La amenaza de los deepfakes a la verificación automática que permite secuestrar cuentas de Instagram

En los últimos días se documentaron secuestros de cuentas de Instagram de alto valor que evidencian una peligrosa combinación: generativos de imágenes y vídeo capaces de crear falsificaciones convincentes, procedimientos automatizados de verificación de identidad impulsados por IA y un proceso de atención al usuario que en muchos casos no contempla la intervención humana. Los atacantes aprovecharon el flujo de “¿olvidaste tu contraseña?” para forzar una verificación facial y, con una foto pública del objetivo, generaron un breve clip animado que la herramienta automática de Meta aceptó como prueba legítima, lo que permitió cambiar el correo asociado y, a continuación, restablecer la contraseña y tomar el control de la cuenta.

El fallo no fue un exploit técnico clásico sino una combinación de ingeniería social y límites en la detección de deepfakes por parte de sistemas automatizados. Usuarios afectados señalaron que incluso con 2FA activado —en muchos casos por SMS o aplicaciones de autenticación— la verificación por vídeo válido por la IA anuló otras barreras. Además, hay reportes de que atacantes usaron VPNs para simular ubicaciones habituales y así evitar flujos de verificación geográfica más estrictos. Que los equipos legítimos de soporte no estén disponibles o que la recuperación dependa exclusivamente de chatbots creó bucles interminables para quienes intentaron recuperar sus activos.

Este incidente tiene varias implicaciones inmediatas. Para los titulares de cuentas, especialmente aquellas con nombres raros o de alto valor comercial, la confianza en que las protecciones son suficientes ha sido erosionada. Para las plataformas que delegan en modelos automáticos decisiones críticas de seguridad, queda en evidencia la necesidad de controles complementarios y de trazabilidad en las decisiones algorítmicas. A nivel regulatorio y reputacional, las empresas que ofrecen verificación biométrica automática enfrentan el riesgo de investigaciones y sanciones si sus procesos no incluyen salvaguardas que prevengan fraudes basados en deepfakes.

Desde el punto de vista técnico, el vector explotado es claro: la prueba de vida (liveness detection) y la capacidad de distinguir vídeo real de sintetizado no están a la altura de la amenaza actual generada por herramientas de generación de imágenes y vídeo. Sistemas de verificación facial que se entrenan en datos limitados o que aplican umbrales rígidos sin contrapartidas de autenticación multifactor pueden ser engañados con contenidos generados a partir de fotografías existentes en la propia cuenta de la víctima.

¿Qué pueden hacer los usuarios ahora para minimizar riesgos? En primer lugar, revisar y endurecer la seguridad del correo electrónico asociado a la cuenta, porque ese correo es la puerta de entrada para restablecer contraseñas. Activar métodos de 2FA basados en claves de seguridad físicas (FIDO2/WebAuthn) cuando la plataforma lo permita reduce considerablemente el riesgo de toma de control, ya que las claves requieren presencia física del usuario. También es recomendable usar gestores de contraseñas y contraseñas únicas, y mantener una copia offline de pruebas de propiedad (capturas antiguas, facturas de publicidad, etc.) que puedan presentarse a soporte si existe atención humana. Si su cuenta tiene valor comercial, publicarla en otros canales y documentar la propiedad puede ayudar a presionar por una revisión humana.

Para las plataformas que habilitan verificación facial automatizada, las recomendaciones son urgentes: incorporar mecanismos de desafío en tiempo real (por ejemplo, pedir acciones específicas en vídeo que no puedan predecirse con antelación), combinar señales múltiples —huella del dispositivo, comportamiento de inicio de sesión, historial de cambios de correo— y garantizar rutas de escalación humana para casos de cuentas de alto valor o cuando las señales de riesgo superen ciertos umbrales. También es imprescindible auditar y conservar registros de las decisiones de la IA para permitir revisiones forenses y remediación.

El debate sobre responsabilidad y diseño seguro de sistemas de verificación automática ya cuenta con marcos y buenas prácticas. NIST, por ejemplo, publica guías sobre identidad digital y pruebas de vida que deben considerarse al diseñar procesos robustos de verificación: https://pages.nist.gov/800-63-3/. La cobertura técnica y de incidentes de seguridad que documenta casos similares ayuda a entender el alcance del problema y a preparar respuestas organizadas: un ejemplo de seguimiento periodístico se puede consultar en BleepingComputer, que ha informado sobre estos secuestros y las limitaciones actuales de los sistemas de soporte: https://www.bleepingcomputer.com/news/security/instagram-accounts-hijacked-after-meta-s-ai-accepted-deepfake-videos/.

En última instancia, estos incidentes ponen de relieve que la automatización sin un diseño que contemple fallos adversarios puede aumentar el riesgo en lugar de mitigarlo. Usuarios, empresas y reguladores deben exigir transparencia sobre cómo y cuándo se usan verificaciones biométricas automáticas, y las plataformas deben proporcionar vías de soporte humano efectivas para recuperar cuentas cuando la IA falla. Mientras esas mejoras no sean la norma, los propietarios de cuentas —y en especial quienes gestionan perfiles de alto valor— deberían asumir que las verificaciones facial-automatizadas pueden ser vulneradas y planificar mitigaciones en consecuencia.