La irrupción de la Inteligencia Artificial (IA) en nuestras vidas ha traído no solo fascinantes aportaciones positivas, casi un mundo de fantasía, sino también nuevas e insospechadas formas de fraude.
Las entidades bancarias y las grandes corporaciones son el oscuro objeto del deseo preferido por los malhechores.
En la delincuencia tradicional, nacida en el mundo analógico, cualquier pícaro que intentase hacerse pasar por el director general de una compañía, para ordenar una transferencia millonaria y hacerse con su dinero, contaba simplemente con su labia o con su habilidad para falsear un correo electrónico convincente.
Ahora eso ya suena a Prehistoria.
Un caso que es referente
En febrero de 2024 la CNN publicó que el contable de una firma de ingeniería de Hong-Kong había participado, o eso creyó él, en una videollamada con varios de sus directivos.
Los vio, los oyó y siguió sus instrucciones de transferir 25 millones de dólares USA a una cuenta que le señalaron. Sin embargo, ninguno de aquellos directivos era real.
Eran solo vídeos generados por IA a partir de imágenes y grabaciones de los verdaderos ejecutivos de la corporación. El engaño funcionó y los delincuentes se apoderaron del dinero.
Este caso da la medida, mejor que cualquier estadística, del temible precipicio que se abre ante la lucha contra este nuevo fraude financiero.
La velocidad a la que aparecen las inimaginables formas de engaño con IA y las cifras que se manejan dan buena cuenta de que la ciberdelincuencia ha entrado ya en otra era.
Las cifras
Según un informe del Centro de Servicios Financieros Deloitte de mayo de 2024, el fraude generado con IA en USA en el año 2023 supuso unas pérdidas de 12.300 millones de dólares y las previsiones para 2027 son de 40.000 millones, lo cual, si esta proyección se confirma, supondría un crecimiento anual cercano al 32%.
Solo la modalidad consistente en suplantar directivos que ordenan pagos fraudulentos, es decir, variantes en torno a la estafa sufrida por esa empresa de Hong Kong, podría pasar de 2.700 millones en 2022 a 11.500 millones en 2027. Otras consultoras líderes proporcionan estimaciones parecidas.
También el Centro de Denuncias de Delitos en Internet del FBI pone cifras al fenómeno en su informe de 2025. De un total de casi 21.000 millones de dólares en pérdidas por fraude denunciadas en USA en ese año, 893 millones estuvieron vinculadas directamente al uso de IA.
Desde voces clonadas que simulan a familiares en apuros, hasta guiones de conversación generados automáticamente para ganarse la confianza de la víctima, en estafas sentimentales.
Si bien esta clase de fraudes no supone aún una proporción muy grande del total, es la que más rápido crece y la más difícil de combatir. En ocasiones, ni las víctimas ni los investigadores tienen certeza clara de si detrás del engaño hubo realmente una máquina.
Los bancos y grandes corporaciones son plenamente conscientes del enorme potencial de sus nuevos enemigos.
Una reciente encuesta realizada en Europa por la entidad noruega Signicat, entre responsables de entidades reguladas, y con un panel específico para bancos, revela que un 70% de estos ha sufrido más intentos de fraudes de identidad en el último año; que un 64% admite que estos fraudes tienen más éxito ahora, y que un 73% de las entidades está convencido de que las redes criminales ya están usando IA de forma activa contra ellos.
Pero seguramente lo más preocupante de este fenómeno no es la meteórica escalada cuantitativa de los fraudes, sino la creatividad de los engaños, el deseo irresistible que se advierte en la autoestima de los delincuentes de jugar al ‘más difícil todavía’.
Hasta hace bien poco, nos bastaba con desconfiar de un correo con faltas de ortografía o un número de cuenta sospechoso.
Una orgía de nuevas formas delictivas
Ahora los autores generan documentos de identidad falsos verosímiles, crean perfiles completos y coherentes desde los que tejen relaciones de confianza durante semanas con sus futuras víctimas, y pueden clonar la voz prácticamente de cualquiera, contando sólo con unos segundos de audio extraídos, por ejemplo, de las redes sociales. Incluso ponen a prueba los sistemas establecidos por los bancos para verificar a distancia la identidad de sus clientes, inyectando rostros generados por IA en los procesos de reconocimiento facial.
Además, los trucos de suplantación de identidad se pulen y mejoran tras cada intento de fraude fallido, utilizando IA generativa, para ser más persuasivos en el siguiente.
Ciertamente, frente a esta orgía de nuevas formas delictivas, los bancos y las grandes corporaciones, los colosos de la ciberseguridad, no están cruzados de brazos y utilizan la propia IA para lidiar con lo que tienen enfrente.
Los sistemas de vigilancia de transacciones de las entidades financieras ya no se limitan a verificar la razonabilidad de un pago acudiendo a unas reglas más o menos fijas.
Analizan los patrones de conducta de los clientes, cruzan relaciones entre cuentas para detectar redes de fraude organizado y hasta utilizan técnicas de biometría conductual para acceder, por ejemplo, a la forma en que el usuario está deslizando el dedo por el teclado o pantalla de su dispositivo, y saber si se trata realmente del titular de la cuenta.
Los procesos de verificación de identidad están reforzando sus controles y se concentran en distinguir a una persona real de una grabación o imagen manipulada. La IA generativa se ha convertido en una poderosa herramienta interna, que ayuda con las alertas de operaciones sospechosas, y también en la vigilancia de los empleados propios, para detectar y abortar cualquier conato de fraude interno.
Sin embargo, esta pugna entre el bien y el mal es, hasta ahora, una lucha desigual.
Porque diseñar y poner en práctica un engaño creíble con IA es barato, rápido y se halla al alcance casi de cualquiera.
En cambio, blindar y proteger cada posible canal de contacto humano —una llamada, una videoconferencia, un mensaje— es complejo, caro, y, a la hora de la verdad, depende de que todos nos acostumbremos a desconfiar de lo que estamos viendo con nuestros propios ojos.
En realidad, la mejor arma de defensa hallada hasta ahora por las entidades no es exclusivamente tecnológica, sino, más bien, de procedimiento: exigir que cualquier instrucción de pago de apariencia inusual quede confirmada, antes de darle curso, por un canal distinto e independiente de aquel por el que llegó, incluso en el caso de que el canal original parezca completamente seguro.
Pero, como casi siempre ocurre en la permanente competición entre las nuevas formas de delito y los responsables de neutralizarlas, las defraudaciones, de momento, van unos metros por delante.
