Imperva, empresa de Thales especializada en ciberseguridad, advierte que a medida que las herramientas de IA generativa y los modelos de lenguaje grandes (LLM) continúan proliferando y avanzando, los ciberdelincuentes utilizan cada vez más estas tecnologías para mejorar la escala y la sofisticación de sus ataques a las plataformas de comercio electrónico.
La temporada de compras navideñas, que comenzó en octubre y se extiende hasta fines de diciembre, es un momento crítico para los minoristas en línea. El aumento de la actividad no solo genera ingresos sustanciales, sino que también atrae a actores maliciosos que atacan a los minoristas en un momento en el que menos pueden permitirse tiempos de inactividad o incidentes de seguridad.
A medida que se acerca este período crucial, los minoristas deben prepararse para una variedad de amenazas impulsadas por la IA, incluidos bots, ataques de denegación de servicio distribuido (DDoS), violaciones de API y abuso de la lógica empresarial, avisa la compañía.
“Si bien las amenazas a la ciberseguridad son una preocupación durante todo el año, se vuelven aún más pronunciadas durante la temporada de compras navideñas, cuando los minoristas suelen experimentar ventas récord”, afirma Nanhi Singh, gerente general de seguridad de aplicaciones en Imperva. “Los cibercriminales reconocen esto y están utilizando herramientas de inteligencia artificial generativa y LLM para aprovechar el mayor volumen de transacciones digitales, promociones por tiempo limitado y las tarjetas de regalo y puntos de fidelidad almacenados en las cuentas de los clientes”.
En un análisis reciente de seis meses, entre abril y septiembre de este año, los datos de Imperva Threat Research revelan que, en promedio, los sitios minoristas experimentan colectivamente 569.884 ataques impulsados por IA cada día. Estos ataques se originan en herramientas de IA como ChatGPT, Claude y Gemini, junto con bots especializados que están diseñados para extraer datos de capacitación LLM de los sitios web. Un análisis de estos ataques muestra que los ciberdelincuentes utilizan principalmente las herramientas de IA para llevar a cabo los siguientes tipos de ataques.
El ataque impulsado por IA más común (30,7 %), el abuso de lógica empresarial, implica explotar las funcionalidades legítimas de una aplicación o API para llevar a cabo acciones maliciosas, como manipular precios, eludir la autenticación o abusar de los códigos de descuento. La IA permite a los atacantes automatizar estas vulnerabilidades a gran escala, lo que dificulta su detección.
Para protegerse contra estos ataques, los minoristas deben implementar una validación estricta de todas las entradas de los usuarios, emplear sistemas de detección de anomalías para identificar actividades inusuales y auditar periódicamente sus procesos comerciales para identificar funcionalidades que podrían ser objeto de abuso.
Por su parte, los ataques DDoS, que representan el 30,6% de todas las amenazas impulsadas por IA a los minoristas, tienen como objetivo saturar los recursos de un sitio web, lo que genera tiempos de inactividad que pueden derivar en pérdidas de ventas y daños a la reputación, especialmente durante los períodos pico de compras.
Los cibercriminales ahora están aprovechando la IA para coordinar grandes redes de bots de manera más eficiente, lo que mejora la eficacia de estos ataques. Los minoristas deben invertir en una solución de protección DDoS que utilice el aprendizaje automático para identificar y mitigar el tráfico malicioso en tiempo real, lo que garantiza que los clientes legítimos no se vean afectados.
Así mismo, los ataques de bots maliciosos representan el 20,8% de las amenazas impulsadas por IA dirigidas a los minoristas. Estas amenazas automatizadas se involucran en actividades disruptivas como la extracción de datos de precios, el robo de credenciales y el acaparamiento de inventario (scalping).
El infame bot Grinch, en particular, es conocido por su acaparamiento de inventario durante la temporada de compras navideñas, lo que hace que sea cada vez más difícil para los consumidores comprar artículos de alta demanda. Con los avances en IA, los operadores ahora pueden crear bots que imitan de manera convincente el comportamiento humano, lo que les permite evadir las medidas de seguridad tradicionales. Para combatir esta amenaza, los minoristas deben implementar soluciones de gestión de bots que utilicen análisis de comportamiento para diferenciar entre usuarios genuinos y bots sofisticados.
A medida que las plataformas de comercio electrónico exponen cada vez más las API para aplicaciones móviles e integraciones de terceros, las violaciones de API están en aumento y representan el 16,1 % de los ataques impulsados por IA a los minoristas. Los cibercriminales explotan las vulnerabilidades de las API para obtener acceso no autorizado a datos o funciones confidenciales.
Con la ayuda de la IA, los atacantes pueden identificar rápidamente los puntos débiles en las implementaciones de API, lo que hace que estas amenazas sean particularmente difíciles de mitigar. Para proteger sus API, los minoristas deben aplicar estrictos protocolos de autenticación y autorización, implementar límites de velocidad para evitar el abuso y realizar periódicamente evaluaciones de seguridad integrales y pruebas de penetración.
Estos ataques impulsados por IA plantean riesgos significativos no solo para los minoristas, sino también para los consumidores. Los cibercriminales están aprovechando la IA para llevar a cabo ataques de bots, abusar de la lógica empresarial e interrumpir los sistemas, poniendo en mayor riesgo la información personal confidencial (incluidos los datos de tarjetas de crédito, direcciones e información de cuentas).
Los ataques exitosos pueden provocar robo de identidad, pérdidas financieras y pérdida de confianza en las plataformas de comercio electrónico, y los cargos fraudulentos y el acceso no autorizado a las cuentas afectan negativamente las experiencias de compra de los consumidores.
«En años anteriores, hemos visto amenazas de seguridad como los bots Grinch y los ataques DDoS que causaron importantes interrupciones durante la temporada de compras navideñas, afectando tanto a los minoristas como a los consumidores. Ahora, con la amplia disponibilidad de herramientas de IA generativa y LLM, los minoristas se enfrentan a una nueva ola de ciberamenazas sofisticadas», agrega Singh.
«Sin defensas sólidas, los minoristas corren el riesgo de enfrentarse a una tormenta perfecta de ataques impulsados por IA que podrían interrumpir las operaciones, comprometer los datos de los clientes y empañar su reputación durante el momento más crítico del año. Para mitigar eficazmente estas amenazas, los minoristas deben adoptar una estrategia integral que no solo los defienda contra estos ataques, sino que también les permita responder rápidamente sin interrumpir la experiencia de compra».
