Céntrese en sus ciberamenazas reales, no sólo en la IA

Reconozcámoslo: Los ciberataques impulsados por IA son una posibilidad desalentadora. Pero no son el mayor peligro para su empresa.

El verdadero peligro es la distracción que causan.

Durante más de 15 años, he sido testigo del mismo patrón. Los ejecutivos se alarman ante la última "superamenaza de la IA", mientras el equipo de seguridad sigue intentando responder a preguntas fundamentales como: "¿Dónde está la información más sensible de nuestros clientes?" o "¿Quién es el responsable de parchear ese servidor crítico?". Perseguimos las últimas herramientas, mientras que los ingenieros son arrastrados a ejercicios urgentes de cumplimiento, y las vulnerabilidades cruciales se empujan hacia abajo en la lista de prioridades.

Es el clásico dilema de la "cerradura de lujo en una puerta de mosquitera". Las empresas se apresuran a implementar defensas impulsadas por la IA, pero los atacantes la utilizan con menos restricciones y mayor agilidad para explotar debilidades fundamentales en el proceso, la propiedad y la cultura. Para las medianas empresas en particular, descuidar los aspectos básicos es una invitación abierta a convertirse en el próximo ejemplo de advertencia.

Por qué fallan las defensas estáticas en un mundo dinámico

Cuando empecé mi carrera, la seguridad era una lista de comprobación: antivirus, parches y cortafuegos potentes. Esa era ha terminado. Hoy en día, el malware polimórfico cambia su código para evitar ser detectado, y las redes de bots lanzan ataques más rápido de lo que cualquier persona puede reaccionar.

El tráfico cifrado se ha convertido en el método de ocultación preferido de los atacantes. El informe 2024 ThreatLabz de Zscaler reveló que casi el 90% del malware se distribuye ahora a través de canales cifrados. Esto significa que nueve de cada diez amenazas están ocultas a las herramientas de seguridad heredadas, incapaces de inspeccionar ese tráfico.

Sin embargo, el verdadero obstáculo no es sólo la tecnología, sino la inercia organizativa. He visto a equipos de seguridad con talento perder semanas simplemente buscando aprobación para solucionar una vulnerabilidad conocida. En el tiempo que se tarda en programar las reuniones necesarias, un atacante automatizado puede penetrar en el sistema y extraer datos. Permanecer estáticos ya no es viable. Los programas de seguridad deben responder al contexto y centrarse en los aspectos más dinámicos de la empresa.

La industrialización de la ciberdelincuencia

Esta evolución no debería sorprendernos. Los atacantes son empresarios que dirigen una empresa criminal. Simplemente están adoptando nuevas tecnologías para mejorar el rendimiento de sus inversiones, al igual que hacen las empresas legítimas. La IA les está ayudando a industrializar sus operaciones.

• Phishing como servicio, sobrealimentado: El phishing sigue siendo el principal método de intrusión, y el FBI e IBM llevan años señalándolo como el principal vector de acceso inicial. Ahora, con herramientas de IA generativa como "FraudGPT", los delincuentes pueden producir campañas de phishing perfectamente personalizadas y gramaticalmente perfectas a una escala sin precedentes.
• La voz es mentira: El phishing de voz ("vishing") está en auge. CrowdStrike ha observado un aumento del 442%, ya que los atacantes utilizan voces clonadas por inteligencia artificial para hacerse pasar por ejecutivos y engañar a los empleados para que transfieran fondos. Una sola llamada costó a una empresa energética británica más de 243.000 dólares.
• El auge del adversario automatizado: Los cazadores de amenazas de CrowdStrike se enfrentan ahora a campañas automatizadas de principio a fin, desde currículos generados por IA con entrevistas de vídeo deepfake hasta intrusiones que no utilizan malware y operan totalmente en la nube.

Los defensores se enfrentan a amenazas que se adaptan y persisten sin apenas intervención humana. Los atacantes llevan años automatizándose; la IA simplemente ha acelerado su flujo de trabajo hasta la hipervelocidad.

Para mantener el ritmo, debemos abandonar de una vez por todas los enfoques anticuados y basados en listas de comprobación en materia de cumplimiento de normativas y ciberseguridad. Buscar una solución mágica en la última herramienta del mercado tampoco es la respuesta. Dicho esto, este reto presenta una oportunidad única para volver a los fundamentos.

Dejar de preguntarse "¿Cumplimos?" Empiece a preguntarse "¿Somos resistentes?"

Incluso a medida que la IA transforma el panorama de las amenazas, la mayoría de las brechas siguen ocurriendo debido a aspectos básicos descuidados. Sí, la voz de ese director general puede haber sido clonada, pero el fallo real fue probablemente un proceso de aprobación financiera defectuoso. La IA no era más que el último paso en una cadena de aspectos básicos pasados por alto.

La IA no necesita descubrir una vulnerabilidad de día cero cuando puede localizar un servidor sin parches de hace cinco años o un desarrollador con acceso administrativo a todo. Adquirir otra herramienta de seguridad basada en IA no reparará una cultura de seguridad rota. La IA debe reforzar los procesos sólidos, no sustituirlos.

Aquí es donde el liderazgo a menudo comete un error. Me he sentado en salas de juntas donde la pregunta central era: "¿Cumplimos?". La mejor pregunta es: "¿Nuestro programa de seguridad hace que nuestro negocio sea más resistente?".

El cumplimiento se convierte en un ejercicio de marcar casillas. Los equipos de producto avanzan rápidamente, a los ingenieros se les asignan tareas de seguridad sin los recursos adecuados y los líderes asumen que una auditoría limpia equivale a seguridad empresarial. Y no es así. La solución no son más herramientas, sino un apoyo más firme desde arriba. La seguridad debe estar directamente vinculada al crecimiento del negocio y a la integridad del producto.

Un manual pragmático para la era de la IA

Las empresas de la lista Fortune 500 pueden invertir mucho en este problema. Las empresas medianas deben ser más estratégicas. Entonces, ¿qué debe hacer realmente?

1. Arregle primero sus cimientos. Antes de invertir en otra herramienta, asegúrese de que dispone de un inventario sólido de sus datos, controles de acceso intachables y un proceso de aplicación de parches que funcione de forma fiable.
2. Ponga la IA en el orden del día. Realice ejercicios de simulación de ataques basados en IA. Haga de esto una parte regular de los informes ejecutivos para que se trate como un riesgo empresarial, no sólo como un problema de TI.
3. Céntrese en el comportamiento, no sólo en las señales estáticas. Dé prioridad a las herramientas que detectan actividades anómalas -como el acceso repentino de una cuenta de usuario a una base de datos que nunca utiliza- frente a las que sólo buscan firmas de malware conocidas.

La IA no es el enemigo, sino la complacencia

La IA no es un arma de doble filo; es una lupa. Hace que los procesos eficientes sean más eficaces y que los procesos defectuosos sean desastrosos.

Los atacantes siempre tendrán nuevas herramientas a su disposición. La cuestión crítica es si su estrategia de seguridad está construida sobre una base sólida de resiliencia o se limita a perseguir la próxima tendencia. La era de la seguridad "todo listo" ha terminado. Las organizaciones que cultiven una cultura centrada en la seguridad y dominen los fundamentos tendrán éxito, incluso en la era de las amenazas autónomas.