Incidentes Asociados
En mayo de 2024, el FBI advirtió sobre la creciente amenaza de que los ciberdelincuentes utilicen la inteligencia artificial (IA) en sus estafas.
En ese momento, el agente especial a cargo del FBI, Robert Tripp, dijo:
"Los atacantes están aprovechando la IA para crear mensajes de voz o video y correos electrónicos muy convincentes para permitir esquemas de fraude contra individuos y empresas por igual. Estas tácticas sofisticadas pueden resultar en pérdidas financieras devastadoras, daño a la reputación y compromiso de datos confidenciales".
Esta advertencia no debe tomarse a la ligera. Esto se debe, en particular, a que las herramientas de inteligencia artificial que tienen a su disposición los cibercriminales tienen un coste relativamente bajo: en un estudio, los investigadores descubrieron que el coste de los ataques de correo electrónico avanzados y sofisticados comienza en solo 5 dólares.
El FBI también ha advertido a los usuarios que tengan cuidado al recibir correos electrónicos o mensajes de texto no solicitados. Los estafadores están utilizando ataques de phishing basados en inteligencia artificial que han demostrado aumentar la eficacia de las campañas de phishing. También están utilizando herramientas impulsadas por IA para crear correos electrónicos que pueden eludir los filtros de seguridad. Si a eso le sumamos las llamadas automáticas respaldadas por deepfakes, estos métodos podrían engañar a mucha gente.
Ninguno de los elementos utilizados en los ataques es novedoso, pero la combinación podría hacer que la campaña fuera extremadamente efectiva.
En una campaña dirigida a los usuarios de Gmail, algunos de estos elementos se combinaron. A menudo, comienzan con una llamada a los usuarios, en la que se les dice que su cuenta de Gmail se ha visto comprometida. El objetivo es convencer al objetivo de que proporcione a los delincuentes el código de recuperación de Gmail del usuario, afirmando que es necesario para restaurar la cuenta.
Casi al mismo tiempo, los usuarios reciben correos electrónicos de aspecto legítimo de lo que parece ser un dominio de Google auténtico para agregar credibilidad a lo que el autor de la llamada afirma que sucedió.
Con el código de recuperación, los delincuentes no solo tienen acceso al Gmail del objetivo, sino también a muchos servicios, lo que incluso podría resultar en un robo de identidad (https://www.malwarebytes.com/identity-theft).
Cuando advertimos sobre los ataques de IA agente, este es el tipo de campañas que son ejemplos de lo que podemos esperar.
El FBI agregó una advertencia sobre correos electrónicos y mensajes de texto no solicitados que contienen un enlace a un sitio web aparentemente legítimo que solicita a los visitantes que inicien sesión, pero los sitios web vinculados son falsos especialmente diseñados para robar las credenciales.
Como hemos visto en el pasado, estos sitios incluso pueden estar diseñados para robar cookies de sesión. Cada vez que regrese a ese sitio web dentro del período de tiempo, no necesita iniciar sesión. Eso es realmente conveniente... a menos que alguien logre robar esa cookie de su sistema. Y si los cibercriminales logran robar la cookie de sesión, pueden iniciar sesión como usted, cambiar la contraseña y tomar el control de su cuenta.
Cómo evitar el phishing de Gmail por IA
- Nunca haga clic en enlaces ni descargue archivos de correos electrónicos o mensajes inesperados.
- No ingrese información personal en un sitio web a menos que esté seguro de que es legítimo.
- Use un administrador de contraseñas para completar automáticamente las credenciales solo en sitios confiables.
- Controle sus cuentas para detectar señales de acceso no autorizado o fugas de datos.
- Verifique las alertas de seguridad visitando directamente la página de su cuenta de Google en lugar de usar enlaces en correos electrónicos.
- Utilice la autenticación multifactor (MFA) para todas las cuentas
- Proteja sus dispositivos con un software de seguridad (como Malwarebytes Premium Security) actualizado y utilice protección de texto y filtrado de mensajes de texto en su dispositivo móvil.