Adiós a la "estafa evidente", hola al "parece legítimo": el auge del phishing con IA

La mayoría de las personas reconoce el phishing tradicional porque llevan años conviviendo con él. Sus bandejas de entrada y móviles personales están llenos de mensajes de texto falsos sobre entregas, correos electrónicos que dicen «su cuenta bancaria ha sido bloqueada» y, cómo no mencionarlo, la «súplica urgente de un diplomático» que pide ayuda para sacar una cantidad absurda de dinero de su país. Estos intentos de estafa tan descarados, y a menudo ridículos, ya no resultan impactantes, sorprendentes ni dignos de mención. Son ruido de fondo.

Sin embargo, lo que ha cambiado es la velocidad y la calidad del engaño. La ingeniería social que antes parecía descuidada y fácil de descartar ahora se produce en masa gracias a la IA generativa. El resultado es una redacción más cuidada, menos señales de alerta evidentes y mensajes que suenan más a compañeros de trabajo y proveedores reales. El Informe de Defensa Digital 2025 de Microsoft señala que el phishing basado en IA puede ser significativamente más eficaz que las campañas tradicionales, y el Informe de Investigaciones de Filtraciones de Datos 2025 de Verizon indica que el texto generado por IA en correos maliciosos se ha duplicado en los últimos dos años.

Para los profesionales de TI, este cambio era previsible. Muchos ya lo habían anticipado, entienden los patrones y saben cómo protegerse. El problema mayor es que muchos empleados y clientes sin conocimientos técnicos siguen anclados a un modelo mental de phishing más antiguo: correos electrónicos y mensajes de texto con aspecto sospechoso y fáciles de detectar. Los señuelos actuales generados con IA no siempre parecen dudosos, y cada vez apuntan más a las áreas donde el daño es mayor: los sistemas de identidad corporativa, las comunicaciones internas y los flujos de trabajo financieros.

Phishing con IA: por qué ahora es un problema laboral grave, no solo personal

El phishing tradicional dirigido a cuentas personales suele buscar el robo de credenciales, el fraude con tarjetas de pago o la usurpación de cuentas. Ahora, el phishing con IA en el entorno laboral añade dos factores clave:

• La identidad corporativa es una llave maestra. Un solo buzón de correo comprometido o una sesión de inicio de sesión único puede desencadenar phishing interno, robo de datos, fraude con proveedores y persistencia dentro de la red. Los datos de respuesta a incidentes de Microsoft revelan que el 28 % de las filtraciones se iniciaron mediante phishing o ingeniería social. Por eso, decir que «solo es un clic» no es una forma inocua de plantearlo. A menudo es la primera ficha de dominó.
• Los procesos empresariales mueven dinero. Los cambios de facturas, las redirecciones de nómina, las estafas con tarjetas regalo y la incorporación de proveedores están diseñados para ser rápidos, no para ser analizados con detalle. Los datos del IC3 del FBI confirman la magnitud del problema: en 2024, el IC3 recibió 21.442 denuncias de compromiso de correo electrónico empresarial, con pérdidas ajustadas superiores a 2.700 millones de dólares estadounidenses.

Ejemplos de phishing con IA

A continuación, se presentan algunos ejemplos que los profesionales de TI pueden compartir con compañeros y clientes sin conocimientos técnicos para ayudarles a comprender cómo es el phishing moderno con IA en el entorno laboral. Tenga en cuenta que no se trata de una lista exhaustiva, sino que destaca algunas de las trampas más habituales:

• La trampa de la «urgencia ejecutiva»: un mensaje que parece proceder del director general ordena a alguien del equipo financiero que envíe una transferencia urgente antes de una reunión del consejo (o de otro asunto de gran importancia). A menudo, el atacante intentará trasladar rápidamente la conversación a un número personal alegando que «está de viaje».
• El señuelo del documento de RR. HH.: un mensaje afirma tratar sobre la reclamación de un candidato, una actualización de políticas o documentación de despido, y dirige al destinatario a una página de inicio de sesión falsa de Microsoft 365.
• El cambio de factura del proveedor: se secuestra un hilo de correo real con un proveedor o se suplanta de forma convincente, y el atacante desliza unos «datos bancarios actualizados» (a menudo con un motivo plausible para el cambio).
• El pretexto de restablecimiento de la MFA o del servicio de asistencia: un atacante que se hace pasar por un empleado dice que ha perdido el teléfono, pide a TI que restablezca la MFA y presiona para obtener una excepción rápida con el fin de «no frenar el trabajo».
• El código QR para «ver el documento»: un correo electrónico o PDF incluye un código QR que asegura que el destinatario debe escanearlo para ver un documento seguro, lo que conduce al robo de credenciales o de tókenes.
• Suplantación de dominios a gran escala: se registran rápidamente dominios muy similares a los reales y se utilizan para suplantar marcas, proveedores y servicios internos en campañas de gran alcance.

El mensaje clave aquí es que «¡Este mensaje se ve claramente falso!» ya no es una salvaguarda fiable. Los atacantes no necesitan una redacción impecable ni un conocimiento profundo de los flujos de trabajo de sus víctimas. La IA cubre esas carencias.

En esencia, el phishing con IA tiene éxito cuando la velocidad gana a la verificación. Las defensas más eficaces combinan dos elementos: hábitos sencillos de los usuarios que interrumpen el impulso de «actuar ya», y controles organizativos que limitan los daños si alguien comete un error. Empecemos por la primera parte, ya que los usuarios siempre han sido, son y seguirán siendo el eslabón más débil de la cadena de seguridad de TI.

Formación de los usuarios: 4 comprobaciones esenciales

Como se ha mencionado, el phishing con IA hace que la formación centrada en «detectar la estafa evidente» sea mucho menos eficaz, porque muchos mensajes maliciosos ahora parecen cuidados, plausibles y familiares. En su lugar, resulta práctico y eficaz formar a los usuarios en un conjunto de comprobaciones repetibles que pueden aplicar en segundos. Cuatro de ellas son especialmente esenciales: la comprobación del proceso, la comprobación de la identidad, la comprobación de enlaces y archivos adjuntos, y la comprobación de información y verificación.

1. Comprobación del proceso

Antes de evaluar de quién procede un mensaje, los usuarios deben fijarse primero en qué les está pidiendo que hagan. El phishing con IA a menudo tiene éxito porque explota los procesos empresariales, no porque parezca claramente sospechoso. La comprobación del proceso es una forma rápida de detectar solicitudes que no encajan con los flujos de trabajo habituales, especialmente cuando el mensaje es urgente o intenta saltarse los controles estándar.

Los usuarios deben preguntarse: «¿Esta solicitud encaja con un flujo de trabajo normal?». En concreto, deben estar atentos a lo siguiente:

• Urgencia combinada con secretismo («no se lo diga a nadie», «lo necesito antes de la reunión»)
• Solicitudes inusuales de pago o de cambio de cuenta (datos bancarios, cambios en las remesas de proveedores, actualizaciones de nómina)
• Solicitudes de reintroducción de credenciales (páginas de inicio de sesión inesperadas, enlaces de «sesión caducada», códigos QR de «documento seguro»)
• Cambio de canal en mitad del proceso (de correo electrónico a SMS, de Teams a WhatsApp personal, «utilice este nuevo número»)
• Solicitudes para saltarse las aprobaciones («solo por esta vez», «lo aprobaré después»)

2. Comprobación de la identidad

Antes de responder a un mensaje sospechoso, los usuarios deben verificar al remitente a través de un canal que se sepa seguro. Esto puede implicar llamar al remitente utilizando un número guardado en el directorio, enviar un nuevo correo electrónico a una dirección de confianza (¡sin responder al original!) o confirmarlo en persona cuando sea práctico y eficaz.

Estas comprobaciones desplazan la toma de decisiones de «¿esto parece falso?» a «¿esto tiene sentido?» y «¿confío en la identidad de quien lo envía?».

3. Comprobación de enlaces y archivos adjuntos

Incluso cuando un mensaje parece legítimo, los usuarios deben tratar los enlaces, los archivos adjuntos y los códigos QR como elementos de alto riesgo, especialmente cuando son inesperados, urgentes o están vinculados a inicios de sesión. Algunas recomendaciones en este ámbito son:

• No utilice los enlaces del mensaje para iniciar sesión. Abra el servicio de la forma habitual (marcador, URL escrita, aplicación oficial) y navegue desde ahí.
• Tenga cuidado con los archivos adjuntos de «ver documento» y los códigos QR, en particular si activan una página de inicio de sesión inesperada o una solicitud de credenciales.
• Si un enlace o un archivo genera presión para actuar rápido, deténgase y realice primero la comprobación del proceso y de la identidad.

4. Comprobación de información y verificación

El phishing con IA resulta más convincente cuanto más contexto tienen los atacantes. Los usuarios deben asumir que hasta los pequeños excesos de información pueden convertirse en un arma. Las reglas en este ámbito incluyen:

• Evite compartir detalles operativos confidenciales en canales amplios (como actualizaciones bancarias de proveedores, procesos de pago, nombres de las personas que aprueban, capturas de pantalla internas, planes de viaje o detalles de proyectos).
• No comparta nunca códigos de un solo uso, solicitudes de MFA ni datos de «verificación» con nadie. Los usuarios deben saber que TI nunca los solicitará.
• Verifique a través de un canal seguro y conocido si alguien solicita datos confidenciales para «confirmar la identidad» o «desbloquear una tarea urgente».

En conjunto, estas cuatro comprobaciones no exigen que el personal sin conocimientos técnicos se convierta en experto en seguridad. Más bien, crean hábitos coherentes que pueden frustrar los intentos de phishing con IA y evitar la usurpación de identidad y las filtraciones.

Cómo empoderar a las organizaciones: 4 áreas de control críticas

Si bien los buenos hábitos de los usuarios son esenciales en esta lucha, no pueden asumir toda la carga, especialmente cuando la IA hace que el phishing sea más convincente y escalable. Por ello, la siguiente capa es organizativa: controles que reducen la frecuencia con la que los ataques tienen éxito, limitan lo que un atacante puede hacer con credenciales o sesiones robadas, e incorporan la verificación en los flujos de trabajo que controlan el acceso y el movimiento de dinero. A continuación, se presentan algunas recomendaciones aplicables a todo tipo de organizaciones, incluidas las pequeñas y medianas empresas con equipos y presupuestos de TI reducidos:

1. Convierta la autenticación resistente al phishing en la opción predeterminada, no en la excepción

Dé por hecho que las contraseñas serán objeto de phishing, se reutilizarán o serán robadas. Por lo tanto, la pregunta clave no es «¿podemos detener todos los intentos de phishing?», sino «¿qué ocurre cuando se filtra una contraseña?». Entre los controles recomendados se incluyen:

• MFA resistente al phishing siempre que sea posible (FIDO2, claves de acceso o llaves de seguridad), y MFA robusta en el resto de los casos.
• Aplicación obligatoria de la MFA para roles privilegiados y acciones de alto riesgo (portales de administración, cambios de pago, creación de reglas de buzón, gestión de proveedores).
• Protección contra la fatiga de MFA (coincidencia de números, vinculación de dispositivos y controles que reducen la aceptación de notificaciones push masivas).

Una autenticación sólida no elimina la ingeniería social, pero convierte muchos intentos de robo de credenciales en callejones sin salida.

2. Reduzca el beneficio de una sesión o un tóken robado

El phishing con IA apunta cada vez más a los tókenes de sesión y al consentimiento de OAuth, y no solo a las contraseñas. Priorice los controles que limitan la persistencia y el movimiento lateral. Esto incluye:

• Acceso condicional y políticas basadas en el riesgo para viajes imposibles, dispositivos desconocidos e inicios de sesión anómalos.
• Controles estrictos del buzón de correo (reenvío automático, reglas de bandeja de entrada sospechosas, delegados creados recientemente).
• Gobernanza de OAuth y de aplicaciones de terceros (limitar el consentimiento del usuario, exigir la aprobación del administrador para permisos de riesgo, revisar las nuevas concesiones de aplicaciones).
• Privilegio mínimo por defecto (mantener los derechos de administrador permanentes al mínimo, limitados en el tiempo y auditables).

Estos controles suelen determinar si un incidente queda contenido o se convierte en una plataforma de phishing interno y en un episodio de exfiltración de datos.

3. Proteja los flujos de trabajo que más suelen atacar los ciberdelincuentes

Muchos incidentes con pérdidas elevadas se producen porque se explota un proceso empresarial legítimo. Refuerce los flujos de trabajo de alto riesgo integrando la verificación mediante las siguientes medidas:

• Confirmación fuera de banda para los cambios bancarios y de nómina, utilizando datos de contacto de confianza ya registrados.
• Aprobación de dos personas para pagos urgentes y para la configuración de nuevos proveedores.
• Comunicación verificada con proveedores (dominios aprobados, listas de contactos, controles de cambio de remesas).
• Reglas claras de «esto nunca se debe hacer» (no compartir nunca códigos de MFA, no aprobar nunca solicitudes de MFA inesperadas, no instalar nunca herramientas de acceso remoto a partir de solicitudes no solicitadas).

Cuando el propio proceso exige la verificación, las organizaciones dejan de depender del criterio individual bajo presión.

4. Haga que notificar sea rápido, seguro y gratificante

Cuanto más rápido se notifique un posible intento de phishing, menor será el daño. Para lograrlo, las organizaciones deben habilitar:

• Notificación con un solo clic en el correo electrónico y en las herramientas de colaboración.
• Ciclos de retroalimentación rápidos («Esto era malicioso, buen trabajo» o «Esto era seguro, y este es el motivo»).
• Una cultura sin estigmas que recompense todas las notificaciones, incluidos los falsos positivos.

Perspectiva y consejos de nuestro director de seguridad, Patrick Pilotte

Lo que me parece especialmente relevante de este artículo es el cambio de paradigma que propone: ya no deberíamos basarnos en «lo que parece sospechoso», sino en «lo que no sigue un proceso normal».

Yo añadiría un matiz: la IA no ha creado el phishing sofisticado, sino que lo ha hecho accesible a gran escala. Lo que antes estaba reservado a los ataques dirigidos (BEC, fraude del director general) ahora puede reproducirse de forma masiva con muy poco esfuerzo. En mi opinión, el verdadero problema no es solo la calidad de los mensajes, sino su industrialización.

También añadiría que los ataques ya no se limitan al correo electrónico. Cada vez vemos más escenarios híbridos que combinan correos electrónicos, plataformas de mensajería interna (Teams, Slack) e incluso phishing de voz con clonación vocal, lo que aumenta drásticamente la credibilidad.

Por último, en lugar de considerar al usuario como el eslabón más débil, sería más exacto decir que nuestros procesos empresariales suelen estar optimizados para la velocidad y no para la verificación, y es precisamente ahí donde los atacantes aprovechan la brecha.

Para terminar

El phishing con IA funciona cuando las personas van con prisa y los sistemas son permisivos. La solución no consiste en esperar una vigilancia perfecta por parte de los usuarios. Se trata más bien de construir una sólida red de seguridad basada en hábitos de verificación fáciles de aplicar bajo presión, y reforzarla con controles organizativos robustos que limiten el impacto de los errores.