Sin dudas la IA se convirti� en una herramienta indispensable en muchas disciplinas. Lamentablemente, tambi�n es utilizada de diferentes maneras por el cibercrimen para llevar adelante sus ataques y acciones maliciosas. En ESET dieron a conocer las 5 maneras en las que se unen para robar informaci�n sensible y sacar un r�dito econ�mico.

"En febrero de 2023, desde ESET ya alert�bamos sobre el uso malicioso que el cibercrimen podr�a darle a una herramienta con alcances tan amplios como la Inteligencia Artificial. A menos de un a�o y medio de esa advertencia, ya se puede observar las implicancias que los actores maliciosos le dan a la IA y c�mo la utilizan para expandir y mejorar sus t�cticas y estrategias de ataque. Un ejemplo es el de WormGPT, que, si bien ya ha sido de baja por parte de sus creadores, en su momento se ofrec�a exclusivamente a los cibercriminales en los foros clandestinos, con los mismos alcances y posibilidades que ChatGPT, pero sin ning�n tipo de barrera �tica.", comenta Camilo Guti�rrez Amaya, Jefe del Laboratorio de Investigaci�n de ESET Latinoam�rica.

A continuaci�n las 5 maneras en que los cibercriminales est�n utilizando la IA para efectuar estafas y quedarse con el dinero y datos personales de sus v�ctimas:

1. Perfeccionar la suplantaci�n de identidad: Seg�n investigadores de seguridad de IA en ETH Zurich, el gran auge de ChatGPT se vio acompa�ado de un da�o colateral muy peligroso: el enorme aumento de correos de phishing. La IA generativa se convirti� en la mejor aliada para diagramar formas de enga�ar a las personas para que estas revelen informaci�n sensible, ya sea para sacar un r�dito econ�mico o utilizarla para otras acciones maliciosas. Pero IA no es solo utilizada como una herramienta para lograr contenidos cada vez m�s convincentes, sino que tambi�n que se utiliza para traducir mensajes y mejorar la comunicaci�n entre diferentes grupos cibercriminales de todo el mundo.

Servicios como GoMail Pro, con una integraci�n de ChatGPT, permite a los ciberatacantes mejorar el contenido de los mensajes que luego env�an a sus v�ctimas. Si bien OpenAI intenta limitar el uso de sus productos para actividades ilegales, es algo muy dif�cil de detectar y controlar. Aun as�, a principio de este a�o anunciaron el cierre de cinco cuentas asociadas al cibercrimen.

2. Optimizar el doxing: El doxing, tambi�n conocido como doxxing, es la pr�ctica de publicar informaci�n personal de terceros con la intenci�n de intimidar, extorsionar o afectar de alg�n modo. Esta pr�ctica se afianz� en 2020 como parte de los ataques de ransomware, en los que los cibercriminales, adem�s de secuestrar todos los archivos, roban informaci�n de sus v�ctimas para sumar presi�n a las organizaciones, amenaz�ndolas con publicar toda esa informaci�n privada si no se paga el rescate.

Hoy la IA, que se entrena con la gran cantidad de datos de Internet, incluidos los datos personales, puede deducir d�nde podr�a estar ubicada una persona. La regla es simple: mientras m�s informaci�n haya sobre cada usuario en Internet, m�s vulnerable se est� a este tipo de pr�cticas. De hecho, el security researcher Mislav Balunović descubri�, junto a un equipo de investigaci�n, que gracias a GPT-4 es posible inferir informaci�n sensible de una persona, ya sea su origen �tnico o la ubicaci�n con el mero uso de conversaciones con un chatbot. Por ello, siempre recomendamos desde ESET pensar dos veces qu� tipo de informaci�n y contenidos se comparten en l�nea.

3. Hacer m�s realistas las estafas por audio y deepfake: No es una novedad que la IA generativa evolucion� a tal punto que hoy es realmente dif�cil discernir entre una imagen real y una creada por esta herramienta. Un ejemplo que ilustra de manera paradigm�tica es el de la estafa al empleado que perdi� 24 millones de d�lares tras una reuni�n con quien supuestamente era el director financiero de la compa��a y le ped�a la transferencia por ese monto importante de dinero.

La otra cara de esta misma moneda son las estafas por audio. Se necesita tan solo una toma de unos pocos segundo de la voz de una persona -de un video subido a Instagram o TikTok, por ejemplo-, para producir algo peligrosamente convincente.

4. Esquivar controles de identidad: En la misma l�nea que los deepfakes, los cibercriminales han encontrado la manera de eludir aquellos controles que verifican la identidad de una persona a trav�s de una imagen gracias a la Inteligencia Artificial. �C�mo lo hacen? Mediante un documento de identificaci�n, ya sea falso o robado, logran superponer esa imagen por encima del rostro de la persona real -similar a un filtro de la plataforma Instagram- y as� enga�ar al sistema. Si bien de momento esta pr�ctica se encuentra en un estado b�sico, es una metodolog�a que podr�a seguir mejorando y expandiendo su aplicaci�n.

5. Ofrecer jailbreak como servicio: Las empresas detr�s de las herramientas de inteligencia artificial implementan varias instancias de protecci�n con el fin de que sus modelos no devuelvan a los usuarios alguna informaci�n que pudiera ser peligrosa. Ahora bien, el cibercrimen est� optando por contratar servicios de jailbreak, en vez de construir sus propios modelos de IA, algo que les implicar�a mucho m�s tiempo y dinero. Los ciberatacantes pueden modificar el sistema de inteligencia artificial apuntado, y generar respuestas vinculadas a la generaci�n de contenido para correos maliciosos o directamente para escribir c�digo para un ransomware u otro tipo de malware, eludiendo estas limitaciones de las herramientas originales.

"La tecnolog�a no es buena ni mala, como tampoco lo es la Inteligencia Artificial: todo depende de las intenciones con que se las utilice. Porque, por ejemplo, son tambi�n actuales los casos donde ChatGPT es utilizado para analizar malware. Y tal es su alcance que interviene en otras �reas de valor: el impacto de la IA en la educaci�n puede ser m�s que positivo y hasta est� logrando implicancias realmente importantes en un rubro tan cr�tico como la medicina. Pero tambi�n, es inevitable hablar del uso que se puede hacer de estos avances tecnol�gicos, en las manos equivocadas. Estar al tanto de las estrategias y t�cticas de los cibercriminales es el primer paso para no ser una v�ctima m�s de sus estafas y enga�os", concluye Guti�rrez Amaya de ESET Latinoam�rica.