Ver para creer ya no es suficiente

Durante mucho tiempo entendimos la ciberseguridad como un asunto de muros: firewalls, antivirus, redes protegidas y contraseñas complejas. La imagen era cómoda porque separaba lo seguro de lo inseguro, lo de adentro de lo de afuera, sin embargo, esa frontera se ha vuelto cada vez más borrosa y difusa. Trabajamos desde casa, usamos servicios en la nube, compartimos documentos con proveedores y tomamos decisiones críticas por correo, chat o videollamada. En ese mundo, el punto más vulnerable ya no siempre es el servidor, ahora tiene que ver con la identidad digital de las personas.

La identidad digital no es solo el usuario y la contraseña con los que accedemos a una plataforma. Es el conjunto de datos, rastros, hábitos y señales que nos identifican y nos representan en internet, es decir, desde dónde nos conectamos, a qué hora solemos hacerlo, qué sistemas usamos, con quién interactuamos, qué tono empleamos al comunicarnos y qué permisos tenemos dentro de una organización. En una empresa, la identidad de una persona también incluye su rol, su jerarquía y la confianza que otros depositan en sus instrucciones. Por eso, protegerla se ha convertido en una prioridad estratégica.

La razón es sencilla: si un atacante logra hacerse pasar por alguien legítimo, quizá no necesite romper ningún sistema. Le basta con convencer a una persona de actuar dentro de un proceso real. Una transferencia urgente, el cambio de una cuenta bancaria, el envío de información confidencial o la aprobación de un acceso pueden ejecutarse con credenciales válidas y desde canales aparentemente normales. La infraestructura puede funcionar correctamente y, aun así, la organización puede ser engañada.

Ahí entran los deepfakes. Un deepfake es un contenido generado o manipulado mediante Inteligencia Artificial generativa para imitar con gran realismo la voz, el rostro, los gestos o incluso los modismos de una persona a la hora de hablar. Lo que hace pocos años parecía una curiosidad tecnológica, útil para bromas virales o efectos audiovisuales, hoy es una herramienta accesible para cometer fraudes. Ya no hablamos solo de videos torpes y fáciles de detectar, por el contrario, existen audios, imágenes y videollamadas falsas capaces de engañar a empleados entrenados y a organizaciones con recursos.

El caso que encendió las alarmas ocurrió en 2024, cuando un empleado financiero de la firma británica Arup transfirió alrededor de 25 millones de dólares tras participar en una videollamada en la que creyó ver y escuchar a altos directivos. Según reportes públicos, los participantes, salvo el empleado, eran representaciones sintéticas generadas con IA. La lección no es que una persona fuera ingenua, es más inquietante y es que la voz familiar y el rostro conocido dejaron de ser pruebas suficientes de autenticidad.

Para las empresas, el impacto de esta nueva realidad es profundo. Primero, está el riesgo económico directo, que se traduce en pagos fraudulentos, contratos manipulados o accesos concedidos por error. Segundo, aparece el daño reputacional. Un video falso de un directivo anunciando una decisión inexistente puede mover mercados, deteriorar la confianza de clientes o alterar una negociación. Tercero, está el efecto sobre la toma de decisiones internas: si cada mensaje urgente puede ser falso, la organización se vuelve más lenta; pero si confía demasiado, se vuelve vulnerable. Ese equilibrio será uno de los grandes desafíos de la gestión empresarial en la era de la IA.

El problema se agrava porque los deepfakes no atacan únicamente la tecnología, sino la confianza. Durante décadas hemos usado señales humanas como mecanismo de verificación, hoy esas señales pueden ser imitadas. Por eso, la identidad digital debe entenderse como algo dinámico y contextual. No basta con saber quién inició sesión, hay que mirar desde dónde, cuándo, para qué acción, con qué patrón de comportamiento y bajo qué nivel de riesgo. Una cuenta que opera de madrugada desde un país inusual y solicita cambios financieros sensibles no debería tratarse como una sesión normal solo porque la contraseña sea correcta.

De ahí la importancia de modelos como Zero Trust. Su principio es simple: no confiar automáticamente en nadie ni en nada, aunque esté dentro de la red o use credenciales válidas. Cada acceso y cada decisión relevante deben verificarse de manera continua. En el contexto de los deepfakes, esto implica aceptar una idea incómoda pero necesaria: una videollamada, una orden verbal o un correo bien redactado no pueden ser la única base para autorizar operaciones críticas.

La gran batalla que se avizora no será únicamente proteger datos, sino proteger la confianza que permite operar. La identidad digital será el nuevo perímetro porque alrededor de ella se decidirá qué es real, quién tiene autoridad y qué acciones merecen ejecutarse. Los deepfakes nos obligan a abandonar una máxima que se la atribuye al apóstol Santo Tomás: “ver para creer”. En adelante, creer será verificar.