Al comenzar su turno, un analista de HorizonPay abre una cola de alertas que ya ha sido evaluada por una herramienta de triaje basada en IA. La puntuación ayuda a priorizar el trabajo, pero no determina por sí misma si la alerta constituye un incidente. En esta empresa fintech de 1.200 empleados, mapearemos la ruta del atacante antes de seleccionar las medidas de defensa.
Una cadena de ataque es la secuencia conectada que va desde el contacto inicial hasta el impacto en el negocio. La IA permite personalizar y repetir ataques ya conocidos con mayor rapidez. La cadena de ataque de HorizonPay puede comenzar con la técnica T1566 (Phishing), continuar con la reutilización de credenciales y una regla de buzón, transformarse en una solicitud de pago bajo la técnica T1656 (Impersonation/Suplantación de identidad) y finalizar con la técnica T1105 (Ingress Tool Transfer/Transferencia de herramientas de entrada). Las solicitudes que implican clonación de voz se corresponden con la técnica T1566.004 (Spearphishing Voice). El reconocimiento asistido por IA se asocia a la técnica T1595 (Active Scanning/Escaneo activo), mientras que las variantes de malware se vinculan a la técnica T1027 (Obfuscated Files or Information/Archivos o información ofuscados). Podemos rastrear los puntos donde esta cadena atraviesa las defensas de identidad, mensajería y endpoints (puntos finales).
Estos procesos se sitúan en las etapas de detección y triaje del ciclo de vida del incidente. Una recomendación de la IA constituye un insumo para el analista, no una resolución definitiva. Antes de bloquear a un remitente, deshabilitar una cuenta o escalar una solicitud de pago, el analista debe verificar las señales de identidad, la procedencia de la solicitud y la telemetría subyacente del terminal o de la red. Estas evidencias permiten determinar si distintas observaciones respaldan una misma cadena de eventos.
Autoridad para anular decisionesLas sugerencias de la IA pueden generar fatiga ante las alertas cuando los falsos positivos recurrentes parecen creíbles. El analista conserva la autoridad para anular la sugerencia y registrar el motivo de dicha decisión.
Los casos de HorizonPay ilustran las evidencias necesarias para aceptar una resolución sugerida por la IA.