Estafas laborales falsas: la última epidemia de fraude en línea

Cuidado con el caballo de Troya

Como señala Aarti, la defensa contra fraudes por deepfake se está convirtiendo en algo parecido a un juego de golpear topos, con nuevas técnicas surgiendo tan rápido como se abordan las existentes. Las organizaciones son cada vez más conscientes de la necesidad de utilizar medidas KYC como la verificación de identidad de alta calidad verificación de identidad para asegurar que los clientes son quienes dicen ser y mantener a raya a los estafadores. Pero, ¿qué pasa cuando el enemigo está realmente dentro de las puertas, sin que tú lo sepas?

Una forma de fraude en línea que está en rápido ascenso y que apenas está comenzando a recibir atención es la estafa laboral falsa. El aumento del trabajo remoto ha creado oportunidades para los criminales, que pueden conseguir trabajo en una empresa más fácilmente a través de rutas legítimas. Una vez dentro, usan su estatus de insider para cometer fraude.

Explotando sus vulnerabilidades

“Los diseñadores de fraude con deepfake saben que los equipos de seguridad están en alta alerta,” comenta Aarti. “Por lo tanto, no están necesariamente atacando al equipo de seguridad donde las defensas son más fuertes. Están apuntando a equipos periféricos como el Director de tecnología y las oficinas de Recursos Humanos en una organización.”

Al mismo tiempo, las pequeñas y medianas empresas (PYMES) están siendo utilizadas como una puerta de entrada para infiltrarse en empresas más grandes.

“Hablé con una empresa hace solo dos días, una PYME de seis personas con sede en los Estados Unidos,” comenta Aarti. “Tienen algunos clientes muy importantes y se han convertido en un objetivo de fraude por deepfake por parte de 'trabajadores de TI' que quieren alcanzar a los clientes que están atendiendo.”

“Si eres una PYME, ¿qué tienes?” comenta Aarti. “Bueno, tienes una cuenta bancaria, tienes clientes. Tienes datos y probablemente tienes información sensible sobre tus clientes. Así que ya tienes activos de valor que el atacante podría desear. Si estás en industrias reguladas, el valor de esos activos es mucho mayor. Y por lo tanto, vale la pena que inviertan más tiempo en crear un fraude bien diseñado.”

Las empresas más pequeñas tienden a ser menos conscientes del problema y tienen menos recursos para invertir en seguridad. Por lo tanto, los criminales a menudo las ven como un ‘campo de pruebas’ donde pueden probar vectores de ataque antes de utilizarlos para atacar a empresas más grandes.

¿Cómo funciona?

Las estafas de trabajadores falsos comienzan en las plataformas donde se publican empleos. Los estafadores crean perfiles con todas las calificaciones y experiencia adecuadas. Otros miembros del equipo son responsables de las solicitudes de empleo; este es un juego de números, con criminales postulando a miles de empleos. A menudo, un CV bien construido puede pasar desapercibido por un reclutador, que probablemente no esté buscando activamente solicitudes fraudulentas.

“A menudo no hacen una verificación cruzada de la información,” dice Aarti. “Pueden mirar el currículum, pueden hacer una búsqueda superficial en línea para ver si el currículum corrobora la otra información que hay, pero no necesariamente hacen una verificación inversa de la imagen, por ejemplo.

Para el trabajo remoto, si un candidato tiene éxito en la etapa de revisión del currículum, el siguiente paso suele ser una entrevista en video en línea. En este punto, el entrevistado usará tecnología de video deepfake para cambiar su apariencia.

“La tecnología es tan buena que a menos que busques forense signos de desenfoque, etcétera, realmente no puedes decir que esta no es una cara real,” comenta Aarti

Si el candidato pasa el proceso de entrevista, la siguiente etapa es la verificación de identidad. Además de documentos falsos, que están disponibles a bajo costo en la dark web, la tecnología deepfake puede volverse a usar para engañar a los procesos de verificación de identidad menos sofisticados. El criminal ahora se ha convertido en tu empleado…

Detectando las señales

Dadas las amenazas que presenta tener a un actor malicioso dentro de tu organización, las estafas de trabajadores falsos deberían estar en la parte alta de la agenda de ciberseguridad para cualquier empresa. Para combatir el problema, es vital tratar la verificación como una parte integral del proceso de contratación. Aquí hay algunos consejos que pueden ayudarte a detener a los estafadores de trabajadores falsos en seco.

• Verifica los CV no solo por competencias sino por autenticidad: ¿las cualificaciones y la experiencia parecen coherentes tanto en sí mismas como con la edad, nacionalidad, ubicación, etcétera del candidato?
• Revisa el perfil de LinkedIn del candidato (si tienen uno), buscando inconsistencias similares: ¿cuál es tu nivel de confianza en que esta persona es un solicitante genuino?
• Cualquier renuencia a aparecer en cámara es una señal de advertencia: todos podemos sufrir problemas de red, pero ¿está utilizando la falta de video o la baja calidad para enmascarar el uso de tecnología deepfake?
• Presta atención a los candidatos que emplean un 'copiloto': si un entrevistado parece leer las respuestas a una pregunta, esto puede ser un fuerte indicio de que están trabajando con un equipo
• Haz preguntas más suaves para ayudar a validar la información proporcionada en una solicitud por autenticidad: utiliza tu propio conocimiento de empresas, instituciones académicas, etcétera para ‘comprobar el sentido’ de las respuestas
• Utiliza software de verificación de identidad de alta calidad para autenticar a un candidato exitoso, verificándolos no solo como humanos sino también como lo que dicen ser