Imperva, una compañía de Thales, advierte de que, a medida que las herramientas de IA generativa y los Large Language Models (LLM) siguen evolucionando y avanzando, los ciberdelincuentes utilizan cada vez más estas tecnologías para mejorar la escala y la sofisticación de sus ataques a las plataformas de comercio electrónico.

Con las ventas comenzando ya en octubre y extendiéndose hasta finales de diciembre, la temporada de compras navideñas representa un momento crítico para los minoristas en línea. El aumento de la actividad no sólo genera importantes ingresos, sino que también atrae a actores maliciosos que atacan a los minoristas en el momento en que menos pueden permitirse un tiempo de inactividad o un incidente de ciberseguridad. A medida que se acerca este período crucial, los minoristas deben prepararse para una serie de amenazas impulsadas por la IA, incluidos los bots, los ataques de denegación de servicio distribuidos (DDoS), las violaciones de API y el abuso de la lógica empresarial.

Si bien las amenazas de ciberseguridad son una preocupación durante todo el año, se vuelven aún más pronunciadas durante la temporada de compras navideñas, cuando los minoristas a menudo experimentan ventas récord, dijo Ricardo Cazares, vicepresidente regional de América Latina y el Caribe en Imperva, una empresa de Thales. Los ciberdelincuentes reconocen esto y están utilizando herramientas de IA generativa y LLM para capitalizar el mayor volumen de transacciones digitales, las promociones por tiempo limitado, las tarjetas regalo y puntos de fidelidad almacenados en las cuentas de los clientes.

En un análisis reciente de seis meses (abril 2024 – septiembre 2024), los datos de Imperva Threat Research revelan que, en promedio, los sitios web de los minoristas experimentan colectivamente 569,884 ataques impulsados por IA cada día. Estos ataques se originan en herramientas de IA como ChatGPT, Claude y Gemini, junto con bots especializados que están diseñados para detectar sitios web en busca de datos de entrenamiento LLM. Un análisis de estos ataques muestra que los ciberdelincuentes utilizan principalmente las herramientas de IA para llevar a cabo los siguientes tipos ataques:

• Abuso de la lógica empresarial: el abuso de la lógica empresarial es el ataque impulsado por IA más común (30,7%) e implica explotar las funcionalidades legítimas de una aplicación o API para llevar a cabo acciones maliciosas, como manipular precios, eludir la autenticación o abusar de códigos de descuento. La IA permite a los atacantes automatizar estos ataques a gran escala, lo que los hace más difíciles de detectar. Para protegerse, los minoristas deben implementar una validación estricta de todas las entradas de usuario, emplear sistemas de detección de anomalías para identificar actividades inusuales y auditar regularmente sus procesos de negocio para identificar funcionalidades que podrían ser objeto de abuso.
• Ataques DDoS: los ataques DDoS que representan el 30,6% de todas las amenazas impulsadas por la IA para los minoristas y tienen como objetivo saturar los recursos de un sitio web, lo que resulta en un tiempo de inactividad que puede conducir a la pérdida de ventas y daños a la reputación, especialmente durante los períodos pico de compras. Los ciberdelincuentes están aprovechando la IA para coordinar grandes redes de bots de forma más eficiente, aumentando la eficacia de estos ataques. Los minoristas deben invertir en una solución de protección DDoS que utilice el aprendizaje automático para identificar y mitigar el tráfico malicioso en tiempo real, garantizando que los clientes legítimos no se vean afectados.
• Ataques de bots maliciosos: los ataques de bots maliciosos representan el 20,8% de las amenazas basadas en IA dirigidas a los minoristas. Estas amenazas automatizadas se dedican a actividades perturbadoras como la extracción de datos de precios, el robo de credenciales y el acaparamiento de inventario (scalping).
  • El infame bot Grinch, en particular, es famoso por su acaparamiento de inventario durante la temporada de compras navideñas, lo que dificulta cada vez más a los consumidores la compra de artículos de gran demanda. Con los avances en IA, los operadores de bots pueden crear bots que imitan de forma convincente el comportamiento humano, lo que les permite eludir las medidas de seguridad tradicionales. Para combatir esta amenaza, los minoristas deben implantar soluciones de gestión de bots que utilicen análisis de comportamiento para diferenciar entre usuarios auténticos y bots sofisticados.
• Violaciones de API: a medida que las plataformas de comercio electrónico exponen cada vez más API para aplicaciones móviles e integraciones de terceros, las violaciones de API están en aumento, lo que representa el 16,1% de los ataques impulsados por IA contra los minoristas. Los ciberdelincuentes aprovechan las vulnerabilidades para obtener acceso no autorizado a datos o funcionalidades confidenciales. Con la ayuda de la IA, los atacantes pueden identificar rápidamente los puntos débiles en las implementaciones de API, lo que hace que estas amenazas sean particularmente difíciles de mitigar. Para salvaguardar sus API, los minoristas deben aplicar protocolos estrictos de autenticación y autorización, implementar la limitación de velocidad para evitar el abuso, y llevar a cabo regularmente evaluaciones de seguridad integrales y pruebas de penetración.

Estos ataques impulsados por IA plantean riesgos significativos no solo para los minoristas, sino también para los consumidores. Los ciberdelincuentes están aprovechando la IA para llevar a cabo ataques de bots, abusar de la lógica empresarial e interrumpir los sistemas, poniendo en mayor riesgo la información personal confidencial, incluidos los datos de tarjetas de crédito, direcciones e información de cuentas. Los ataques exitosos pueden conducir al robo de identidad, pérdidas financieras y una pérdida de confianza en las plataformas de comercio electrónico, con cargos fraudulentos y acceso no autorizado a cuentas que afectan negativamente las experiencias de compra de los consumidores.

En años anteriores, hemos visto cómo las amenazas a la seguridad, como los bots Grinch y los ataques DDoS, causaban grandes trastornos durante la temporada de compras navideñas, afectando tanto a los minoristas como a los consumidores. Ahora, con la disponibilidad generalizada de herramientas de IA generativa y LLM, los minoristas se enfrentan a una nueva ola de ciberamenazas sofisticadas, añadió Ricardo Cazares. “Sin defensas sólidas, los minoristas corren el riesgo de enfrentarse a una tormenta perfecta de ataques impulsados por IA que podrían interrumpir las operaciones, comprometer los datos de los clientes y empañar su reputación durante la época más crítica del año. Para mitigar eficazmente estas amenazas, los minoristas deben adoptar una estrategia integral que no solo los defienda contra estos ataques, sino que también les permita responder rápidamente sin interrumpir la experiencia de compra”, concluyó.