El debate sobre el fraude de identidad, que ahora frecuentemente se enfoca en los deepfakes generados mediante inteligencia artificial, sigue revelando que los métodos tradicionales continúan representando una mayor amenaza. En España, los ataques están activos principalmente durante los procesos de inicio de sesión y las transacciones, predominando las técnicas convencionales. Los informes más recientes indican que la apropiación de cuentas (ATO) constituye el 50 % de los ataques, mientras que la ingeniería social representa el 43 %, lo que subraya que los delincuentes cibernéticos aún concentran sus esfuerzos en atacar directamente a los usuarios.
El escenario no se limita ya únicamente al proceso inicial de alta de clientes. Actualmente, la fase de transacción es el punto más vulnerable en la experiencia del cliente, acumulando el 40 % de todos los intentos de fraude de identidad. Las credenciales robadas, junto a la manipulación de los usuarios, transforman las interacciones cotidianas en puntos críticos para la prevención. De hecho, las empresas en Europa calculan que cerca del 19 % de las transacciones procesadas y clientes registrados suponen actividad fraudulenta.
En este contexto, la inteligencia artificial desempeña un papel crucial: los grupos delictivos la están utilizando para ampliar y mejorar métodos tradicionales a gran escala. Con modelos de lenguaje de gran tamaño, las campañas de spear-phishing generadas por IA ahora logran una sorprendente tasa de clics del 54 %, superando las generadas manualmente. Además, el smishing, que representa el 35 % de los intentos de phishing en dispositivos móviles, evade eficazmente las barreras de seguridad convencionales.
Thomas Osinga de Signicat enfatiza la evolución de los métodos de fraude. Según Osinga, en la era de la inteligencia artificial, el enfoque debe dirigirse hacia una «confianza verificada» continua, donde las comprobaciones silenciosas operan en segundo plano durante todo el recorrido del cliente. Este cambio es crucial ante la inminente implementación de las carteras de identidad digital europeas (EUDI Wallets) y el creciente uso de IA agéntica. Las empresas deberán verificar que cada operación realizada por agentes autónomos de IA esté auténticamente autorizada, anticipándose a un campo de batalla perpetuo en el que la IA se convierte tanto en un arma como en un escudo.
En respuesta, Signicat sugiere implementar una «seguridad invisible» que identifique manipulaciones y actividades sospechosas sin añadir complicaciones al usuario. Este enfoque busca detectar anomalías a través de la evaluación de datos en tiempo real, como la geolocalización y los patrones de comportamiento del dispositivo, permitiendo así proteger las transacciones sin exigir contraseñas adicionales ni verificaciones explícitas a los clientes legítimos.
