Además de los métodos clásicos para vulnerar sistemas informáticos como el phishing y ransomware, los ciberdelincuentes encontraron en la inteligencia artificial (IA) generativa (capaz de generar contenidos cuando recibe algunos comandos conocidos como prompts) un recurso que potencia su alcance y aumenta sus posibilidades de éxito.

Esta es una de las principales amenazas para la ciberseguridad en 2024, según Andrés Cajamarca, director de Ingeniería para Fortinet Colombia. En el reporte de predicciones publicado por FortiGuard Labs, una dependencia de esta empresa, se advirtió que “herramientas como la IA no solo les permiten incrementar la sofisticación de sus ataques, sino hacerlos mucho más enfocados y sigilosos. Esto quiere decir que, en lugar de lanzar un ataque a una base masiva esperando que alguno tuviera éxito como se hacía antes, los cibercriminales realizarán tareas más minuciosas de reconocimiento, creando ataques diseñados para evadir los controles más robustos de seguridad, siendo cada vez más ágiles”.

Lo anterior confirma la necesidad que tienen las personas y las organizaciones de adoptar medidas para reducir sus vulnerabilidades informáticas y hacerles más difícil la labor a los ciberdelincuentes, sobre todo en países como Colombia, uno de sus blancos preferidos en América Latina, de acuerdo con los registros de entidades como Kaspersky. En 2023 fueron 57 millones de ataques de malware, 40.000 ataques de ransomware, más de 93.000 ataques de troyanos bancarios, 171.000 amenazas móviles y 41 millones de ataques de phishing detectados por esta empresa, a los cuales se suman las amenazas de grupos hacktivistas y de ciberespionaje.

“Hemos visto también que los ciberdelincuentes están utilizando la IA para respaldar otras actividades maliciosas que van desde ingeniería social hasta imitar el comportamiento humano y el phishing a través de suplantación de identidad por correo o por voz, entre otras. Si a esto les sumamos factores como las conocidas guerras por territorio de los cibercriminales, con múltiples grupos de ataque apuntando al mismo objetivo y desplegando variantes de ransomware, casi siempre dentro de un rango de 24 horas o menos, las empresas están hoy más vulnerables que nunca y deben estar más preparadas para afrontar estos retos”, afirmó Cajamarca.

¿Cómo prepararse?

Diego Andrés Zuluaga, Chief Security Officer (CSO) en AXA International Markets, advirtió que los ataques principales de 2023 en Colombia evidenciaron que la respuesta aún no es tan coordinada, efectiva y oportuna como se requiere. Sin embargo, destacó que algunas organizaciones han tomado medidas necesarias y efectivas como la creación de centros de respuesta ante incidentes de seguridad (CSIRT, por su sigla en inglés), y a nivel gubernamental se ha puesto en funcionamiento el Centro Cibernético Policial, que ha suministrado capacidades de investigación y respuesta ante eventos relevantes.

En cuanto a las personas sugirió fortalecer la educación en ciberseguridad desde la infancia, pues hoy todos somos ciudadanos del mundo físico y digital, y es vital conocer los riesgos a los que nos enfrentamos en este entorno. Por el lado de las organizaciones, Zuluaga recomendó “establecer todas las barreras en las dimensiones humana, organizativa, procedimental y técnica, pero conscientes de que habrá ataques y deben estar preparadas para la respuesta, la contención, la erradicación y la comunicación hacia sus clientes, proveedores y la sociedad en general, con planes de continuidad y resiliencia que les permita enfrentar la situación con el menor impacto para la organización y sus públicos de interés”.

Adicionalmente, las organizaciones deben priorizar la capacitación de sus colaboradores, sin importar el área o puesto que desempeñan, pues el factor humano es una de las principales áreas de riesgo para las compañías. “Es necesario que se implementen programas de capacitación de manera regular, mínimo una vez por año o cada seis meses, para que todos estén enterados del panorama de amenazas y las tácticas de los ciberatacantes, así como prácticas de ciberhigiene básicas”, concluyó Cajamarca.