En varias conferencias vengo escuchando una idea sobre la inteligencia artificial que, además de que se repite cada vez más, me parece muy atinada: la IA es un “multiplicador”. Para bien y para mal: puede ayudarnos a defender mejor nuestros sistemas, pero también nos va a generar más dolores de cabeza por la adopción por parte de los adversarios.

Esto último se puede verificar de una manera muy transparente en el viejo y conocido mundo del fraude, porque lo que está haciendo la IA es acelerar un problema que  ya existía. Y, en gran parte por este motivo, la prevención del fraude y la ciberseguridad, que históricamente se gestionaron como disciplinas separadas, tienen que ser parte de una misma estrategia.

Los fraudes más conocidos en el mundo bancario pasan por el phishing, la suplantación de identidad, el robo de credenciales, el fraude en medios de pago, las estafas de inversión y el compromiso de correos corporativos. Me animaría a agregar: no sólo en el mundo bancario. El phishing, por ejemplo, es una de las principales puertas de entrada (a través de ingeniería social) a ataques a entidades de alto perfil, desde grandes corporaciones y operadores de infraestructura hasta organismos públicos y gobiernos.

Cuando retomo la idea de que la inteligencia artificial es un multiplicador me refiero a que la IA aumenta las posibilidades de que haya más ataques: en la actualidad es cada vez más fácil crear campañas de phishing con IA, traducir textos para engañar usuarios o infectar con infostealers (malware que roba datos personales). La IA no inventó el fraude digital, sino que redujo costos y puso el piso más bajo a la barrera de entrada. Usuarios con nulo nivel técnico pueden ser ciberdelincuentes o parecer diseñadores gráficos expertos que imitan sitios legítimos con tan solo pedírselo a un sistema de IA generativa tan común como ChatGPT o Claude, que muchos ya usamos todos los días.

Algunos datos para entender la dimensión del problema del fraude. Las pérdidas por ciberdelito reportadas al FBI alcanzaron un récord de US$ 20.870 millones en 2025. El Internet Crime Complaint Center recibió más de un millón de denuncias durante 2025, un 17% más que en 2024. Además, el fraude habilitado por tecnología representó el 45% de las denuncias, pero concentró el 85% de las pérdidas económicas. Y el FBI recibió 22.364 denuncias vinculadas con el uso de inteligencia artificial, con pérdidas reportadas por más de US$ 893 millones (y vale aclarar, el propio FBI reconoce que esta cifra puede estar subestimada).

Con este suelo común que nos dan los números, hay una idea para pensar y es que “la madre de todas las batallas” en este terreno tiene que ver con cómo se piensa al problema: la digitalización absoluta de todos los aspectos de nuestras vidas terminó de acercar al fraude a la ciberseguridad.

Una buena parte del fraude se apoya, en la actualidad, en datos filtrados, credenciales comprometidas, suplantación de identidad, ingeniería social, dispositivos intervenidos o cuentas legítimas tomadas por delincuentes. Basta repasar las noticias del último quinquenio para dimensionar la cantidad de titulares sobre “data leaks” (filtraciones).

Es cierto: ciberseguridad y fraude no son lo mismo. Pero sí comparten problemáticas: una maniobra puede comenzar con una filtración, seguir en la Dark Web o en grupos de Telegram, continuar con un engaño para obtener credenciales y terminar con una transferencia desde un canal legítimo hacia una red de cuentas “mula” o de lavado de dinero.

Ahora bien, así como existe una conexión entre ciberseguridad y fraude, también hay una relación muy fuerte con el negocio: el fraude es también un problema de negocio. Cuanto más laxos son los controles, mayor es el fraude. Pero, si se vuelven más estrictos (por ejemplo, al forzar un segundo factor o pedirle al usuario que vuelva a iniciar sesión permanentemente), pueden afectar el negocio: generar rechazos de clientes legítimos, una mala experiencia, pérdida de ingresos y una desventaja competitiva frente a servicios más fluidos.

Hay, además, un dato que no suele tenerse tan presente y que es muy difícil de estimar: el costo real del fraude. La pérdida directa es solo una parte. En este ámbito suele decirse que hay que multiplicarla por 4,5 debido a la cantidad de personas que deben trabajar sobre el problema, la pérdida de clientes, el deterioro del valor de la empresa, el costo de oportunidad y los posibles problemas regulatorios derivados del fraude.

En algunos modelos de trabajo de bancos de Estados Unidos ya se trabaja con un “Fusion center”, unificando estas áreas (o teniendo un data lake único donde los cruces de información se aprovechen al máximo). En lugar de tener las incomunicaciones habituales, al unificar también se borran ciertas barreras burocráticas que ayudan a trabajar mejor.

Por supuesto, se necesita un “reskilling” para plantear este escenario de trabajo. En gran parte, por eso desarrollé una diplomatura en prevención de fraude, orientada a profesionales con experiencia en modalidades tradicionales que necesitan incorporar herramientas para comprender el fraude digital.

Vale decir, esta convergencia amplía la influencia del CISO, pero también concentra responsabilidades cada vez más diversas: ciberseguridad, continuidad, respuesta a incidentes, fraude, identidad, protección del cliente, regulación y pérdidas económicas. La silla ya tiene tantas responsabilidades que, a futuro, probablemente tenga que sumar una contigua, o volver a dividirla, y trabajar con dos puestos.

A fin de cuentas, para que los altos directivos puedan empezar a pensar en el fraude como un problema de ciberseguridad, la propuesta tiene que venir de los que día a día se encargan de mantener segura a la empresa. Son ellos los que tienen que lidiar con técnicas viejas y conocidas, multiplicadas en cantidad hoy por la IA.

Y son los que mejor pueden comunicar, internamente, la manera en la que todo este problema unificado de fraude y ciberseguridad impacta mucho más allá de los números: reputación, clientela e imagen pública enfrentan hoy la amenaza de las estafas de siempre, potenciadas por una herramienta que puede convertir en un criminal o estafador a cualquier usuario en cuestión de minutos.

Pedro Adamovic CISO en Galicia y Director del Centro de Ciber y Datos en Universidad Austral