La inteligencia artificial ya no solo plantea nuevos retos relacionados con el tratamiento de datos personales. También está modificando el escenario de la ciberseguridad y las brechas de datos. La Agencia Española de Protección de Datos (AEPD) ha recibido la primera notificación de una brecha de datos personales en España en la que el ataque habría sido ejecutado mediante un agente de inteligencia artificial.
El incidente, comunicado por la organización afectada, habría permitido al agente buscar vulnerabilidades, acceder al sistema mediante credenciales válidas, localizar una vulnerabilidad en una aplicación, modificar datos personales y acceder a facturas. La AEPD señala que la información disponible todavía debe ser analizada y que el uso de un determinado modelo de IA no significa que este haya sido comprometido ni que su proveedor haya sufrido un ataque.
¿Qué diferencia a un agente de IA de otros ataques?
La utilización de inteligencia artificial en actividades maliciosas no es completamente nueva. Los modelos generativos ya pueden emplearse para facilitar campañas de phishing, traducir mensajes fraudulentos, analizar código o ayudar a identificar vulnerabilidades.
La diferencia está en el nivel de autonomía que pueden alcanzar los agentes de IA. Estos sistemas pueden recibir un objetivo, planificar diferentes tareas, utilizar herramientas, ejecutar determinadas acciones, interpretar los resultados obtenidos y modificar su comportamiento en función de lo que encuentran.
En el caso comunicado por la AEPD, el agente habría encadenado distintas fases del ataque de manera autónoma después de conseguir acceder al sistema. Esta capacidad puede reducir considerablemente el tiempo disponible para detectar y contener una intrusión.
Por tanto, el problema no consiste necesariamente en que la inteligencia artificial cree nuevas técnicas de ataque, sino en que puede incrementar la velocidad, escala y capacidad de adaptación de métodos que ya existían.
Una nueva dimensión para el análisis de riesgos
La primera notificación de este tipo supone una señal relevante para las organizaciones que gestionan datos personales. La AEPD considera necesario incorporar expresamente los ataques asistidos o ejecutados mediante IA a los análisis de riesgos de los tratamientos.
No resulta suficiente con contemplar de forma genérica amenazas como el malware, el phishing o los accesos no autorizados. La automatización mediante agentes puede modificar la probabilidad de que determinados incidentes ocurran, así como la rapidez con la que pueden desarrollarse y el alcance que pueden llegar a tener.
Esto afecta especialmente a las organizaciones que disponen de numerosos sistemas conectados, aplicaciones accesibles desde Internet, servicios en la nube, APIs o cuentas con permisos elevados.
Además, las orientaciones de la propia AEPD sobre IA agéntica señalan que las organizaciones deben gestionar los nuevos riesgos que puedan generarse por el uso de estos sistemas y analizar sus posibles impactos.
Refuerza la ciberseguridad de tu empresa
Los nuevos escenarios de amenaza requieren medidas de seguridad adaptadas a la realidad tecnológica de cada organización. En FORLOPD analizamos los riesgos de tu empresa y te ayudamos a reforzar tus sistemas, procedimientos y medidas de protección.
Las credenciales adquieren todavía más importancia
Uno de los aspectos que cobra especial relevancia en este escenario es la protección de las identidades digitales, contraseñas, claves API y tokens de acceso.
Un agente que consiga utilizar una cuenta con permisos excesivos podría acceder a diferentes servicios y ejecutar acciones a una velocidad difícil de igualar mediante una intervención manual. Por ello, limitar los privilegios y controlar adecuadamente las cuentas deja de ser únicamente una buena práctica de ciberseguridad para convertirse en un elemento esencial dentro de la protección de los datos personales.
Las empresas deberían revisar qué usuarios y sistemas tienen acceso a cada recurso, qué permisos poseen, durante cuánto tiempo los mantienen y qué mecanismos existen para detectar comportamientos anómalos.
La aplicación del principio de mínimo privilegio, la autenticación multifactor, la gestión adecuada de credenciales y la monitorización de accesos pueden contribuir a reducir el impacto de una eventual intrusión.
¿Qué deben revisar las empresas?
La aparición de este tipo de incidentes aconseja revisar los procedimientos de seguridad y protección de datos desde una perspectiva conjunta. No se trata únicamente de incorporar la palabra «IA» a una matriz de riesgos, sino de analizar cómo la automatización puede modificar escenarios que ya estaban contemplados.
Entre otros aspectos, conviene revisar los análisis de riesgos, los controles de acceso, la gestión de identidades y credenciales, la segmentación de sistemas, los registros de actividad y los mecanismos de detección y respuesta ante incidentes.
También resulta necesario comprobar si los protocolos internos de gestión de brechas permiten reaccionar con suficiente rapidez ante un ataque capaz de ejecutar diferentes acciones de manera automatizada.
La supervisión humana continúa siendo necesaria, pero debe complementarse con mecanismos de detección, contención y respuesta capaces de actuar a la velocidad que exige este nuevo escenario.
Protección de datos y ciberseguridad deben avanzar juntas
Una brecha provocada mediante un agente de IA no deja de ser, desde la perspectiva del RGPD, un incidente de seguridad que puede afectar a los derechos y libertades de las personas. Lo que cambia es el contexto tecnológico y la capacidad que puede tener el atacante para actuar de forma automatizada.
Por este motivo, la protección de datos y la ciberseguridad deben abordarse conjuntamente. Las medidas técnicas y organizativas previstas para proteger los tratamientos deben tener en cuenta la evolución de las amenazas y las características de las tecnologías utilizadas.
La primera notificación recibida por la AEPD no permite afirmar que exista ya una tendencia estadística, pero sí evidencia que los ataques apoyados en inteligencia artificial han comenzado a materializarse en incidentes relacionados con tratamientos reales de datos personales.
Para las empresas, el mensaje es claro: la llegada de los agentes de IA obliga a revisar los escenarios de riesgo, reforzar el control de los accesos y actualizar los mecanismos de respuesta ante brechas de seguridad.
¿Está preparada tu empresa frente a las nuevas amenazas?
Una estrategia de ciberseguridad debe anticiparse a los riesgos y no limitarse a actuar cuando ya se ha producido un incidente. En FORLOPD te ayudamos a identificar vulnerabilidades y a establecer medidas de seguridad adecuadas para proteger la información y los sistemas de tu organización.
Solicita información sobre nuestros servicios de ciberseguridad
Fuente: AEPD
