Es posible que la persona más peligrosa de su empresa no trabaje allí. Los deepfakes con IA son cada vez más baratos y mejores. Los piratas informáticos ahora los utilizan para hacerse pasar por personal de confianza, una amenaza que la industria llama «información privilegiada sintética».
La táctica se encuentra en la punta de lanza de un viejo problema. Las amenazas internas van desde un trabajador que envía por correo electrónico el archivo equivocado a un ladrón que sabe exactamente dónde están los objetos de valor. Un análisis de 2026 de alrededor de 22.000 incidentes realizado por Verizon encontró que el 12% fueron obra de actores internos, el El Financial Times informó.
Los deliberados causan el mayor daño. «Saben dónde están las joyas de la corona y cómo acceder a ellas», dijo Alex Lisle, director de tecnología de la firma de detección de deepfake Reality Defender.
El empleado falso
El ejemplo más claro es un plan norcoreano que el Departamento de Justicia de Estados Unidos reprimió el año pasado. Los agentes consiguieron de manera fraudulenta trabajos remotos en empresas estadounidenses. El objetivo era ganar salarios y robar datos para el régimen sancionado.
Utilizaron las identidades robadas de más de 80 estadounidenses para ser contratados en más de 100 empresas, dijo el gobierno. Eso recaudó más de 5 millones de dólares para Pyongyang. Posteriormente, ocho personas radicadas en Estados Unidos fueron sentenciadas por administrar “granjas de computadoras portátiles”. Se trata de estantes de computadoras en hogares estadounidenses que hacían que los trabajadores extranjeros parecieran locales.
Barato profundo Las herramientas lo hacen más fácil. Los atacantes ahora pueden falsificar vídeo y audio en directo, no sólo una foto. Eso les permite realizar una entrevista en video como otra persona.
Atrapándolos en la puerta
La solución comienza con la contratación. Las empresas están uniendo recursos humanos, seguridad, asuntos legales y TI, dijo Adam Finkelstein de la consultora Alvarez & Marsal. Sostuvo que tratar el reclutamiento como una tarea pura de recursos humanos “ya no es suficiente para roles técnicos remotos de alto riesgo”.
Tom Hegel, investigador de amenazas de SentinelOne, dijo que las empresas deberían examinar los metadatos, las direcciones IP y las huellas digitales del dispositivo cuando llega una aplicación. También deben estar atentos a los candidatos que alteran su rostro o su voz en tiempo real. Algunas defensas son de baja tecnología. Pedirle a un candidato que gire la cabeza o agite la mano aún puede romper un deepfake en vivo, dijo.
Los controles continúan después del alquiler. Las empresas deben asegurarse de que no se envíen portátiles nuevos a una granja. Luego pueden utilizar análisis de comportamiento para detectar actividades extrañas.
La mayoría de las fugas son accidentes.
Las tramas que acaparan los titulares son la excepción. «Es mucho más probable que las amenazas internas ocurran por accidente», dijo Dave Spillane de Fortinet. Un informe de 2025 de la empresa atribuyó el 62% de los incidentes a errores humanos o cuentas secuestradas. Esto cubre todo, desde enviar por correo electrónico el archivo incorrecto hasta pegar secretos en un chatbot no autorizado.
Ese último hábito tiene un nombre: IA en la sombra. El personal introduce datos confidenciales en herramientas de inteligencia artificial su empleador nunca lo aprobó, dijo John Hultquist de Google Threat Intelligence Group.
La siguiente preocupación es el software en sí. Como Agentes de IA Cuando obtienen el poder de actuar, empiezan a parecerse a personal con acceso al sistema. Y pueden ser engañados. Un agente «opera de manera similar a un empleado», dijo Hultquist.
«A veces se le puede engañar para que haga cosas que no debería hacer». Art Gilliland, director ejecutivo de la firma de identidad Delinea, lo expresó claramente. Los agentes necesitan acceso a sistemas sensibles, por lo que sus identidades son tan valiosos para los atacantes como los de un humano.
La trampa de la vigilancia
Todo esto es bueno para la industria de la seguridad. El mercado de prevención de pérdida de datos creció de 33.000 millones de dólares el año pasado a casi 43.000 millones de dólares este año, según una estimación. Algunos proveedores venden herramientas estilo Gran Hermano que registran las pulsaciones de teclas y capturas de pantalla para señalar comportamientos riesgosos.
Eso plantea su propio problema. «Demasiada supervisión puede socavar la confianza», afirmó Bernard Montel de Tenable. «El desafío es proteger la organización sin crear una cultura de vigilancia».
También existe un riesgo de equidad. Finkelstein advirtió que la nacionalidad, los patrones de trabajo remoto o una historia profesional inusual no deberían convertirse en motivo de sospecha. En cambio, los controles deberían depender de señales verificables, como el uso extraño de privilegios o la imposibilidad de viajar.
La defensa más sencilla, argumentaron varios, es también la más antigua. Dar a la gente, y pícaro software, acceden sólo a lo que necesitan.