La Brecha en la Sala de Juntas: ¿Por Qué los CISOs Luchan por Hablar sobre Deepfakes — y Cómo Enmarcarlo

La ciberseguridad está entrando en un momento crucial, impulsado por la adopción generalizada de la IA por parte de empresas, gobiernos y particulares. Con 82% de las empresas en EE. UU. que utilizan o exploran el uso de la IA en sus negocios, las organizaciones están desbloqueando nuevas eficiencias, pero también los atacantes. Las mismas herramientas que impulsan la innovación también están permitiendo que los actores amenazantes generen contenido sintético con una facilidad y realismo alarmantes. Esta nueva realidad ha introducido importantes desafíos, incluida la capacidad de crear contenido sintético (imágenes, audio y video) y deepfakes maliciosos (audio, video o imagen manipulados para impersonar a una persona real) a una velocidad y sofisticación sin precedentes. En solo unos clics, cualquier persona con acceso a una computadora y a Internet puede manipular imágenes, audio y videos, introduciendo desconfianza y duda en el ethos de la información.

En una era en la que las empresas, los gobiernos y las organizaciones de medios de comunicación dependen de la comunicación digital para su sustento, no hay margen de error al subestimar los riesgos que los deepfakes, el fraude de identidad sintética y los ataques de impersonación representan. Estas amenazas ya no son hipotéticas: las pérdidas financieras por fraude empresarial habilitado por deepfakes superaron los 200 millones de dólares en el primer trimestre de 2025, lo que subraya la escala y la urgencia del problema. Un nuevo panorama de amenazas requiere un nuevo enfoque de la ciberseguridad, y los CISO deben actuar rápidamente para garantizar que su empresa permanezca segura. Sin embargo, solicitar nuevos recursos y comunicar claramente la exposición a las amenazas de la organización a una junta directiva con diferentes niveles de conocimiento sobre la gravedad de la amenaza de los deepfakes puede ser abrumador. A medida que los ataques de deepfakes continúan evolucionando y tomando forma, cada CISO debe estar a la vanguardia de llevar esta conversación a la sala de juntas.

A continuación, se presenta un marco para que los CISO y los ejecutivos faciliten las conversaciones con las partes interesadas a nivel de junta, organización y comunidad.

Utilice Marcos Familiarizados: Deepfakes como Ingeniería Social Avanzada

Las juntas han sido condicionadas para pensar en la ciberseguridad en términos familiares: correos electrónicos de phishing, ataques de ransomware y la pregunta pendiente de si su empresa será vulnerada. Esa mentalidad da forma a cómo priorizan las amenazas y dónde asignan los presupuestos de seguridad. Pero cuando se trata de contenido generado por IA, especialmente deepfakes, no hay un punto de referencia incorporado. Enmarcar los deepfakes como una amenaza independiente y novedosa a menudo conduce a la confusión, el escepticismo o la inacción.

Para combatir esto, los CISO deben anclar la conversación en algo que las juntas ya entienden: la ingeniería social. En su núcleo, la amenaza de deepfakes no es completamente nueva; es una forma evolucionada y más peligrosa de phishing que ha existido dentro de la industria durante años y sigue siendo el principal vector de ataque de la ingeniería social. Las juntas ya reconocen el phishing como un riesgo creíble y están cómodas aprobando recursos para defenderse contra él. En muchos aspectos, los deepfakes representan una forma más convincente, escalable y capaz de ingeniería social, que apunta tanto a organizaciones como a individuos con una precisión devastadora.

Enmarcar los deepfakes de esta manera permite a los CISO aprovechar la educación existente, las líneas presupuestarias y la memoria muscular institucional. En lugar de solicitar nuevos recursos, pueden reformular la solicitud como una evolución de las inversiones en seguridad ya aprobadas. Cuanto más se inclinen los CISO hacia esta narrativa, más probable es que se les otorguen los recursos para abordar este problema más grande e inmediato.

Anclaje del Riesgo en la Realidad, No en el Sensacionalismo

Señalar a ejemplos del mundo real es una excelente manera de profundizar en la comprensión de la junta sobre los impactos que las amenazas de deepfakes podrían tener en las organizaciones. Sin embargo, es importante considerar qué ejemplos presentan los CISO a las juntas, ya que pueden tener el efecto contrario. Historias famosas como el incidente de fraude por 25 millones de dólares en Hong Kong son excelentes titulares, pero pueden tener un efecto contrario en la sala de juntas. Estos ejemplos extremos a menudo parecen remotos o irreales, creando una sensación de que “algo tan catastrófico nunca podría sucedernos”. El sesgo se activa de inmediato y elimina el sentido de urgencia para invertir en protección.

En su lugar, los CISO deben utilizar escenarios más relacionados para mostrar cómo este riesgo podría desarrollarse internamente, como la impersonación de ejecutivos o el fraude de entrevistas.

En un caso, actores amenazantes de Corea del Norte crearon una llamada de Zoom falsa con ejecutivos generados por IA para engañar a un empleado de criptomonedas para que descargara malware para acceder a información confidencial de la empresa con la intención de robar criptomonedas. Al final, los hackers no pudieron acceder, pero la amenaza que estos ataques representan para la integridad de la marca debe ser un llamado de atención para las juntas dentro de la empresa.

Otra táctica en crecimiento implica candidatos falsos que utilizan identidades y credenciales generadas por IA para infiltrarse en organizaciones empresariales. Estas personas a menudo actúan en nombre de adversarios de EE. UU. como Rusia, Corea del Norte o China, buscando acceso a sistemas y datos sensibles. Esta tendencia drena recursos internos y expone a las organizaciones a riesgos de seguridad nacional y explotación financiera.

A menudo, estas amenazas pasan desapercibidas. Por cada ejemplo en las noticias, decenas pasan desapercibidos, lo que hace difícil comprender la magnitud de esta amenaza. Cuanto más mundano sea el ataque, más inquietante y relatable se vuelve. Al compartir ejemplos como estos, realistas, relacionados y más cercanos a casa, los CISO pueden fundamentar la conversación sobre deepfakes en operaciones comerciales diarias y reforzar por qué esta amenaza en evolución demanda una atención seria a nivel de junta.

Vincular la Defensa de Deepfakes a Métricas de Resiliencia Existente

Los CISO están continuamente preguntados las mismas preguntas por sus juntas: ¿Cuál es nuestra probabilidad de ser vulnerados? ¿Dónde somos más vulnerables? ¿Cómo reducimos el riesgo? Mientras que el phishing, el ransomware y las violaciones de datos siguen existiendo, es importante mostrar el cambio fundamental que ha ocurrido dentro de esas vulnerabilidades y cómo ahora se extienden mucho más allá de las superficies de ataque tradicionales.

Los equipos de RRHH, finanzas y compras, roles que no se consideran tradicionalmente como defensores de primera línea, ahora son objetivos frecuentes de impersonación sintética, y la capacidad promedio de los humanos para detectar estas amenazas es extremadamente baja. De hecho, solo 1 de cada 1.000 personas puede detectar con precisión el contenido generado por IA. Los CISO ahora están encargados de abordar la demanda de educación avanzada en ingeniería social y una mayor resiliencia cibernética en toda la organización, ya que todos en la organización necesitan ser capacitados, probados y concienciados para ayudar con la mitigación.

La defensa de deepfakes necesita convertirse en una extensión de la resiliencia empresarial y requiere educación continua de la misma manera que los equipos se entrenan a través de simulaciones de phishing, capacitación en conciencia y ejercicios de equipo rojo. Los CISO deben utilizar las métricas de las capacitaciones y simulaciones para ayudar a enmarcar el problema en métricas que su junta entienda. Si una junta ya ha aceptado la resiliencia como una prioridad estratégica para la organización, los deepfakes se convierten en un frente natural siguiente.

Las amenazas generadas por IA no están llegando. Ya están aquí. Es hora de que la sala de juntas esté lista para escuchar y liderar. Gracias a la adopción de la IA, la escala y la frecuencia de los ataques de deepfakes y de identidad han transformado el panorama de amenazas en uno impredecible y en constante evolución.

Pero las juntas no necesitan un manual sobre deepfakes o clonación de voz. Necesitan un contexto empresarial claro y una mayor comprensión de las amenazas que representan para sus organizaciones. Los CISO deben fundamentar la conversación en riesgo, costo y continuidad operativa. Aquellos que alinean su narrativa de deepfakes con paradigmas familiares, como el phishing, la ingeniería social y la resiliencia, brindan a su junta un marco y un contexto en el que pueden actuar, no solo reaccionar.