El escenario que ahora vemos con cierta regularidad no se parece en nada a un correo de phishing plagado de errores. Un miembro del equipo de finanzas se une a una videollamada que ya está en curso. El director financiero aparece en pantalla, hablando con una voz familiar, haciendo referencia a un acuerdo real en curso y solicitando una transferencia urgente de tesorería para cerrarlo antes de un plazo que no puede aplazarse. Todo en la llamada se ve y suena correcto. No es el director financiero.
Esto es distinto de las imágenes deepfake estáticas y las llamadas telefónicas con voz clonada que reciben la mayor parte de la atención pública, y también es distinto del compromiso de correo empresarial ordinario. El fraude deepfake de video en tiempo real utiliza síntesis en vivo de rostro y voz durante una videollamada real, reaccionando a preguntas, sosteniendo una conversación y ajustando el tono en el momento. Resulta más convincente que un clip pregrabado porque responde como una conversación genuina, y está dirigido específicamente al único contexto, una solicitud en vivo de un ejecutivo, que muchas organizaciones todavía tratan como autorización suficiente por sí sola.
Por qué las transferencias de tesorería cripto son un objetivo preferido
Una transferencia de criptomonedas es definitiva en el momento en que se confirma en cadena. No hay un día hábil de por medio, ningún banco corresponsal que pueda señalar un patrón inusual, y ninguna solicitud sencilla de reversión una vez liquidada la transacción. Para un atacante que suplanta a un ejecutivo, eso convierte a la billetera cripto de una empresa en un objetivo considerablemente más atractivo que una cuenta bancaria, donde una transferencia fraudulenta al menos tiene una ventana estrecha en la que todavía podría detenerse o revertirse antes de liquidarse.
La llamada en sí suele ser la culminación de un trabajo de reconocimiento, no el primer paso. Los atacantes recurren con frecuencia a material audiovisual disponible públicamente, llamadas de resultados, charlas en conferencias, asambleas internas publicadas en línea, para entrenar el modelo usado para suplantar a un ejecutivo específico, y por lo general ya conocen la terminología interna, los nombres de los acuerdos y las relaciones jerárquicas lo suficientemente bien como para sonar creíbles sin que esos detalles delaten nada.
Por qué una videollamada por sí sola ya no es una verificación confiable
Muchas organizaciones construyeron su concientización interna sobre fraude alrededor de la idea de que una llamada telefónica o una videollamada era la forma segura de confirmar una solicitud sospechosa por correo, ya que una voz o un rostro en una llamada en vivo parecía más difícil de falsificar de forma convincente que un texto. Ese supuesto ahora está obsoleto. Una llamada en vivo añade una capa de aparente legitimidad que puede hacer que el personal sea menos propenso a cuestionar una solicitud inusual, no más, precisamente porque se siente más personal y más difícil de fabricar de lo que realmente es.
La defensa que realmente funciona no es aprender a detectar un deepfake en el momento. La detección durante una llamada en vivo es genuinamente difícil incluso para quienes saben qué buscar. La defensa que funciona es negarse a tratar cualquier canal de comunicación individual, incluida una videollamada en vivo, como autorización suficiente para una transferencia irreversible.
Protocolos de verificación que vale la pena implementar
- Confirmación fuera de banda para cualquier transferencia por encima de un umbral establecido, lo que significa que la solicitud debe confirmarse de forma independiente a través de un segundo canal que el solicitante no inició, como una llamada realizada a un número ya registrado y no a uno proporcionado durante la llamada original.
- Una palabra o frase clave verbal rotativa, conocida solo por un pequeño grupo interno y cambiada periódicamente, que debe proporcionarse antes de ejecutar cualquier instrucción de transferencia de alto valor, sin importar cómo llegue la solicitud.
- Una política estricta de devolución de llamada: si una solicitud llega con urgencia durante una llamada en vivo, quien la recibe cuelga y devuelve la llamada al solicitante a un número conocido y previamente guardado, en lugar de continuar en la línea original o confiar en un número proporcionado durante la llamada.
- Un requisito de doble aprobación para movimientos de tesorería por encima de un monto establecido, estructurado de manera que el segundo aprobador no sea alcanzable a través del mismo hilo de comunicación que la primera solicitud.
- Una postura predeterminada según la cual la urgencia en sí misma es una señal de alerta. La presión de tiempo genuina sobre una transferencia cripto irreversible es lo bastante infrecuente como para que deba generar más escrutinio, no menos.
Si una transferencia ya se realizó
El identificador de la transacción, la dirección de la billetera de destino y un registro completo de la propia llamada, incluida cualquier grabación, los metadatos de la reunión y la solicitud exacta realizada, son el punto de partida de cualquier investigación. Consérvelos antes de que la discusión interna sobre lo ocurrido tenga la oportunidad de difuminar la línea de tiempo. A partir de ahí, el caso se trata de forma muy similar a cualquier otro compromiso de billetera empresarial: la ruta rastreable que siguieron los fondos importa más que reconstruir exactamente cuán convincente fue la suplantación.