Hace poco participé en el podcast «Decipher» para hablar sobre cómo la inteligencia artificial está cambiando el panorama de amenazas para las organizaciones que dependen de comunicaciones fiables. Lo que quedó claro es que este cambio ya es una realidad operativa, no algo teórico.

Las herramientas asistidas por IA están cambiando la forma en que las personas trabajan, se comunican y toman decisiones. También están cambiando la forma de actuar de los atacantes, lo que permite a los adversarios suplantar la identidad de los usuarios, automatizar el engaño y moverse con mayor rapidez por los entornos digitales. Un tema central de nuestra conversación fue que estos avances hacen que las comunicaciones seguras sean más importantes, y no menos. Las organizaciones necesitan canales fiables en los que se puedan proteger la identidad, la integridad de los mensajes, la continuidad operativa y la confidencialidad, especialmente cuando el entorno de amenazas que las rodea se vuelve más difícil de interpretar.

La IA pone a prueba la confianza

Una de las primeras cosas de las que hablamos fue cómo la IA cambia el aspecto humano de la seguridad. La seguridad siempre ha sido un reto tanto humano como técnico. Las personas tienen que decidir en qué mensajes confiar, qué instrucciones seguir y qué solicitudes merecen una respuesta urgente. La IA aumenta la presión sobre esas decisiones al ayudar a los atacantes a crear mensajes más convincentes a mayor escala.

La ingeniería social asistida por IA puede hacer que el phishing, el fraude, la suplantación de identidad y la desinformación sean más difíciles de detectar. Las tácticas subyacentes son conocidas. Lo que cambia es el ritmo y el nivel de perfección. Ahora, los atacantes pueden redactar mensajes creíbles, adaptar el tono, traducir contenidos, resumir el contexto sustraído y dirigirse a personas concretas con menos obstáculos que antes.

Coincidimos en que esto tiene especial relevancia para los organismos públicos, los operadores de infraestructuras críticas, las empresas reguladas y los equipos directivos. En esos entornos, las comunicaciones transmiten decisiones operativas, datos sensibles, instrucciones de emergencia y la coordinación de la respuesta ante crisis. Si esas comunicaciones se ven comprometidas, retrasadas o manipuladas, el impacto va más allá de la pérdida de información. Recurrir a canales habituales para las comunicaciones sensibles supone un riesgo que los ataques asistidos por IA hacen aún más grave.

Las comunicaciones seguras deben integrarse en las operaciones

Dedicamos tiempo a analizar qué se necesita realmente para integrar la seguridad en las comunicaciones, en lugar de tratarla como una medida de emergencia. Se puso de manifiesto una tendencia que resultará familiar a cualquiera que haya seguido la evolución del sector del software: al principio, las vulnerabilidades se consideraban problemas externos que había que gestionar tras su detección. Con el tiempo, la seguridad pasó a formar parte de la ingeniería, la gestión de lanzamientos y la gobernanza de productos. La seguridad de las comunicaciones necesita el mismo enfoque.

Esto significa que no puede limitarse a incidentes puntuales, viajes de altos cargos o excepciones de emergencia. Debe planificarse antes de que se produzca una crisis, ponerse a prueba antes de que sea necesario e integrarse en los flujos de trabajo diarios de las personas que vayan a depender de él.

Surgieron varias cuestiones prácticas: ¿Qué canales están autorizados para debates delicados? ¿Cómo se identifica a los participantes? ¿Qué ocurre si las redes principales no están disponibles? ¿Cómo se comunican los responsables cuando tanto la rapidez como la precisión son fundamentales? La cuestión era que las organizaciones deben resolver esas cuestiones antes de que un ataque, una interrupción del servicio o una crisis les obligue a improvisar.

El cifrado es solo una parte del problema. Las organizaciones también necesitan garantía de identidad, control de acceso, auditabilidad, gestión de políticas, integridad de los mensajes y resiliencia cuando las plataformas de colaboración estándar no están disponibles o no son fiables.

La IA cambia el ritmo del riesgo

Hubo un aspecto que se repitió en varias ocasiones: las amenazas asistidas por IA aceleran categorías de ataques ya conocidas, en lugar de introducir otras totalmente nuevas. El phishing, el robo de credenciales, la suplantación de identidad de ejecutivos, la filtración de datos y la desinformación siguen siendo riesgos reconocibles. Lo que cambia es la rapidez con la que pueden generarse, personalizarse y distribuirse.

Esa rapidez es importante por un motivo concreto. Un mensaje convincente enviado durante una situación de gran presión puede llevar a tomar una decisión errónea antes de que el equipo de seguridad tenga tiempo de intervenir. Una instrucción falsificada puede difundirse a través de canales informales antes de que se verifique. Una voz «deepfake» o un mensaje perfeccionado mediante IA pueden aprovecharse de las relaciones de confianza que se han forjado a lo largo de los años.

La respuesta a eso no puede consistir en controles que generen tanta fricción que los usuarios acaben eludiéndolos. Las plataformas de comunicación seguras deberían reducir la fricción que supone un comportamiento fiable, en lugar de aumentarla. Los usuarios deberían poder verificar la identidad, proteger los intercambios confidenciales y mantener la continuidad operativa cuando se produzcan interrupciones en los sistemas habituales.

La resiliencia depende de las personas y de los procesos

La seguridad de las comunicaciones depende de que las personas sepan qué utilizar, cuándo utilizarlo y cómo verificar las solicitudes inusuales. Las políticas deben ser lo suficientemente claras como para poder seguirlas incluso bajo presión. La formación debe reflejar situaciones realistas, no simples orientaciones genéricas. Los planes de crisis deben tener en cuenta la posibilidad de que los atacantes intenten introducir instrucciones falsas en los canales de comunicación.

Algo que destacó en nuestra conversación: los programas de seguridad sólidos suelen ser creados por personas que se adaptan antes de que el manual de procedimientos esté terminado. Las organizaciones no deberían esperar a que se definan por completo todos los riesgos relacionados con la inteligencia artificial para mejorar la forma en que protegen las comunicaciones confidenciales.

La preparación práctica comienza por identificar las comunicaciones más importantes: la coordinación del liderazgo, la respuesta ante incidentes, las instrucciones de seguridad pública, las alertas operativas, los debates jurídicos y normativos, y los intercambios de datos sensibles. Una vez que estos flujos de trabajo estén claros, las organizaciones pueden definir qué canales son aceptables, qué controles son necesarios y qué métodos alternativos se utilizarán en caso de que fallen las herramientas habituales.

El camino a seguir

La inteligencia artificial seguirá transformando la forma de trabajar de las organizaciones y el modo de actuar de los atacantes. Lo que se desprende de nuestra conversación es que la respuesta adecuada consiste en reforzar los pilares que garantizan la fiabilidad de la comunicación.

Esto significa considerar las comunicaciones seguras como un elemento fundamental de la resiliencia cibernética: proteger las conversaciones confidenciales antes de que sean objeto de ataques, validar la identidad antes de llevar a cabo cualquier acción y garantizar que los equipos críticos puedan seguir operando cuando la confianza en los canales habituales sea incierta.

Si los atacantes pueden manipular lo que la gente cree, en quién confía o qué instrucciones sigue, pueden influir en los resultados sin necesidad de violar todos los sistemas. Las comunicaciones se encuentran dentro del perímetro de seguridad, y protegerlas requiere la misma planificación minuciosa que se aplica a cualquier otro control de seguridad. Para las organizaciones que se ocupan de decisiones delicadas, de la coordinación en situaciones de emergencia o de información regulada, esa planificación ya debería estar en marcha.