Key Findings​​ 

• Las instituciones bancarias, las bolsas de criptomonedas y otras compañías comenzaron a implementar la verificación de identidad para establecer una seguridad de cuenta más rigurosa.​​ 
• Los analistas de Gemini observaron un número creciente de publicaciones en foros de la web oscura sobre cómo eludir la verificación de identidad de los sitios web mediante tecnología de cambio de rostro que emplea selfies o videos. Los deepfakes son imágenes o videos cuyo contenido fue manipulado de tal manera que la apariencia o la voz de una persona se ve o suena como la de otra persona.​​ 
• Varios actores de la web oscura recomendaron usar DeepFaceLab o Avatarify, probablemente debido a que ambos son programas gratis de código abierto que no requieren conocimientos técnicos avanzados.​​ 
• A medida que más compañías recurren a la verificación de identidad virtual, los analistas de Gemini estiman, con un nivel de confianza moderado, que es probable que los ciberdelincuentes comiencen a emplear deepfakes a mayor escala para engañar y eludir los controles de reconocimiento facial.​​ 

Background​​ 

Los analistas de Gemini observaron un número creciente de publicaciones en foros de la web oscura sobre cómo eludir la verificación de identidad de los sitios web mediante tecnología de cambio de rostro que emplea selfies o videos. Hasta hace poco, los actores empleaban programas menos avanzados, como la función de intercambio de rostros de Adobe Photoshop, que lleva mucho tiempo en uso. Sin embargo, ahora los ciberdelincuentes comenzaron a recurrir a software más poderoso, como DeepFaceLab y Avatarify. Estas herramientas aprovechan los avances en aprendizaje automático, redes neuronales e inteligencia artificial (IA) para crear falsificaciones "deepfake". Los deepfakes son imágenes o videos cuyo contenido fue manipulado de tal manera que la apariencia o la voz de una persona se ve o suena como la de otra persona. En la actualidad, la tecnología de detección de deepfakes ampliamente disponible está por detrás de la tecnología de creación de deepfakes; las falsificaciones solo se pueden detectar luego de un análisis cuidadoso empleando IA especializada, que tiene una tasa de detección del 65%.​​ 

_Vídeo: Demostración de la tecnología deepfake e participaciones para su uso malicioso (video completo a través de NOVA PBS Official; [https://www.youtube.com/watch?v=t76bk2t2r8g](https://www.youtube.com/watch?v=t76bk2t2r8g))._​​ 

Análisis en profundidad​​ 

Verificación Virtual​​ 

Todas las compañías financieras reguladas que operan en Estados Unidos están obligadas a identificar a los usuarios en sus plataformas para cumplir con las leyes de Conoce a tu Cliente (KYC) y de prevención de blanqueo de capitales (AML). La UE tiene leyes similares, como la AML4, y otros países implementan sus propias versiones de estas leyes. Tradicionalmente, las compañías confiaron en servicios de terceros de buena reputación, como agencias de crédito, autenticación basada en conocimiento (KBA) u otros métodos, para identificar usuarios. Sin embargo, recientemente muchas compañías, desde bancos hasta exchanges de criptomonedas, están recurriendo a la verificación basada en imágenes y videos. La mayoría de estas compañías exigen a los usuarios que suban un DNI oficial, un selfie o un selfie construido específicamente según instrucciones, como levantar los dedos o sostener una nota. Algunas compañías llegaron incluso a exigir una transmisión de video en directo en la que el usuario debe realizar gestos y movimientos específicos.​​ 

Además de la verificación de identidad, ahora está surgiendo un nuevo mercado para los servicios de verificación por video. El gigante de la verificación de identidad ID.me, que ofrece servicios virtuales de verificación de identidad a diversas entidades, incluidas agencias gubernamentales, ya cuenta con un servicio consolidado de verificación por video, mientras que otras compañías de verificación, como ondato.com, jumio.com, basisid.com, y fully-verified.com, están empezando a ofrecer sus propios servicios de verificación por video. Según el ID.me, estos servicios pueden emplear para verificar la identidad de personas que tienen líneas de crédito congeladas o limitadas, información desactualizada almacenada en las agencias de crédito, teléfonos prepago no registrados o que no tienen una dirección permanente. Sin embargo, con la tecnología deepfake, los ciberdelincuentes podrían explotar cualquiera de estos casos de uso para imitar a las víctimas y acceder a cuentas previamente inaccesibles o protegidas.​​ 

Además de los servicios de verificación de terceros, algunas compañías implementaron su propio proceso de verificación por video: las casas de cambio de criptomonedas Blockchain y Binance, por ejemplo, exigen a los usuarios que aplicar cuentas con límites de transacción más altos que suban una identificación oficial y se tomen un selfie. Los intercambios luego verifican el selfie con la foto en el DNI oficial para confirmar la identidad del usuario. Sin embargo, el banco online N26 exige a sus miembros confirmar su identidad mediante verificación por video. Según el Verge, también parece que Amazon inició un nuevo proceso de verificación por video para nuevos vendedores, que podría ampliar a los vendedores existentes en un futuro próximo.​​ 

Actividad en el foro​​ 

Durante el último año, los ciberdelincuentes en foros de la dark sitio web comenzaron a debatir formas de emplear la tecnología deepfake para eludir los sistemas de verificación de identidad y video de bancos, exchanges de criptomonedas y otras instituciones. La mayoría de las publicaciones implicaron a un actor que ofrece sus servicios de creación de deepfake a otros actores o incluye instrucciones de deepfake como parte de tutoriales para eludir medidas de seguridad de instituciones específicas. Los actores que ofrecen servicios de creación de deepfake suelen pedir entre 10 y 30 dólares por minuto de video, aunque algunos actores ofrecen precios de cientos y requieren varios días para crear un video completo. Para los tutoriales, los actores suelen proporcionar instrucciones sobre cómo acceder a cuentas comprometidas en sitios web bancarios o de criptomonedas e incluyen enlaces e instrucciones para software deepfake que engaña a las verificaciones. En términos más generales, los estafadores en foros de tarjetas de la dark sitio web indican cada vez más que poseen la capacidad técnica para crear deepfakes, pero desean colaborar con otros actores para encontrar formas de incorporar deepfakes en nuevos esquemas de fraude.​​ 

Sin embargo, en la actualidad, los usuarios de los foros de la web oscura suelen hablar mucho más sobre el uso de la tecnología deepfake para crear contenido recreativo o pornográfico que sobre su utilización para el fraude bancario. Los usos más comunes, junto con el creciente interés en aplicar la tecnología deepfake a los esquemas de fraude, podrían impulsar el desarrollo de una tecnología deepfake más robusta y, potencialmente, reducir el precio de los servicios deepfake, haciéndolos más accesibles para el estafador promedio.​​ 

Ejemplos de software​​ 

Varios actores de la web oscura recomendaron usar DeepFaceLab o Avatarify, probablemente debido a que ambos son programas gratis de código abierto que no requieren conocimientos técnicos avanzados. Los patrones observados anteriormente indican que estas aplicaciones gratis, de código abierto y fáciles de usar son las más empleadas por los ciberdelincuentes para la creación de contenido engañoso.​​ 

DeepFaceLab es una de las aplicaciones de deepfake más populares y emplea redes neuronales artificiales para aprender características visuales y auditivas a partir de un video fuente auténtico, que luego se aplican a un video objetivo para reemplazar los rostros y voces. El código fuente del software está alojado en GitHub y fue subido por el usuario "iperov". Según iperov, más del 95% de todos los videos deepfake se crean usando DeepFaceLab.​​ 

Similar a DeepFaceLab, Avatarify es un software libre que crea deepfakes empleando redes neuronales artificiales para aprender y reemplazar rostros en videos. El código fuente del programa también está publicado en GitHub y fue subido por su autor "alievk."​​ 

Detección de deepfake​​ 

El reciente aumento de la tecnología deepfake más avanzada impulsó un aumento correspondiente en la demanda de tecnologías capaces de detectar deepfakes. Microsoft anunció el 1 de septiembre de 2020 el lanzamiento de Microsoft Video Authenticator, una herramienta que detecta "el límite de mezcla entre el deepfake y el sutil desvanecimiento o escala de grises" para proporcionar una calificación de confianza sobre si la imagen fue manipulada. Aunque tecnologías similares solo alcanzaron una tasa de precisión del 65,18% al intentar identificar deepfakes en un entorno simulado del mundo real, el alta demanda de esta tecnología en ámbitos ajenos a la prevención del ciberdelito, como la lucha contra la desinformación, indica que probablemente se desarrollarán herramientas de detección más precisas.​​ 

Conclusion​​ 

La aparición de aplicaciones deepfake gratis, poderosas y fáciles de usar dio lugar a un nuevo vector de ataque viable. Los ciberdelincuentes ya empezaron a aprovechar estas aplicaciones para eludir la verificación basada en imágenes y videos, que hasta hace poco demostró ser uno de los métodos más seguros de verificación de identidad. Aunque actualmente solo unos pocos actores ofrecen servicios deepfake y suelen cobrar elevados por ello, las altas tasas de adopción de verificación basada en imágenes y video entre las instituciones bancarias probablemente se correlacionarán con una mayor demanda criminal de servicios deepfakes. El aumento de la demanda criminal, combinado con un alto uso recreativo y los avances tecnológicos impulsados por el contenido para adultos de la industria del entretenimiento, podrían entonces dar lugar a más proveedores de servicios deepfake y, eventualmente, a una caída en el costo de estos servicios. Por lo tanto, a medida que más compañías recurren a la verificación de identidad virtual, los analistas de Gemini evalúan con un nivel moderado de confianza que los ciberdelincuentes probablemente empezarán a usar deepfakes a mayor escala para engañar y eludir las comprobaciones de reconocimiento facial.​​ 

Además, Gemini considera con confianza moderada que la identificación mediante transmisión de video en tiempo real, empleando marcas de tiempo y lugar y complementada con programas de inteligencia artificial para detectar signos de vitalidad humana, iluminación y falta de pixeles, es más eficaz para minimizar la tasa de éxito de los deepfakes que otras soluciones, incluida la verificación de identidades mediante selfies.​​ 

Declaración de Misión del Asesor Gemini​​ 

Gemini Advisory proporciona inteligencia accionable sobre fraude a las mayores organizaciones financieras con el fin de mitigar los riesgos cibernéticos cada vez mayores. Nuestro software propietario emplea soluciones asimétricas para ayudar a identificar y aislar activos objetivo de estafadores y delincuentes en línea en tiempo real.​​