Demasiado bueno para ser verdad: ciberdelincuentes usan IA para ofrecer empleos falsos y robar tu data

MIRA: El fin de Windows 10: ¿qué significa que un sistema operativo quede sin soporte y cómo puede afectarte?

Así advirtió la compañía de ciberseguridad ESET, que señaló que desde el 2022 ha recibido reportes de personas en Chile, Perú, Colombia, México o Argentina, entre otros, testigos de este tipo de engaños.

Newsletter exclusivo para suscriptores

Gisella Salmón selecciona notas exclusivas con un enfoque especializado, cada lunes.

Recíbelo

En un ejemplo proporcionado, una persona atraída por una oferta de trabajo de cibercriminales haciéndose pasar por Mercado Libre es invitada a continuar la conversación con un ‘gerente de contratación’ por WhatsApp, en realidad un chatbot personalizado para vender la ilusión.

“Los atacantes están usando herramientas de inteligencia artificial para aumentar el nivel de personalización, detalle y convencimiento para con la víctima. Desde correos redactados sin errores, pasando por sitios web que espejan plataformas de empleo reales, hasta entrevistas automatizadas con ‘reclutadores virtuales’ que no son más que bots”, señaló Martina López, investigadora de seguridad en ESET LA, en comunicación con El Comercio. “La IA les permite, además, escalar este tipo de campañas y adaptarlas a distintos contextos culturales o profesionales, haciendo que sea cada vez más difícil identificar una estafa a simple vista.”

Es así que la integración de la IA con WhatsApp puede ayudar a los cibercriminales en su labor delictiva de tres maneras.

• Crear un chatbot para responder mensajes automáticamente.
• Automatizaciones simples con plataformas no-code: son herramientas mediante las cuales el mensaje que ingresa a WhatsApp, se envía a GPT-4 para generar una respuesta y luego se reenvía al usuario.
• Integración personalizada: se pueden crear soluciones por Node.js, Python u otros lenguajes backend.

Descentralizados y anónimos

La naturaleza digital de la labor delincuencial es también una capa de protección a la que se adhieren, advirtió la investigadora, señalando que hoy los grupos criminales ya no se concentran en un solo país sino que están altamente distribuidos, organizados y anonimizados.

“Las campañas pueden originarse en un país, usar servidores en otro y apuntar a víctimas en un tercero. Hay evidencia de operaciones desde países de Europa del Este, Asia y también dentro de la región latinoamericana. Más allá del origen geográfico, lo relevante es que muchas de estas redes funcionan como servicios (“fraude como servicio”), facilitando el acceso a herramientas maliciosas a usuarios con poca experiencia técnica”, indicó.

Es así que los rápidos avances tecnológicos de la inteligencia artificial han intensificado la guerra fría que se desarrolla entre cibercriminales y aquellos que nos defienden de sus ataques:

“Los cibercriminales suelen moverse con agilidad, aprovechando nuevas herramientas sin barreras éticas o regulatorias”, afirma López. “Pero el ecosistema defensivo también avanza: cada vez hay mejores sistemas de detección, mayor conciencia en las organizaciones y colaboración internacional para desarticular estas redes. La clave está en mantenerse actualizado, invertir en ciberseguridad y promover una cultura digital responsable, tanto a nivel individual como institucional.”

Es curioso que en tales duelos tecnológicos en las esferas digitales, la mejor defensa sigue siendo algo intrínseco para el ser humano: su sentido común (y mantener las buenas prácticas con respecto a nuestra información en la web).

“Si una oferta suena demasiado buena para ser verdad, probablemente no lo sea. Por ello, es conveniente verificar algunos puntos que prueben la veracidad de la misma: si la empresa está contratando, si lo hace por los canales de contacto por donde nos llegó la oferta, y desconfiar de procesos que se saltean pasos habituales como entrevistas formales o reuniones con personal de recursos humanos”, consideró Martina López. “Finalmente, evitar compartir información sensible, como documentos personales o datos bancarios, sin confirmar la autenticidad de quien nos ha contactado.”