¿Cómo deben distinguirse y demostrarse una identidad falsa, una autoridad suplantada, un deepfake, una cuenta comprometida y una aprobación humana fabricada?

En lenguaje claro

Imagine a alguien que lleva una acreditación de empresa. Puede ser auténtica, robada o proceder de una función que ya no desempeña. La acreditación de la puerta no autoriza automáticamente a abrir la caja fuerte. Compruebe a la persona, después la acreditación y, por último, el permiso para esa acción.

Por qué importa

Una aprobación humana suplantada puede provocar transferencias de dinero, divulgación de datos, publicaciones, cambios de acceso o decisiones defectuosas. Decir después «la cuenta estaba abierta» no muestra quién aprobó la acción ni con qué autoridad.

No confundir

• Una afirmación de identidad declara quién es una persona o sistema; la autenticación pone a prueba esa afirmación.
• Una persona autenticada no está autorizada para todas las operaciones.
• Una sesión válida puede estar comprometida; la confianza de sesión se supervisa por separado de la identidad.
• Un deepfake es contenido sintético que parece o suena como una persona; no es autoridad para una operación.
• La aprobación general y la vinculada a un destino, importe, alcance y momento concretos no son iguales.

Qué hacer

1. Para operaciones de alto riesgo, verifique identidad, sesión, función vigente y autoridad de acción mediante controles separados.
2. Confirme por un segundo canal registrado una solicitud de voz, imagen o mensaje recibida por un único canal.
3. Cuando sea posible, utilice autenticación fuerte y credenciales de corta duración limitadas a la operación.
4. Muestre con claridad en la pantalla de aprobación el destino, la acción, el alcance de datos, el importe y la consecuencia irreversible.
5. Revoque rápidamente la autoridad tras un cambio de función, salida o sesión sospechosa.
6. Vincule identidad, momento, método, sesión, dispositivo y resumen de la operación con un historial protegido en su integridad.
7. Ante una posible suplantación, detenga la operación, conserve las pruebas e inicie el proceso de incidentes.

Cómo auditarlo

• ¿Qué prueba independiente verificó la identidad que inició la acción?
• ¿Se comprobaron señales de riesgo de compromiso de sesión?
• ¿Seguían vigentes la función y la autoridad de la persona?
• ¿Incluía la aprobación la acción concreta y su efecto?
• ¿Se trataron por sí solos un rostro, una voz, un correo o una sesión abierta como prueba concluyente?
• ¿Se utilizaron separación de funciones o verificación por segundo canal para el alto riesgo?
• ¿Se conservaron pruebas suficientes para revocación, impugnación y revisión del incidente?