La IA les ha permitido a los atacantes reducir radicalmente el costo por ataque, mientras aumentan sus probabilidades de éxito. 

Escalabilidad y democratización

Históricamente, un ataque exitoso de compromiso de correo empresarial (BEC) requería tiempo y esfuerzo para investigar objetivos y redactar mensajes convincentes. Hoy, la IA puede analizar redes sociales, sitios web corporativos y datos públicos para generar miles de señuelos hiperpersonalizados en el tiempo que antes tomaba redactar uno solo. Las señales típicas de alerta, como la mala gramática, se eliminan fácilmente. Además, los atacantes pueden crear miles de correos e infraestructura a gran escala.

Ataques llave en mano

Para sortear las protecciones de los modelos de IA convencionales, los cibercriminales experimentan con versiones modificadas o "liberadas" (jailbroken), así como con herramientas que se comercializan en foros clandestinos, como WormGPT y FraudGPT. Estos servicios suelen presentarse como soluciones listas para usar que generan señuelos de phishing, scripts de malware y otro contenido malicioso. 

En la práctica, la eficacia de muchas de estas herramientas varía. Sin embargo, como se vio con el auge del ransomware como servicio (RaaS), el cambio más amplio hacia modelos de ataque basados en servicios y más accesibles ya está teniendo un gran impacto.

Creación de mensajes de phishing convincentes

Los atacantes pueden usar IA generativa para imitar el estilo de un ejecutivo específico, usando como ejemplos las redes sociales o correos comprometidos. Los LLM también pueden adaptar mensajes a públicos más amplios mientras imitan personas específicas; por ejemplo, un correo dirigido a un contador podría usar terminología financiera formal y urgente. El phishing polimórfico usa IA para generar variaciones del mismo señuelo de phishing y así evadir los filtros de correo.

Cada vez más, la IA multimodal se usa para crear audio y video deepfake. En un incidente de alto perfil dirigido a la firma multinacional de ingeniería Arup, se usó tecnología deepfake para hacerse pasar por varios ejecutivos durante una videollamada, lo que llevó a una transferencia fraudulenta de $25,6 millones.

No solo mejoró el señuelo, también mejoró el lugar al que te lleva.

Mark O'Halloran, analista de operaciones de seguridad en Huntress, se topó recientemente con un sitio web falso que suplantaba a Claude y Anthropic, y lo detuvo en seco. No porque fuera obviamente malicioso, sino porque no lo parecía. La página estaba pulida, era fiel a la marca y no se parecía en nada a las páginas de phishing mal escritas y con interfaces rotas de hace apenas unos años.

¿La razón? Los actores de amenazas ya no necesitan saber cómo construir un sitio web. Pueden abrir un asistente de código y decir: "hazme una página que copie el estilo de diseño de Anthropic" y tener algo convincente en minutos. Ese es el cambio. La barrera técnica desapareció.

Pero si miras más de cerca, las señales siguen ahí. Cada botón de la página falsa le pedía al usuario ejecutar un comando. Una etiqueta de sección decía "Desktop" dos veces. Las preguntas frecuentes no funcionaban en absoluto. Estas páginas están creadas con "vibe coding": armadas rápido, optimizadas para un solo propósito y no diseñadas para resistir un análisis detallado. Esa es en realidad tu ventaja: el sitio existe para conseguir una sola acción de tu parte, y todo lo que esté fuera de esa función está roto o ausente.

Automatización del reconocimiento

Con IA, los adversarios pueden reducir uno de los aspectos más demandantes en tiempo de los ciberataques: el reconocimiento. Si bien los atacantes ya usaban automatización para escanear sistemas expuestos a internet (VPN, servidores de correo) en busca de puertos abiertos y otras vulnerabilidades, la IA puede analizar y priorizar grandes volúmenes de datos de escaneo.

Los agentes de IA pueden agregar datos de LinkedIn, informes de noticias y redes sociales para mapear la jerarquía de una empresa e identificar las "vulnerabilidades humanas" más probables. Estos agentes también pueden usar información pública para identificar relaciones entre proveedores, subsidiarias y empleados que se pueden explotar en ataques a la cadena de suministro.   

Mejora de la evasión de malware

Con herramientas de IA, los atacantes pueden crear malware polimórfico o personalizado que cambia con cada implementación, lo que dificulta que las herramientas de detección basadas en firmas, como los antivirus tradicionales, lo detecten. Para evadir la detección basada en comportamiento, las herramientas de BYOVD (trae tu propio controlador vulnerable) asistidas por IA cargan controladores de Windows legítimos pero vulnerables para desactivar herramientas como EDR.

Con la capacidad de lanzar campañas globales y multivectoriales con mucho menos esfuerzo que antes, los actores de amenazas asistidos por IA han aumentado el volumen y la velocidad de los ataques a un grado abrumador. Esto ha reducido la ventana entre el acceso inicial y el impacto, así como el tiempo necesario para explotar vulnerabilidades divulgadas. Además, la ingeniería social, ya una vulnerabilidad constante para empleados distraídos, se ha vuelto mucho más difícil de detectar.

¿Qué significa todo esto para las estrategias de ciberseguridad de las organizaciones? Los defensores deben aumentar su enfoque en la detección de anomalías de comportamiento. Si bien los LLM pueden mutar el malware basado en archivos y camuflar el tráfico de red, los ciberataques impulsados por IA todavía siguen la misma cadena de ataque usando estrategias comunes. Conectar los puntos entre estas señales de comportamiento permite una detección y respuesta rápidas, incluso contra actores sofisticados asistidos por IA.

Security awareness training (SAT)

Tradicionalmente, el SAT se enfocaba en educar a los empleados para reconocer ataques de phishing buscando señales de alerta como errores gramaticales. El SAT moderno debe enfocarse en riesgos específicos de la IA, como detectar deepfakes, y en protocolos de verificación que usan canales secundarios.

Fortalece las defensas de identidad

Para las empresas actuales, cada vez más distribuidas y basadas en la cloud, un ataque de phishing impulsado por IA que tenga éxito puede derivar rápidamente en una brecha grave. Las organizaciones deben reforzar sus controles de identidad para cerrar este importante vector de ataque.

• Gestión de la postura de seguridad de identidad (ISPM). audita y aplica continuamente las configuraciones, políticas y permisos de identidad de Microsoft 365 para eliminar configuraciones riesgosas, como cuentas con privilegios excesivos y ajustes inseguros de buzones o acceso

• Autenticación multifactor (MFA) debe aplicarse en todas partes. Para organizaciones de alto riesgo, se recomienda la MFA resistente al phishing, usando passkeys o llaves de hardware FIDO2.

• La detección y respuesta de amenazas de identidad (ITDR) monitorea continuamente las identidades y los entornos de correo en Microsoft 365 y Google Workspace en busca de amenazas basadas en identidad, como la toma de control de cuentas, reglas de bandeja de entrada maliciosas e inicios de sesión no autorizados.

• El principio de privilegio mínimo (PoLP)significa que a los usuarios, aplicaciones y sistemas solo se les otorgan los permisos mínimos necesarios. Esto se aplica mediante herramientas como el control de acceso basado en roles (RBAC).

Mejora la cobertura de monitoreo

Con superficies de ataque en constante expansión que complican los entornos de TI, la visibilidad es esencial para protegerse de los ciberataques de IA que pueden explotar rápidamente los puntos ciegos.

• Gestión de la postura de seguridad de endpoints (ESPM)monitorea de forma proactiva los endpoints en busca de comportamientos maliciosos, no solo firmas. Esto ayuda a detectar técnicas sigilosas como malware polimórfico y ataques de living-off-the-land.

• Detección y respuesta para endpoints (EDR) monitorea continuamente los endpoints en busca de comportamientos anómalos vinculados a malware polimórfico y ataques de living-off-the-land (LotL).

• La gestión de información y eventos de seguridad (SIEM)correlaciona los registros de todo el entorno, lo que da a los analistas una vista panorámica de los sistemas. Esto permite a los equipos de seguridad conectar señales sutiles para detectar amenazas cibernéticas de IA sofisticadas. También ofrece datos forenses para evaluar el alcance de una brecha.

Actualiza la capacitación y las habilidades

Si bien los LLM le han dado a los actores de amenazas un arma poderosa, la IA en la ciberseguridad puede ayudar a nivelar el terreno de juego. Los equipos de seguridad deben capacitar a sus analistas para usar herramientas impulsadas por IA en la clasificación, la investigación y la respuesta automatizada a incidentes. Las herramientas de seguridad impulsadas por IA pueden ayudar a filtrar alertas ruidosas, reduciendo los falsos positivos y la fatiga por alertas. Debido a que el panorama de amenazas de IA avanza muy rápido, los modelos de detección y el contenido de capacitación deben refinarse continuamente con base en telemetría del mundo real y técnicas emergentes.

The Huntress Managed Security Platform ayuda a defenderte contra ataques cibernéticos impulsados por IA mediante monitoreo basado en comportamiento, respaldado por un SOC experto disponible 24/7 y asistido por IA. 

• Managed ISPM y Managed ITDR fortalecen y monitorean las identidades de forma proactiva, mientras que nuestros Managed ESPM y Managed EDR defienden los endpoints.

• Managed SIEM correlaciona la telemetría en un centro de comando centralizado para una mejor detección y respuesta. 

• Managed SAT ofrece lecciones continuas basadas en historias que entrenan a tus equipos para reconocer ataques sofisticados de phishing con IA.