Sus controles aún confían en una voz
La mayoría de los procesos de aprobación de pagos se diseñaron en torno a una premisa simple. Una voz conocida al teléfono, o un rostro reconocido en una videollamada, se trataba como prueba de que la solicitud era real. Durante décadas esa premisa se sostuvo, porque falsificar cualquiera de las dos era difícil, lento y costoso.
Eso ya no es cierto. Un clon de voz convincente puede construirse a partir de unos pocos segundos de audio que sus directivos ya han publicado en llamadas de resultados, charlas en conferencias y entrevistas. Los deepfakes de video en tiempo real ya pasan por las herramientas de reunión habituales. El control que protegía su tesorería nunca fue la tecnología. Era la dificultad de la suplantación, y esa dificultad ha desaparecido.
El ataque apunta al proceso, no al software
La suplantación de directivos representa hoy cerca de una cuarta parte de las pérdidas por fraude deepfake, y el método es constante. Alguien de finanzas recibe una solicitud urgente que parece venir de un alto directivo, a veces durante una llamada en vivo donde cada rostro en pantalla es sintético. La presión es la autoridad y el tiempo, no un cortafuegos roto.
Por eso las herramientas de detección por sí solas no lo resuelven. La debilidad es el flujo de trabajo que permite que una sola persona mueva dinero apoyada en una voz reconocida. En un caso, un empleado de finanzas liberó 25 millones de dólares en 15 transferencias separadas tras una única videoconferencia falsificada. No hubo ningún malware. El proceso hizo exactamente lo que fue construido para hacer.
Reconstruir la autorización en torno a la verificación
La solución es organizativa, y es poco glamorosa. La autoridad de pago nunca debe descansar sobre una voz o un rostro. Cualquier transferencia por encima de un umbral fijado necesita confirmación por un canal separado, un segundo aprobador que no estuvo en la llamada original, y un número de devolución de llamada conocido que el solicitante nunca proporciona.
Nada de esto requiere software nuevo, y ese es justamente el punto. Requiere una regla escrita que se sostenga bajo presión, incluso cuando la persona al teléfono suene exactamente como su director ejecutivo. Las empresas que permanezcan seguras serán las que decidieron, de antemano, que la urgencia no es una razón para saltarse un paso.
Leer a continuación: La IA en la sombra te expondrá · El contenido de tu IA puede hacer que te demanden