La reciente difusión mainstream de la tecnología AI ha llevado a la expansión de las técnicas de suplantación fraudulenta deepfake, amenazando ahora también los controles KYC de los crypto exchange.
Recientemente en la web ha surgido una nueva herramienta, llamada ProKYC, capaz precisamente de eludir los controles de reconocimiento de identidad “Know Your Customer” de los exchange.
Representa un nuevo nivel de estafa financiera altamente sofisticada, capaz de crear graves daños a diversas empresas criptográficas.
A esto se suman las cada vez más frecuentes fugas de datos que involucran lamentablemente también a famosas sociedades de inversión, poniendo en riesgo su información en línea.
Veamos todos los detalles a continuación.
Summary
IA: la llegada de la amenaza deepfake y las medidas de seguridad KYC de los exchange
En los últimos 2 años, la expansión de la tecnología AI ha desencadenado el aumento de las estafas financieras en la web, lideradas por el uso cada vez más masivo de videos deepfake.
Estos videos, creados con la ayuda de la inteligencia artificial, permiten a los scammers hacerse pasar por personajes famosos y celebridades replicando de manera veraz apariencia y voz. Con estos videos, los estafadores proponen luego a sus víctimas menos atentas entrar a través de enlaces de phishing o comprar tokens scam.
En Twitter, Youtube y otros medios sociales vemos cada vez más casos de este tipo, con videos deepfake que muestran el rostro de Cristiano Ronaldo, Elon Musk, etc.
A veces se llega incluso a utilizar estos modelos en las videollamadas empresariales, apuntando a impresionar a colaboradores, empleados y directivos para extraer datos valiosos.
Obviamente una buena parte de los deepfake está relacionada con el mundo de las criptomonedas, vista la componente de pseudo-anonimato que los mismos estafadores aprovechan para monetizar.
Existen, sin embargo, también sistemas de seguridad, como el de la verificación KYC de los exchange, que impiden que la AI sea explotada con malas intenciones.
Las plataformas de intercambio utilizan la KYC para el registro de nuevos usuarios, solicitando fotos, videos y análisis biométrico del rostro y presentando barreras anti deepfake.
Así los exchange limitan que su propio banco pueda ser explotado para actividades ilícitas como lavado de dinero y venta de ganancias scam.
Ahora, sin embargo, estamos entrando en una nueva fase de las estafas de IA, con tecnologías súper sofisticadas que a veces logran afectar incluso a los más grandes crypto exchange.
Los daños potenciales que pueden causar son ilimitados, si no se bloquean con nuevas medidas de contraste.
Una nueva herramienta deepfake basada en IA capaz de eludir la KYC de los exchange de criptomonedas
Como afirmó la sociedad de seguridad informática Cato Networks, se está difundiendo una herramienta AI de creación deepfake que logra eludir los controles KYC de los exchange.
Se trata de ProKYC, una herramienta descargable con una suscripción de 629 dólares anuales, desde la cual los estafadores pueden crear ID falsos y generar videos pseudo-reales.
El paquete incluye una cámara, un emulador virtual, animaciones faciales, huellas digitales y generación de fotos de verificación.
La herramienta ha sido personalizada específicamente para las empresas financieras cuyos protocolos KYC requieren una verificación cruzada entre controles biométricos del rostro y documentos.
Las pruebas parecen tan reales que logran superar esta barrera hasta hoy nunca cruzada ni siquiera por los mejores sistemas de IA.
Un deepfake creado con ProKYC y publicado en el blog post de Cato, muestra cómo la IA logra generar documentos de identificación falsos eludiendo el exchange Bybit.
El usuario completa la verificación KYC de la plataforma utilizando un nombre ficticio, un documento falso y un video artificial.
En un informe reciente, el jefe de seguridad de Cato Network Etay Maor afirmó que ProKYC se presenta como un nuevo nivel de sofisticación de las estafas financieras.
La nueva herramienta de IA representa un avance significativo en comparación con los métodos antiguos que los criminales cibernéticos usaban para vencer la autenticación de dos factores y KYC.
Los estafadores ya no están obligados a comprar identidades falsas (o robadas) en la deepweb, sino que pueden aprovechar este nuevo y conveniente servicio.
Aumentan masivamente los fraudes de identidad en el mundo crypto con AI y violaciones de datos
La llegada de ProKYC con deepfake AI que eluden las verificaciones KYC de los exchange, corre el riesgo de llevar a un aumento de estafas financieras, ya de por sí peligrosamente elevadas.
Los actores ahora son de hecho capaces de crear múltiples cuentas en los exchange gracias a una función conocida como New Account Fraud (NAF).
Además, ProKYC afirma ser también capaz de eludir las medidas KYC para las plataformas de pago Stripe y Revolut.
Inevitablemente, si las plataformas financieras no desarrollan nuevos sistemas de reconocimiento contra los deepfake, podrían sufrir graves daños a sus estructuras.
El problema es que controles biométricos demasiado estrictos corren el riesgo de provocar “falsos positivos” haciendo que la experiencia del usuario sea tremendamente molesta.
Como afirma al respecto Cato:
“La creación de sistemas de autenticación biométrica súper restrictivos puede conllevar muchos avisos falsos positivos. Por otro lado, los controles laxos pueden provocar fraudes.”
Existen, sin embargo, métodos de detección alternativos contra las herramientas deepfake AI, que involucran la presencia de un ser humano como controlador.
Un empleado del exchange debería identificar manualmente imágenes y videos, identificando incoherencias en los movimientos del rostro y en la calidad de la imagen.
Discurso aparte en cambio para los data breach y para las fugas de identidad, que aprovechan documentos y pruebas reales para lanzar una amplia gama de estafas en línea.
Hace solo unos días, la sociedad de inversión Fidelity sufrió una fuga de datos de más de 77.000 clientes. Se robaron licencias de conducir, números de seguridad social e información personal, que seguramente se venderán en la dark web y se utilizarán para varios tipos de estafas crypto.
Recordamos de todos modos que las sanciones por fraude de identidad en los Estados Unidos pueden ser severas y variar según la naturaleza y la entidad del crimen.
La pena máxima es de hasta 15 años de reclusión con multas pesadas.
