Phishing con IA generativa: por qué es tan difícil de detectar

Lo que ha cambiado

Durante años, la formación en ciberseguridad enseñaba a buscar señales concretas: faltas de ortografía, traducciones torpes, un remitente con dominio raro, un diseño desalineado. Eran las huellas de campañas masivas, redactadas rápido y sin mucho cuidado, muchas veces por atacantes que no dominaban el idioma del objetivo.

La IA generativa ha eliminado buena parte de esas huellas. Un atacante puede generar un correo en un español impecable, adaptado al tono corporativo de un sector concreto, en segundos y sin conocer el idioma. Puede además generar decenas de variantes del mismo mensaje para evadir filtros automáticos, y personalizar el contenido usando información pública de la empresa o de la persona objetivo —su cargo, su jefe directo, un proyecto reciente mencionado en LinkedIn—.

Por qué esto importa especialmente a las pymes

El phishing dirigido y personalizado —conocido como spear phishing— antes requería tiempo de investigación manual, lo que lo reservaba a objetivos de alto valor. La IA generativa reduce drásticamente ese coste, y permite personalizar ataques a gran escala. El resultado es que empresas medianas, que antes recibían principalmente phishing genérico y fácil de detectar, empiezan a recibir campañas con el nivel de personalización que antes solo veían las grandes corporaciones.

Formatos que están creciendo

• Suplantación de proveedores habituales: correos que imitan con precisión a un proveedor real, incluyendo su estilo de comunicación, para solicitar un cambio de cuenta bancaria en una factura pendiente.
• Suplantación de dirección (CEO fraud): mensajes que imitan el tono y las expresiones habituales de un directivo, generados a partir de comunicaciones públicas suyas, pidiendo una transferencia urgente.
• Phishing conversacional: el atacante mantiene un intercambio de varios mensajes, generados en tiempo real, para ganarse la confianza antes de pedir la acción maliciosa.
• Voz e imagen sintéticas: aunque menos habitual todavía en la pyme, empiezan a documentarse casos de llamadas con voz clonada para reforzar la credibilidad de un fraude iniciado por correo.

Qué señales siguen funcionando

Aunque la calidad del texto ya no es fiable como indicador, otras señales se mantienen:

• Urgencia y presión temporal para saltarse el proceso habitual de verificación.
• Cambios de canal o de cuenta: una petición de pago que de repente llega por un canal distinto al habitual, o a una cuenta bancaria nueva.
• Peticiones que evitan la verificación: mensajes que piden explícitamente no llamar para confirmar, "por confidencialidad" o "para no molestar".
• El dominio real del remitente, no el nombre mostrado: sigue siendo el dato más difícil de falsificar por completo.

Controles que reducen el riesgo de verdad

Si las señales visuales dejan de ser fiables, la defensa tiene que apoyarse en procesos y en tecnología, no solo en que el empleado "se dé cuenta":

• Verificación fuera de banda para cualquier cambio de datos bancarios o pago urgente: una llamada al número de contacto ya conocido, nunca al que aparece en el correo sospechoso.
• Filtrado DNS y de correo que bloquee el acceso a la infraestructura de mando y control detrás del ataque, aunque el texto del mensaje sea convincente.
• Autenticación reforzada en accesos críticos, para que una credencial obtenida por phishing no sea suficiente por sí sola.
• Formación práctica y recurrente, no una charla anual: simulacros periódicos que reflejen las tácticas actuales, no las de hace cinco años.
• Un canal claro para reportar un correo sospechoso sin miedo a "hacer perder el tiempo" a nadie. Cuanto antes se reporte, antes se puede bloquear para el resto de la organización.