Artem Lyashanov explica por qué la verificación por voz y vídeo ya no garantiza la seguridad de la autorización de pagos
Según estimaciones del sector, las pérdidas por fraude deepfake en el sector financiero se triplicaron solo en el último año, y la tecnología de síntesis de voz y vídeo ha pasado en poco tiempo de ser una herramienta cara y compleja a estar al alcance de cualquiera.
El tema central de este artículo, según argumenta Artem Lyashanov, es el cambio del propio modelo de confianza en la autorización financiera: por qué la voz y la imagen del interlocutor ya no pueden considerarse prueba de su identidad y qué arquitectura de control deben construir las empresas en su lugar. A continuación, un caso concreto, el análisis de lo que hizo posible el ataque y una lista de mecanismos de defensa prácticos para los equipos de tesorería y finanzas.
El caso
Un empleado del departamento de tesorería de una empresa multinacional en Hong Kong recibió un correo supuestamente enviado por el CFO del grupo en el Reino Unido. Se trataba de una operación de M&A confidencial que debía ejecutarse al margen del ciclo estándar de aprobaciones. Un esquema BEC (business email compromise) clásico debería haberse detenido en esta fase: el correo, por sí solo, parecía un phishing típico.
BEC (business email compromise) es un tipo de fraude en el que el atacante se hace pasar por un directivo o socio de la empresa en la correspondencia para conseguir que un empleado transfiera dinero a su cuenta.
Pero después invitaron al empleado a una videoconferencia en la que participaban el propio CFO y varios colegas reconocibles del área financiera.
La voz, la expresión facial y la forma de dirigir la reunión coincidían con las de las personas con las que el empleado trataba en las conciliaciones habituales. Siguiendo las instrucciones recibidas en esa llamada, realizó 15 pagos por un total de unos 25,6 millones de dólares a cinco cuentas. La verificación a posteriori —una llamada a la sede central para aclarar los detalles de la operación secreta— reveló que nadie había convocado esa reunión.
El superintendente sénior de la policía de Hong Kong, Baron Chan, lo resumió así: «todas las personas que vio en la pantalla resultaron ser falsas».
Los fondos no se recuperaron. El caso se convirtió en una referencia para el sector precisamente porque no eludió un control técnico, sino el procedimiento de autorización humana, el nivel en el que la mayoría de las organizaciones financieras sigue confiando como última línea de defensa.
Por qué el perímetro de verificación ya no resiste
El fundador de proyectos fintech Artem Lyashanov señala que este caso debe considerarse un indicador del cambio en el modelo de amenazas para la infraestructura de pagos.
Varios factores que, en su opinión, han inclinado la balanza a favor de los atacantes:
- Un clon de voz se crea con tres segundos de audio, y el perfil público de un CFO o tesorero (presentaciones a inversores, conferencias) es, por definición, una fuente abierta de datos de entrenamiento;
- La fase de reconocimiento del ataque se apoya en información públicamente disponible sobre la estructura organizativa;
- La ingeniería social explota el propio concepto de confidencialidad de la operación y, con ello, saca la transacción del control maker-checker estándar;
- El carácter multimodal del ataque (voz, vídeo y presión social grupal de los «colegas» en la llamada, todo a la vez) reduce la eficacia de los indicadores de comportamiento en los que antes confiaban los programas de security awareness.
Según su estimación, las pérdidas por fraude deepfake en el sector financiero se triplicaron en solo un año, y la pérdida media por incidente en el segmento corporativo ya se mide en cientos de miles de dólares.
Hacia dónde se desplaza el control
La conclusión clave para los equipos financieros está en rediseñar la propia arquitectura de autorización de pagos para que no dependa de la autenticidad del canal de comunicación, afirma Artem Lyashanov.
Algunos mecanismos de control que deben convertirse en un requisito básico y no en una opción adicional:
- Verificación out-of-band. Ningún cambio de datos bancarios ni pago no estándar se confirma por el mismo canal por el que llegó la solicitud, solo a través de un contacto independiente registrado de antemano;
- Callback exclusivamente al número que figura en el sistema interno de la empresa, no al contacto indicado en un correo o mensaje ni al facilitado por el interlocutor durante la llamada;
- Maker-checker estricto con una segregación de funciones inquebrantable para cualquier transacción fuera del rango habitual de importes o beneficiarios;
- Transaction risk scoring a nivel de TMS/ERP que escale automáticamente los pagos atípicos por importe, beneficiario o momento.
Las organizaciones cuyo modelo de confianza todavía se basa en reconocer una voz o un rostro, y no en un procedimiento, siguen siendo el eslabón más vulnerable de esta cadena, concluye Artem Lyashanov.
Cómo verificamos la información
Según las recomendaciones públicas del NIST, ENISA y OWASP, así como los materiales de CISA, Microsoft Security Blog y Google Safety Center, los enfoques clave para protegerse de la ingeniería social se reducen hoy a la verificación independiente y la segregación de funciones. Contrastamos los hechos con fuentes primarias y cotejamos las conclusiones prácticas con los requisitos de la norma ISO/IEC 27001.
Nuestro principio editorial es sencillo: ninguna recomendación se publica sin una fuente verificable, y cada cifra incluye su contexto y su fecha.
La confianza en los pagos debe basarse en el procedimiento, no en una voz o un rostro. La verificación es una regla que funciona independientemente de quién parezca convincente. — Artem Lyashanov
