Un analista del SOC (Centro de Operaciones de Seguridad) comienza su turno abriendo una cola de alertas donde una herramienta de triaje basada en IA ya ha asignado una puntuación a una solicitud de video sospechosa, supuestamente proveniente de un ejecutivo. La puntuación indica un nivel de riesgo, pero no determina si la solicitud es legítima, si se puede proceder con un pago o quién tiene la autoridad para tomar la decisión. En esta lección, definiremos el resultado del trabajo ante un posible incidente de deepfake: una resolución sólida y justificable en materia de seguridad y fraude, respaldada por pruebas, verificaciones y una ruta de escalada clara.
El término deepfake se refiere a audio, video o imágenes creados o modificados mediante aprendizaje automático (machine learning) para imitar a una persona. Los estafadores utilizan este material para aprovecharse de la confianza que generan una voz o un rostro familiares, a menudo añadiendo elementos de urgencia y confidencialidad. La suplantación de ejecutivos se corresponde con la técnica T1656 (Impersonation/Suplantación) del marco MITRE ATT&CK. La labor del equipo de seguridad consiste en proteger el punto de decisión, no en determinar si el contenido multimedia simplemente parece auténtico.
Incidente simulado: Northbridge Credit Union recibe una solicitud por video que parece provenir de su director financiero (CFO) y en la que se pide una transferencia bancaria urgente. Analizaremos cómo el equipo transforma dicha solicitud en un resultado documentado y sujeto a revisión. Sigamos el proceso desde la recepción inicial hasta la escalada:
Una resolución justificable explica qué sucedió, qué pruebas se preservaron, quién tenía la autoridad para decidir y por qué el equipo actuó o decidió hacer una pausa. No es necesario demostrar que el contenido multimedia es sintético antes de detener una transacción de riesgo. Para una solicitud de alto valor, la verificación independiente y el proceso de aprobación de pagos existente ofrecen mayores garantías que los simples indicios visuales o de audio.
El registro del caso debe separar los hechos observados de las suposiciones. Un ticket, un registro de llamadas y un borrador de transferencia bancaria establecen la solicitud, el canal, el momento y el impacto potencial; sin embargo, no confirman que la persona que llamó fuera realmente el director financiero (CFO). Esta distinción protege el caso frente a un error común: considerar una presentación convincente como prueba de identidad. Revise las pruebas de las que dispone Northbridge en la fase de recepción del caso: