Capítulo 100: Deepfake y falsificación de video — Cuando los ojos mienten

Durante miles de años, la humanidad se ha apoyado en el sentido de la vista como el ancla definitiva de la verdad. "Ver para creer", dice el viejo proverbio, reflejando nuestra absoluta confianza en que si vimos algo con nuestros propios ojos, necesariamente ocurrió. En los tribunales, el testimonio ocular siempre ha sido considerado la "reina de las pruebas", y en la vida cotidiana, la capacidad de reconocer rostros, captar expresiones o distinguir el tono de voz en un video ha sido la última barrera contra el fraude. Pero en la era de la inteligencia artificial generativa, esta barrera no solo se ha agrietado: se ha hecho añicos. Estamos entrando en una era en la que nuestros ojos se convierten en el arma que se apunta contra nosotros.

A lo largo de los años, y durante la trayectoria profesional de un abogado que acompaña a víctimas de estafas digitales, se puede observar cómo la tecnología evoluciona a un ritmo vertiginoso. Si en el pasado los estafadores tenían que conformarse con correos electrónicos mal redactados o llamadas telefónicas con acento sospechoso, hoy son capaces de crear una realidad alternativa. El Deepfake (falsificación profunda) no es solo una "mejora" de la estafa; es un salto cuántico. Es el lugar donde los algoritmos de aprendizaje automático mapean rostros, movimientos labiales y matices humanos para crear un video de una persona —a menudo alguien conocido por su entorno o un empleador en el trabajo— que dice y hace cosas que nunca sucedieron. Este capítulo tiene como objetivo ayudar a prepararse para el momento en que la realidad pueda distorsionarse ante sus ojos.

El siguiente escenario es un ejemplo educativo basado en patrones de fraude comunes. Los personajes y eventos son solo para fines ilustrativos.

Lunes por la mañana, 08:30 horas. Ronen, director financiero de una empresa, se sentó frente a la computadora con su primera taza de café del día. Su calendario estaba lleno, pero un mensaje de "urgente" que apareció en su bandeja de Teams le hizo saltar. Era el director ejecutivo de la empresa, Gideon, que se encontraba esa semana en una conferencia en el extranjero. "Ronen, ¿estás disponible para una videollamada corta? Tenemos que cerrar la operación de compra de la startup ahora, de lo contrario los perderemos", decía el mensaje.

Ronen abrió la cámara y el rostro conocido de Gideon apareció en la pantalla. Gideon parecía un poco cansado —lógico considerando las diferencias horarias— y la iluminación en su habitación de hotel era un poco tenue. "¿Me escuchas, Ronen?", preguntó Gideon con su característica voz áspera. "Tenemos una ventana de oportunidad de dos horas. Los abogados exigen un anticipo de 450,000 dólares en una cuenta de custodia para mantener la oferta. Te envío ahora los detalles de la cuenta por correo. Por favor, confirma la transferencia de inmediato. Debo volver a la reunión".

Ronen notó que Gideon parecía presionado. Observó sus característicos movimientos de manos, la forma en que se rascaba la frente cuando estaba preocupado. "Gideon, esta es una cantidad inusual para transferir sin una firma física doble", se atrevió a decir Ronen. Gideon suspiró en la pantalla, su expresión se volvió un poco impaciente. "Ronen, te veo, tú me ves. Te lo apruebo aquí y ahora. El consejo de administración ya fue informado en principio. Si perdemos esto, la responsabilidad es tuya. Envío los detalles". La llamada se cortó. Segundos después llegó el correo con los detalles del banco.

La sensación en el estómago de Ronen era incómoda, pero vio al director ejecutivo. Lo escuchó. Ronen realizó la transferencia. Solo por la noche, cuando envió un mensaje personal de WhatsApp a Gideon preguntando "¿Cómo avanzó la reunión después de la transferencia?", llegó la respuesta escalofriante: "¿Qué transferencia? No hemos hablado desde la mañana, estoy de gira en otra fábrica".

En este escenario, la víctima no cometió un error humano común, sino que cayó en una videollamada Deepfake, una de las estafas más sofisticadas existentes hoy en día. En este método, los estafadores recopilan materiales visuales y sonoros de la persona (entrevistas, podcasts, redes sociales) y los introducen en un modelo de inteligencia artificial que aprende a imitar su rostro y voz en tiempo real.

La tecnología detrás de la máscara: ¿Cómo funciona y por qué creemos?

Para defendernos, debemos entender primero el mecanismo. La tecnología Deepfake se basa en redes generativas antagónicas (GANs). Se trata de dos algoritmos de inteligencia artificial que operan uno contra el otro: un algoritmo (el "falsificador") crea una imagen o video, mientras que el segundo algoritmo (el "crítico") intenta detectar si se trata de una falsificación. El proceso se repite muchas veces, hasta que el producto se vuelve difícil de distinguir de la realidad.

El problema central es la psicología humana. El cerebro está programado para confiar en el reconocimiento facial. Cuando vemos rasgos familiares de una persona cercana o autoritaria, los sistemas de defensa naturales pueden relajarse. Los estafadores explotan esto añadiendo un elemento de urgencia, lo que crea una situación en la que el enfoque pasa a resolver el problema en lugar de evaluar la fiabilidad de la fuente.

Además, la calidad del Deepfake ha mejorado considerablemente. En el pasado se podían notar "saltos" en la imagen o falta de sincronización, pero hoy la tecnología permite crear una figura digital que reacciona en tiempo real. En videollamadas donde la calidad de la conexión no es perfecta, es fácil disfrazar defectos técnicos como problemas de comunicación normales.

El ámbito legal: Análisis de responsabilidad en escenarios de engaño

Cuando se transfieren fondos tras un fraude de Deepfake, surge la cuestión legal de sobre quién recae la responsabilidad: ¿sobre el pagador que realizó la operación, o sobre la institución financiera que se supone debe proteger los fondos?

En Israel, el marco normativo central es la Ley de Servicios de Pago, 2019. La ley regula la relación entre un cliente y un proveedor de servicios de pago. En caso de "uso indebido" de un medio de pago, la ley tiende a proteger al cliente, pero las estafas de Deepfake plantean un desafío único, ya que la acción es realizada generalmente por el cliente mismo bajo una falsa apariencia.

En estos casos, las instituciones financieras pueden argumentar que el cliente actuó con "negligencia grave". Por otro lado, se puede analizar el argumento legal de que el estándar de cuidado debe cambiar de acuerdo con el desarrollo tecnológico. Si se utilizan herramientas que están más allá de la capacidad de percepción promedio, surge la pregunta de si se puede atribuir negligencia grave a la víctima.

Los tribunales podrían evaluar el "balance de culpa": ¿La institución financiera detectó actividad inusual? ¿Deberían los sistemas automáticos haber detenido una transferencia de una suma inusual a un destino de riesgo sin verificación humana? Existe la posibilidad de examinar la responsabilidad de la institución si se demuestra que no se tomaron medidas de precaución razonables para prevenir el fraude en una era en la que los riesgos cibernéticos son conocidos por el sistema.

Más allá de la Ley de Servicios de Pago, se pueden examinar causas del ámbito de la responsabilidad civil y los contratos, como la negligencia de los proveedores de servicios o el nivel de protección organizacional. No obstante, recuperar fondos en tales casos es un proceso complejo que depende de las circunstancias y del momento en que se detectó la estafa.

Violación de la privacidad y suplantación de identidad

Otro aspecto legal se refiere a la Ley de Protección de la Privacidad, 1981 y a la Ley de Prohibición de Difamación. La creación de un video Deepfake que atribuye a una persona cosas que no se dijeron puede considerarse una violación de la privacidad y del buen nombre. Se pueden explorar opciones legales como la competencia desleal o la vulneración de la autonomía, y a veces actuar contra las partes que permitieron la filtración de la información utilizada para crear la falsificación.

Un abismo de desconfianza: Posibles consecuencias

El gran peligro del Deepfake es el daño a la confianza. En una situación donde es difícil confiar en la vista, el tejido humano y empresarial podría verse afectado. Los gerentes pueden sospechar de las instrucciones, y los tribunales deberán enfrentar nuevos desafíos probatorios sobre la autenticidad de las pruebas visuales.

En el ámbito organizacional, se puede considerar la transición a un modelo de "verificación basada en protocolos". Al igual que se utilizan firmas digitales, podría ser necesario verificar la identidad mediante otros medios que no dependan únicamente de la apariencia externa.

¿Cómo identificar lo invisible? Señales de advertencia y formas de defensa

A pesar del perfeccionamiento de la tecnología, a veces se pueden notar signos sospechosos si se mantiene el estado de alerta.

Posibles señales técnicas en una videollamada:

• Parpadeo poco natural: Algunos modelos tienen dificultades para imitar un ritmo de parpadeo humano natural.
• Zona de la boca y dientes: Falta de correspondencia entre el movimiento de los labios y el sonido, o borrosidad alrededor de la boca al hablar rápido.
• Sombras y ángulo del rostro: Falsificación que puede parecer "borrosa" durante movimientos bruscos de la cabeza o falta de correspondencia de las sombras con la fuente de luz.
• Calidad de audio frente a video: Combinación de voz de alta calidad con video que parece sintético o de baja calidad.

Táctica de defensa: Código de verificación humana

Un método sencillo de afrontamiento es establecer una "palabra clave" o una pregunta personal con familiares o colegas, cuya respuesta no esté disponible en la red. En caso de sospecha, se puede hacer una pregunta personal que solo la otra parte debería conocer su respuesta de manera inmediata.

Pasos recomendados en caso de sospecha o daño

En estos casos, la velocidad de respuesta es crítica:

1. Detención de la comunicación: En caso de sospecha, se recomienda cortar la llamada inmediatamente.
2. Verificación por canal separado: Ponerse en contacto con la persona por otro medio de comunicación (llamada telefónica común, mensaje por otro canal).
3. Reporte a la institución financiera: En caso de que se haya realizado una transferencia, se debe contactar inmediatamente con el centro de atención del banco para evaluar la posibilidad de cancelar o detener la transferencia.
4. Documentación: Guardar capturas de pantalla, detalles de correo y cualquier otro detalle técnico relacionado con el evento.
5. Reporte a las autoridades: Presentar una denuncia ante la policía (unidad cibernética) para fines de registro oficial.
6. Evaluación legal: Se recomienda analizar el caso con expertos en la materia para entender las opciones de actuación frente a las instituciones involucradas.

Aspecto legal: Resumen de opciones

La situación legal se encuentra en procesos de adaptación a la nueva realidad. Existen varios principios legales que pueden examinarse:

1. Deber de cuidado de la institución financiera

Se puede evaluar si la institución financiera cumplió con su deber de confianza y cuidado, y si se aplicaron mecanismos de verificación adecuados antes de ejecutar operaciones inusuales.

2. Evaluación del concepto de negligencia

Se puede argumentar que ceder ante una manipulación tecnológica avanzada no constituye "negligencia grave", ya que se trata de una apariencia diseñada para engañar incluso a una persona razonable y cautelosa.

3. Cobertura de seguro

En el caso de organizaciones, se puede evaluar si las pólizas de seguro cibernético existentes cubren eventos de ingeniería social basada en tecnología.

En resumen, en una era donde los ojos pueden engañar, hay que confiar en procesos de verificación, pensamiento crítico y protecciones legales. La realidad nos exige aprender a verificar lo que vemos y actuar con las herramientas profesionales a nuestra disposición para proteger nuestros derechos.

Señales de advertencia (Lista de verificación):

• Solicitud urgente de transferencia de fondos en una videollamada no programada.
• Distorsiones visuales o "glitches" en la zona del rostro y los ojos.
• Entonación vocal que parece demasiado uniforme o robótica.
• Dificultad de la otra parte para responder a preguntas personales espontáneas.
• Direcciones de correo electrónico con cambios mínimos destinados a engañar.

¿Qué se puede hacer de inmediato?

• Cortar la llamada y verificar con la persona en un canal de comunicación separado.
• Informar a los departamentos de seguridad o finanzas de la organización.
• Solicitud urgente al banco para evaluar opciones de cancelación de transferencias.
• Evaluación de las opciones legales sobre la responsabilidad de las partes involucradas.

Aspecto legal central:

La Ley de Servicios de Pago otorga protección al cliente, y la posibilidad de recuperar fondos depende en gran medida de las circunstancias del caso y de si el mismo se clasifica como negligencia. Se recomienda evaluar cada caso individualmente frente a las disposiciones legales vigentes.