería social

Los deepfakes llevan la ingeniería social a un nivel completamente nuevo. En lugar de un correo electrónico sospechoso, imagínese recibir una videollamada convincente de su "departamento de TI" pidiéndole que acceda a una página de phishing . O un mensaje de voz de su "director financiero" solicitándole información confidencial urgente.

• El vishing ( phishing voz) y el video phishing son amenazas crecientes.
• Los atacantes sólo necesitan un breve clip de audio (por ejemplo, de las redes sociales) para clonar la voz de una persona de forma convincente.

Los deepfakes crean autenticidad emocional, lo que hace más difícil que los empleados detecten el fraude basándose únicamente en el instinto.

En la vida privada, muchas personas ya han sido blanco de deepfakes de sus hijos o padres. Si la voz inconfundible de tu hijo te dice que está en peligro y necesita dinero ya, ¿estás lo bastante tranquilo y atento como para volver a comprobar su identidad?

Por qué ya no basta con la security awareness tradicional security awareness

La mayoría de las empresas ofrecen cursos anuales de security awareness , que abarcan el phishing, la higiene de contraseñas y la ciberhigiene básica. Pero eso ya no es suficiente contra los deepfakes:

• Los "deepfakes" son una nueva amenaza en rápida evolución. Los empleados deben aprender a cuestionar incluso las fuentes de confianza, como vídeos y llamadas telefónicas.
• La mayoría de los programas de formación tradicionales ni siquiera mencionan los deepfakes.
• Las investigaciones demuestran que, incluso después de haber sido advertidos de la existencia de deepfakes, los ciudadanos no son capaces de detectarlos.
• La formación tradicional en seguridad es estática, mientras que las técnicas de deepfake evolucionan mensualmente.
• Los incidentes relacionados con deepfakes requieren nuevas respuestas procedimentales, como verificar las llamadas sospechosas a través de canales alternativos y contar con mecanismos claros de denuncia.

Sin una formación específica de concienciación sobre deepfakes, los empleados pueden caer en los ataques porque subestiman lo convincentes que pueden ser los medios sintéticos.

Consejos prácticos: preparar a los empleados para los incidentes de deepfake

Las organizaciones pueden empezar a prepararse hoy mismo:

• Campañas de concienciación con ejemplos reales: Muestra a los empleados ejemplos reales de deepfakes. Comparar vídeos reales y falsos ayuda a generar un sano escepticismo. La clave es la repetición. Una formación anual se olvida a las pocas semanas.
• Enseñar técnicas de detección: Formar al personal para que detecte incoherencias sutiles (por ejemplo, movimientos labiales desajustados, iluminación extraña, voces monótonas).
• Defina procedimientos de notificación claros: Los empleados deben saber cómo verificar las solicitudes inusuales e informar de las sospechas sin temor a ser culpados.
• Utilice herramientas técnicas: Explore programas informáticos que puedan detectar soportes sintéticos o aplique la verificación de dos factores para las solicitudes delicadas.

Cómo ofrecer una formación eficaz security awareness de las deepfakes

Guardey ayuda a las organizaciones a crear una resistencia cibernética continua con una formación de security awareness gamificada y fácil de usar que incluye la concienciación sobre deepfake:

• Gamificación: los empleados ganan puntos, insignias y compiten en tablas de clasificación amistosas, lo que hace que el aprendizaje sea divertido y memorable.
• Aprendizaje continuo: En lugar de una sesión anual, Guardey ofrece microaprendizaje semanal o mensual, lo que ayuda a los empleados a mantenerse actualizados a medida que evolucionan las amenazas de deepfake.
• Contenido relevante: Guardey adapta los escenarios al sector de cada cliente, lo que hace que las lecciones sean altamente relacionables.

El modelo continuo y gamificado de Guardey anima a los empleados a pensar críticamente sobre lo que ven y oyen, creando hábitos duraderos de escepticismo.

→ Obtén más información sobre Guardey durante una demostración

Conclusión: actúe ahora para ir por delante

Los deepfakes ya no son ciencia ficción. A diestro y siniestro, los ciberdelincuentes intentan engañar a los empleados para que hagan cosas que pueden dañar las finanzas o la reputación de su organización. Invertir en formación recurrente es la única opción para preparar a tus empleados.