Simulación de amenazas OSINT para objetivos de alto valor

Para quién es / disparadores habituales

• Liderazgo en seguridad y propietarios del riesgo: CISOs, equipos de seguridad de producto, seguridad corporativa y equipos de fraude/riesgo responsables de gestionar el riesgo centrado en el humano en ejecutivos, roles con alto nivel de acceso y procesos empresariales sensibles. Un ejemplo reciente muestra cómo los atacantes utilizaron vídeo deepfake para suplantar a la alta dirección de Arup, lo que resultó en una transferencia fraudulenta de aproximadamente 25 millones de dólares.
• Organizaciones en proceso de cambio o bajo mayor escrutinio: aquellas que experimentan eventos de transformación, como fusiones y adquisiciones, reestructuraciones, cambios en el liderazgo, incidentes de seguridad, rondas de financiación, grandes ciclos de subvenciones, donaciones significativas o divulgaciones de productos, regulatorias o públicas de alto perfil.
• Funciones de alto acceso y alta confianza: equipos y roles con acceso privilegiado, autoridad financiera o influencia reputacional, incluidos los de TI y mesa de servicio, administración de la nube y de identidades, finanzas (cuentas a pagar, tesorería y aprobadores de pagos), recursos humanos y reclutamiento, legal, comunicaciones corporativas, liderazgo de programas y asistentes ejecutivos. También el liderazgo de organizaciones benéficas, patronos, administradores de subvenciones y equipos que gestionan datos de beneficiarios o donantes.
• Individuos y grupos con activos: personas con un alto patrimonio neto, family offices, gestores de activos y otros grupos con autoridad sobre flujos de trabajo de inversión, tesorería o pagos fuera de las estructuras corporativas tradicionales.
• Objetivo de actividad de amenazas reciente: organizaciones, entidades benéficas o grupos con activos que han sufrido intentos de deepfake, phishing o ingeniería social dirigidos a líderes, patronos, funciones financieras o de pagos, u otros roles de alta confianza.

Ejemplos de amenazas

Los deepfakes son audio o vídeo sintéticos diseñados para imitar de forma convincente la voz, el rostro o el comportamiento de una persona real. En la práctica, facilitan enormemente que los atacantes suplanten la identidad de directivos, colegas o figuras públicas de confianza para generar urgencia, exploit autoridad y manipular a las personas para que actúen. El riesgo principal es sencillo: una voz o un rostro familiar ya no constituyen una prueba fiable de identidad, por lo que la verificación y la defensa frente a deepfakes deben integrarse en procesos y sistemas de confianza.

Los siguientes son ejemplos reales de incidentes de ingeniería social exitosos:

• Los atacantes utilizaron vídeo deepfake para suplantar a altos ejecutivos de la oficina de Arup en Hong Kong, lo que provocó una transferencia fraudulenta de aproximadamente 25 millones de dólares. Este incidente ilustra la escalada desde la suplantación de una sola persona hasta el engaño en reuniones con múltiples participantes, dirigido directamente a funciones con autoridad de pago y confianza organizativa.
• Los delincuentes utilizaron la clonación de voz generada por IA para suplantar la identidad de un alto ejecutivo de una matriz alemana y presionar al CEO de una empresa energética con sede en el Reino Unido para que realizara un pago urgente a un proveedor, lo que resultó en una transferencia no autorizada de aproximadamente 220.000 €. Este incidente demuestra cómo la suplantación de voz convincente puede eludir el escepticismo habitual cuando se dirige a roles de alta confianza y flujos de trabajo financieros sensibles al tiempo.
• Los atacantes clonaron la voz del director de una empresa y la combinaron con comunicaciones de apoyo para persuadir a un banco de transferir fondos, con informes que indican pérdidas de aproximadamente 35 millones de dólares estadounidenses. Esto ilustra cómo los actores de amenazas pueden mezclar la suplantación habilitada por deepfakes con un contexto empresarial creíble para eludir los pasos de verificación en procesos de pago de alto valor.
• Los criminales utilizaron la clonación de voz mediante IA para suplantar al ministro de Defensa de Italia (y a otros altos cargos) mientras contactaban con destacados líderes empresariales con una solicitud de pago urgente, lo que llevó al menos a un objetivo a transferir casi 1 millón de euros antes de que las autoridades rastrearan y congelaran los fondos. Este incidente demuestra cómo los actores de amenazas están extendiendo la ingeniería social habilitada por deepfakes más allá de las cadenas de mando corporativas tradicionales y atacando directamente a individuos con grandes patrimonios y a sus asesores, utilizando la urgencia, la autoridad y pretextos altamente creíbles.

Los ejemplos sobre el terreno también son habituales. En un ejercicio controlado, se utilizó una voz deepfake que suplantaba a un Chief Technology Officer para eludir el proceso de verificación de identidad del helpdesk, demostrando cómo el vídeo disponible públicamente puede ser suficiente para producir una voz sintética convincente. Este escenario puso de manifiesto vulnerabilidades en los procedimientos de restablecimiento de contraseñas y recuperación de cuentas, lo que condujo a mejoras prácticas y documentadas en los controles de verificación y los flujos de trabajo de escalado.

Qué hacemos

Reproducimos reconocimientos realistas contra individuos de alto valor designados, correlacionamos datos de brechas y de redes sociales, y construimos narrativas de ataque que demuestran con precisión cómo podría producirse una compromisión. La evaluación es exclusivamente observacional; no contactamos a los objetivos ni ejecutamos ataques reales. Los entregables incluyen perfiles de exposición por persona, rutas de ataque plausibles y acciones de remediación claras y prácticas.

El alcance de la simulación de amenazas de IOActive OSINT incluye:

• Recopilación de inteligencia: agregada a partir de fuentes públicas, corpus de brechas, plataformas sociales, ecosistemas de desarrolladores y rastros básicos de infraestructura.
• Modelado de amenazas: el análisis basado en inteligencia de amenazas mapea su exposición a los objetivos, pretextos y rutas de ataque probables del adversario.
• Diseño de escenarios: playbooks realistas para spear-phishing, vishing y pretextos relacionados. Los medios simulados opcionales (voz o vídeo) se producen con consentimiento explícito. Los hallazgos y las simulaciones se limitan al alcance del proyecto y no se propagarán más allá de los canales acordados.
• Remediación basada en el riesgo: Recomendaciones específicas para personas y políticas organizativas, además de formación opcional para mejorar la detección y la respuesta.

Entregables

El resultado de un ejercicio de simulación de amenazas es una serie de entregables que ilustran las debilidades y proporcionan una hoja de ruta para fortalecer la organización:

• Perfil de exposición y amenazas por individuo: perfiles basados en evidencia para cada persona designada, que documentan su huella digital y explican cómo podría ser explotada (por ejemplo, para suplantación de identidad, fraude o acceso).
• Escenarios de ataque narrativos: playbooks de adversarios realistas que ilustran cómo la información recopilada podría convertirse en un arma, ayudando a la dirección y a los equipos de seguridad a visualizar rutas de amenaza tangibles.
• Medios simulados opcionales: ejemplos controlados de contenido de voz o vídeo deepfake, producidos únicamente con consentimiento explícito previo, con fines de sensibilización y formación.
• Plan de remediación priorizado: recomendaciones accionables que incluyen la reducción de la huella digital, la exclusión de los datos de los intermediarios de datos, mejoras en las políticas y en los procesos del servicio de asistencia, la separación de identidades y controles de MFA y de recuperación más robustos.

Informe ejecutivo y formación opcional: una presentación final dirigida a los altos directivos, con la opción de sesiones de formación específicas para reforzar la concienciación y la resiliencia.

Cómo funciona

Un ejercicio sigue estos pasos:

1. Inicio y nominación de objetivos. Tras nominar entre 5 y 25 personas para la evaluación, acordaremos los límites legales, la postura de consentimiento y las audiencias de los informes antes de comenzar el trabajo.
2. Recopilación y mapeo de la exposición. Esta fase incluye la compilación de variantes de nombres, correos electrónicos profesionales y personales, nombres de usuario y perfiles en redes sociales. También agregaremos coincidencias de brechas, activos y dominios públicos, rastros de desarrolladores y en la nube, registros de proveedores, apariciones en medios y otra exposición disponible públicamente.
3. Modelado de amenazas y desarrollo de escenarios. Analizamos la exposición desde la perspectiva del atacante y construimos escenarios realistas alineados con tácticas, técnicas y procedimientos (TTPs) comunes, como la reconocimiento y phishing. También mapeamos los objetivos probables del adversario y las rutas de ataque plausibles.
4. Elaboramos borradores de perfiles individuales con evidencia de apoyo, los revisamos de forma colaborativa con sus partes interesadas, confirmamos su exactitud y acordamos las prioridades de remediación.
5. Informe final, presentación y sesión de remediación. Para concluir el ejercicio, entregamos un Informe de Simulación de Amenazas consolidado con un resumen ejecutivo, temas agrupados, remediación priorizada y anexos. Una presentación ejecutiva y una sesión de trabajo de remediación ayudarán a traducir los hallazgos en acciones prácticas.

Resultados y métricas

Este ejercicio ofrece múltiples beneficios de seguridad:

• Reducción de la exposición OSINT: Reducción medible de la huella pública de cada objetivo, incluidas las eliminaciones confirmadas de intermediarios de datos, el endurecimiento de la privacidad en redes sociales y la minimización de la disponibilidad de datos personales.
• Controles de proceso más sólidos: Mejoras en los procesos empresariales de alto riesgo habitualmente objetivo de los adversarios, como la verificación del helpdesk, las aprobaciones de pagos, la creación de cuentas de invitado y los flujos de trabajo de recuperación de contraseña.
• Detección y respuesta mejoradas: identificación y escalada más rápidas de intentos de ingeniería social o suplantación de identidad, basadas en escenarios de amenazas adaptados a su entorno.
• Alineación del liderazgo: Narrativas claras y basadas en evidencias que vinculan la exposición con el impacto empresarial tangible, impulsando la implicación de la dirección y la toma de decisiones informada.

Límites legales y éticos

• Simulación únicamente: todas las actividades son observacionales y simuladas. No se realiza ninguna interacción directa con los objetivos ni se llevan a cabo ataques en vivo.
• Uso controlado de medios: cualquier uso de voz o medios faciales simulados requiere consentimiento explícito previo, permanece totalmente contenido dentro del ejercicio y nunca se distribuye fuera del ámbito acordado.
• Gobernanza y cumplimiento: Todo el trabajo se realiza bajo estrictos estándares éticos y en pleno cumplimiento de los términos del Master Services Agreement (MSA) y del Statement of Work (SoW).

Preguntas frecuentes