Durante años, identificar un correo de phishing era relativamente sencillo. Errores de ortografía, un logo mal recortado, un remitente sospechoso o un tono de urgencia exagerado eran señales que cualquier persona con algo de cuidado podía detectar.
Esa época ya terminó.
Con la llegada de la inteligencia artificial generativa, los ciberdelincuentes ahora producen mensajes que suenan exactamente como los que enviaría tu jefe, tu banco o un proveedor real. Sin errores, con el tono correcto y, en muchos casos, haciendo referencia a proyectos o situaciones que sí existen dentro de tu empresa. El resultado es un tipo de ataque mucho más difícil de distinguir de la comunicación legítima.
Qué tan grande es el problema
El crecimiento de este tipo de fraude no es una percepción exagerada. Distintos estudios de la industria de ciberseguridad coinciden en que una parte muy importante del phishing que circula actualmente ya fue generado, total o parcialmente, con ayuda de modelos de lenguaje. Esto ha disparado tanto el volumen como la calidad de los ataques, permitiendo campañas que antes solo estaban al alcance de grupos criminales muy sofisticados y que hoy puede replicar casi cualquier persona con acceso a las herramientas correctas.
Uno de los cambios más preocupantes es el auge del fraude por voz y video generados con IA, conocido como deepfake. Ya existen casos documentados de directivos que autorizaron transferencias millonarias después de recibir una videollamada que parecía, en todo sentido, provenir de su propio director general. La imagen coincidía, la voz coincidía, y la urgencia del mensaje hizo el resto.
Las nuevas señales que debes buscar
Si los errores de redacción ya no son un indicador confiable, ¿en qué debe fijarse tu equipo?
La urgencia sigue siendo la bandera roja más confiable
Aunque la redacción sea perfecta, los ataques de phishing casi siempre buscan que la víctima actúe rápido y sin pensar demasiado. Una transferencia urgente, un cambio de contraseña inmediato, una factura que debe pagarse hoy mismo. Cuando un mensaje presiona por velocidad, es momento de detenerse, no de acelerar.
Verificar por un segundo canal, siempre
Ante cualquier solicitud sensible, ya sea una transferencia, un cambio de datos bancarios o un acceso a un sistema, la regla debe ser simple: confirmar por otro medio. Una llamada directa al número conocido de la persona, no al que aparece en el correo o mensaje sospechoso.
Desconfiar incluso de lo que se ve y se escucha
Con la proliferación de deepfakes, ya no basta con reconocer una voz o una cara en una videollamada para confiar plenamente en la instrucción recibida. Si la solicitud es inusual o de alto impacto económico, vale la pena aplicar el mismo protocolo de verificación que con cualquier otro canal.
Poner atención al contexto, no solo al contenido
Un mensaje que menciona detalles reales de tu empresa no es automáticamente confiable. Los atacantes ahora investigan a fondo a sus víctimas antes de escribirles. El contexto correcto ya no es garantía de legitimidad.
Lo que las empresas deben hacer distinto
La tecnología de defensa avanza, pero coincide algo entre los especialistas: el factor humano sigue siendo decisivo en la mayoría de los ataques de phishing exitosos. Esto significa que ninguna herramienta, por sofisticada que sea, sustituye a un equipo bien entrenado.
Algunas acciones concretas que toda empresa puede implementar:
Actualizar los programas de concientización para incluir ejemplos reales de phishing generado con IA y de fraude por deepfake, no solo los ejemplos clásicos de hace algunos años.
Establecer protocolos claros de verificación para cualquier solicitud financiera o de acceso sensible, sin excepciones aunque la solicitud parezca venir de un directivo.
Adoptar herramientas de detección que también utilicen inteligencia artificial, ya que los filtros tradicionales basados en reglas fijas cada vez tienen más dificultad para identificar estos mensajes.
Simular ataques de phishing de forma periódica para medir qué tan preparado está realmente el equipo, y no solo qué tan bien conoce la teoría.
La defensa también necesita evolucionar
Si los atacantes ya usan inteligencia artificial para hacer sus campañas más efectivas, las empresas no pueden quedarse con estrategias de hace cinco años. La combinación de tecnología actualizada, protocolos claros y, sobre todo, un equipo capacitado para dudar en el momento correcto, sigue siendo la defensa más efectiva contra este tipo de amenazas.
En OCD Tech México ayudamos a las empresas a fortalecer esa primera línea de defensa, con programas de concientización actualizados a las amenazas actuales y evaluaciones que identifican qué tan expuesto está tu equipo frente a un ataque de phishing real.
La pregunta no es si tu empresa recibirá un intento de phishing generado con IA. La pregunta es si tu equipo sabrá reconocerlo a tiempo.
Leave a Reply
Your email is safe with us.