Frau del CEO amb intel·ligència artificial: sense senyals d'alerta, la defensa rau en els processos

El nostre col·lega Yobany Barbosa, responsable de l'àrea de ciberseguretat de Var Group Andorra, ho va dir clarament el 6 d'octubre: els indicis que abans delataven el frau del CEO ja no existeixen. Ho va exposar a ACTINN&Talks, l'espai de difusió de coneixement del clúster andorrà de la tecnologia i la innovació.

El frau del CEO consisteix a fer-se passar per algú amb autoritat de decisió dins d'una organització. L'objectiu sol ser aconseguir que algú dins de l'empresa faci una transferència a un compte fraudulent. Fins fa poc, hi havia senyals reveladors que despertaven sospites. Ara, amb la intel·ligència artificial, l'estafa és molt més difícil de detectar.

«Abans hi havia uns indicadors que ens permetien dir que això semblava fraudulent, però aquests indicadors ja no existeixen, perquè la intel·ligència artificial ho fa perfectament», explica Yobany. «La IA ha guanyat terreny en aquest tipus de frau tant per la seva eficàcia com pel baix cost que representa per als atacants».

I no cal gaire per muntar la suplantació: «amb molt poca informació d'internet, per exemple, la seva veu i la seva imatge publicades a les xarxes socials o en pàgines web, ja n'hi ha prou perquè una intel·ligència artificial ho processi tot i construeixi un relat al darrere de l'intent de frau».

També passa a Andorra

Yobany va explicar que ja s'han detectat casos a Andorra, i que WhatsApp és un dels canals més utilitzats. «S'han donat situacions en què els atacants han recorregut a la reproducció de la veu o de la imatge de la persona suplantada mitjançant deepfakes. Aquests intents poden arribar a derivar en transferències de diners que, un cop comès el frau, es mouen entre entitats bancàries de diferents països per dificultar-ne el rastreig i la recuperació».

La defensa rau en els processos

Per evitar-ho, és crucial que l'organització pugui verificar qui sol·licita què i quan alguna cosa se'n desvia de la norma. «No es tracta de tecnologia o d'eines que calgui utilitzar. Es tracta de processos i de saber quan es trenquen aquests processos dins d'una organització».

El seu consell per a qualsevol negoci:

• Un protocol per verificar la identitat de la persona que sol·licita una transacció abans que s'executi.
• Assegureu-vos que aquest protocol es comuniqui i es documenti.
• Formació per a l'equip, especialment per a aquells implicats en les operacions financeres.

Pot passar a qualsevol empresa

La sessió va ser conduïda per Nacho Martín, director d'ACTINN, que va emfatitzar que aquest tipus de frau pot afectar organitzacions de qualsevol mida: «Algú et truca com si fos el teu CEO, el teu director financer, perquè facis una transferència de milers d'euros per fer un pagament a un proveïdor. Són capaços, a partir de captar la teva veu, de reproduir-la i fer que una persona que sap com és aquesta veu fins i tot caigui en el parany».

Voleu comprovar com de bé està preparada la vostra empresa? Parleu amb el nostre equip de ciberseguretat.