El phishing con inteligencia artificial utiliza herramientas de IA para crear, personalizar o automatizar comunicaciones destinadas a engañar a una persona.
El objetivo sigue siendo el mismo que en otras campañas de phishing: conseguir credenciales, información sensible, acceso a cuentas o provocar una determinada acción. Lo que cambia es la capacidad para generar contenidos más personalizados y convincentes.
La inteligencia artificial también puede utilizarse para crear contenidos sintéticos, automatizar conversaciones o adaptar mensajes a diferentes destinatarios.
En esta guía explicamos qué es el phishing con inteligencia artificial, cómo está evolucionando, qué señales pueden ayudarte a detectarlo y qué medidas pueden aplicar usuarios y empresas.
Para conocer el phishing tradicional y sus principales variantes, puedes consultar nuestra guía sobre phishing.
¿Qué es el phishing con inteligencia artificial?
El phishing con IA consiste en utilizar herramientas de inteligencia artificial como apoyo para crear o mejorar campañas de ingeniería social.
La IA puede ayudar a los atacantes a:
- redactar mensajes más naturales;
- adaptar el contenido al idioma del destinatario;
- personalizar comunicaciones;
- generar diferentes versiones de un mismo mensaje;
- mantener conversaciones automatizadas;
- producir determinados contenidos sintéticos.
Esto no significa que todos los ataques modernos utilicen inteligencia artificial.
La IA es una herramienta que puede utilizarse para aumentar la velocidad, escala o personalización de determinadas campañas.
¿En qué se diferencia del phishing tradicional?
El phishing tradicional puede contener señales evidentes como errores de redacción, mensajes genéricos o traducciones deficientes.
La inteligencia artificial puede reducir algunas de esas señales.
Por ejemplo, un mensaje puede estar correctamente redactado y utilizar información relacionada con el destinatario.
Sin embargo, la calidad del texto no demuestra que una comunicación sea legítima.
Por eso, la detección debe basarse también en el contexto, el remitente, el dominio, la solicitud y los procedimientos de verificación.
¿Cómo puede utilizarse la IA en una campaña de phishing?
El uso de inteligencia artificial puede aparecer en diferentes fases.
Personalización de mensajes
La IA puede ayudar a adaptar una comunicación a una persona, empresa o departamento concreto.
Generación de textos
Puede producir mensajes en distintos idiomas y estilos con mayor rapidez.
Automatización de conversaciones
Algunas herramientas pueden facilitar respuestas automáticas para mantener una interacción durante más tiempo.
Contenido sintético
La IA generativa también permite producir imágenes, audio o vídeo que pueden utilizarse en intentos de suplantación.
El uso de estas tecnologías no elimina la necesidad de los atacantes de conseguir una reacción de la víctima.
¿Qué es el spear phishing con IA?
El spear phishing está dirigido a una persona u organización concreta.
La inteligencia artificial puede facilitar la personalización de este tipo de campañas.
Por ejemplo, un mensaje puede intentar hacerse pasar por:
- un proveedor;
- un responsable de la empresa;
- un compañero;
- un cliente;
- un departamento interno.
Cuanto más relacionado esté el mensaje con la actividad real de la víctima, más importante resulta verificar la solicitud por un canal independiente.
Phishing con IA y Business Email Compromise
El Business Email Compromise (BEC) es especialmente relevante en empresas.
Puede utilizarse para intentar provocar:
- transferencias;
- cambios de cuentas bancarias;
- envío de documentación;
- acceso a información;
- acciones aparentemente solicitadas por un directivo.
La inteligencia artificial puede facilitar la creación de mensajes que imiten mejor determinado tono o estilo.
Por eso, ninguna transferencia importante debería aprobarse únicamente porque el mensaje parezca proceder de una persona conocida.
Clonación de voz y deepfakes
La inteligencia artificial también permite generar contenido sintético de audio, vídeo e imágenes.
Esto puede aumentar el riesgo de suplantación.
Por ejemplo, una persona podría recibir una llamada aparentemente procedente de un conocido o de un responsable de la empresa.
La apariencia o la voz ya no deberían considerarse una prueba suficiente de identidad.
En operaciones sensibles, conviene utilizar un segundo canal de verificación previamente conocido.
¿Cómo reconocer un phishing generado con IA?
No existe una señal única.
Algunas comprobaciones siguen siendo especialmente útiles.
Comprueba el dominio
Revisa el dominio real del remitente y del sitio al que dirige el mensaje.
Analiza la solicitud
Pregúntate si la acción solicitada encaja con el procedimiento habitual.
Desconfía de la urgencia
Una presión inesperada para actuar rápidamente merece una comprobación adicional.
Revisa los cambios de canal
Un proveedor o responsable que normalmente utiliza un canal y de repente solicita una operación importante mediante otro puede requerir verificación.
Comprueba los enlaces
No confíes únicamente en el texto visible del enlace.
No compartas códigos
Nunca compartas códigos de autenticación porque una persona te lo solicite mediante un mensaje inesperado.
Verifica operaciones sensibles
Pagos, cambios de cuentas y accesos importantes deberían verificarse mediante otro canal.
¿Puede un texto perfectamente escrito ser phishing?
Sí.
Los errores ortográficos ya no son una señal suficiente para determinar que un mensaje sea fraudulento.
Un mensaje puede estar bien redactado y seguir intentando engañarte.
Por eso, es más importante comprobar:
quién lo envía + qué solicita + dónde dirige + por qué lo solicita + si el procedimiento es habitual
¿Qué tipos de phishing pueden utilizar IA?
La inteligencia artificial puede utilizarse en distintas variantes.
Email phishing
Mensajes de correo personalizados y redactados automáticamente.
Smishing
Mensajes de texto adaptados a diferentes destinatarios.
Vishing
Llamadas en las que se utiliza contenido o voz sintética.
Quishing
Campañas que combinan mensajes con códigos QR y páginas fraudulentas.
Phishing en redes sociales
Perfiles y conversaciones destinados a generar confianza.
Fraude multicanal
Combinación de correo, teléfono, SMS y redes sociales dentro de una misma campaña.
¿Cómo protegerse del phishing con IA?
La protección debe combinar controles técnicos y procedimientos.
Utiliza autenticación multifactor
MFA puede reducir el riesgo asociado al robo de contraseñas.
Cuando sea posible, pueden utilizarse mecanismos de autenticación resistentes al phishing.
Utiliza contraseñas diferentes
No reutilices una misma contraseña en servicios distintos.
Verifica solicitudes importantes
Una petición de pago o modificación de información sensible debería comprobarse por otro canal.
Mantén los sistemas actualizados
Las actualizaciones ayudan a corregir determinadas vulnerabilidades de seguridad.
Forma a los usuarios
La formación debe incluir técnicas modernas de suplantación y contenido generado artificialmente.
Protege el correo
Los sistemas de seguridad del correo pueden analizar diferentes señales para detectar mensajes sospechosos.
¿Cómo proteger una empresa frente al phishing con IA?
Una organización debería trabajar en varias capas.
Protección de cuentas
Aplica MFA y controla las cuentas con privilegios elevados.
Seguridad del correo
Utiliza mecanismos de autenticación y soluciones de protección adecuadas al entorno.
Procedimientos financieros
Establece una verificación independiente para transferencias y cambios de cuentas bancarias.
Mínimo privilegio
Limita el acceso de cada usuario a los recursos necesarios.
Formación
Realiza formación periódica y adaptada a los riesgos de cada departamento.
Simulaciones
Las simulaciones controladas pueden ayudar a comprobar cómo responde la organización ante campañas de ingeniería social.
Para este tipo de evaluación puedes consultar nuestra auditoría de ingeniería social.
¿Puede la inteligencia artificial ayudar a detectar phishing?
Sí.
La IA también puede utilizarse con fines defensivos.
Por ejemplo, puede ayudar a:
- analizar grandes cantidades de correos;
- detectar patrones anómalos;
- clasificar mensajes sospechosos;
- analizar dominios y URLs;
- identificar comportamientos fuera de lo habitual;
- priorizar alertas.
Pero tampoco debe considerarse infalible.
La supervisión humana y los procedimientos de verificación siguen siendo importantes.
¿Qué hacer si has interactuado con un phishing con IA?
Si has hecho clic o has introducido información, actúa rápidamente.
Si has introducido una contraseña
Cámbiala inmediatamente y comprueba dónde más utilizabas esa misma credencial.
Si has facilitado un código
Revisa la cuenta y sus sesiones activas y activa medidas adicionales de protección.
Si has proporcionado datos bancarios
Contacta con tu entidad financiera y explica lo ocurrido.
Si has descargado un archivo
Evita realizar actividades sensibles desde el dispositivo hasta comprobar qué ha sucedido.
Si es una cuenta empresarial
Informa al responsable de TI o seguridad para que puedan investigar el incidente.
¿Qué hacer si una empresa sufre un ataque de phishing?
La organización debería determinar:
- qué cuenta estuvo involucrada;
- qué dispositivo se utilizó;
- qué información pudo quedar expuesta;
- qué accesos podrían haberse producido;
- qué medidas deben aplicarse;
- si existen obligaciones de notificación.
También conviene conservar información relevante del incidente para facilitar la investigación.
¿Las simulaciones de phishing son útiles?
Sí, cuando están correctamente diseñadas y autorizadas.
Permiten comprobar:
- cómo reaccionan los usuarios;
- qué departamentos presentan mayor exposición;
- qué porcentaje reporta mensajes sospechosos;
- si funcionan los procedimientos internos;
- qué formación necesita refuerzo.
El objetivo debe ser mejorar los controles y la concienciación, no castigar a los empleados.
Phishing con IA y hacking ético
El phishing puede formar parte de determinadas evaluaciones autorizadas de seguridad.
Una empresa puede utilizar simulaciones para comprobar cómo responden sus usuarios ante diferentes escenarios.
Estas evaluaciones deben contar con:
- autorización;
- alcance definido;
- condiciones de prueba;
- objetivos concretos;
- tratamiento adecuado de la información.
Cuando se necesita evaluar otros componentes técnicos, puede combinarse con hacking ético.
¿El phishing con IA es más peligroso?
Puede aumentar la capacidad de determinadas campañas para producir mensajes personalizados y contenido convincente.
Pero la peligrosidad de una campaña no depende exclusivamente de utilizar IA.
También influyen:
- el objetivo;
- la información disponible;
- los controles de seguridad;
- los permisos de la cuenta afectada;
- la capacidad de respuesta;
- la preparación de los usuarios.
Por eso, la mejor defensa es evitar que una única comunicación sea suficiente para superar todos los controles de la organización.
Preguntas frecuentes sobre phishing con inteligencia artificial
¿Qué es el phishing con inteligencia artificial?
Es el uso de herramientas de IA para crear, personalizar o automatizar contenidos utilizados en campañas de phishing.
¿Cómo puedo detectar un phishing creado con IA?
Comprueba el remitente, el dominio, el contexto, la solicitud y los procedimientos habituales. Un texto bien redactado no demuestra que sea legítimo.
¿La IA hace imposible detectar el phishing?
No. Aunque puede eliminar algunas señales tradicionales, todavía existen mecanismos de verificación basados en el contexto, la identidad y los procedimientos.
¿Qué es el phishing con voz sintética?
Es una forma de suplantación en la que puede utilizarse tecnología de generación o modificación de voz para aparentar ser otra persona.
¿Qué es un deepfake?
Es contenido audiovisual generado o manipulado mediante técnicas de inteligencia artificial para representar de forma artificial a una persona o situación.
¿Cómo proteger una empresa?
Utiliza MFA, protege el correo, establece verificación independiente para operaciones sensibles, limita privilegios y forma periódicamente a los usuarios.
¿Las simulaciones de phishing son recomendables?
Pueden ser útiles para evaluar la concienciación y los procedimientos cuando se realizan de forma autorizada y controlada.
¿Qué hago si caigo en un phishing?
Protege inmediatamente las cuentas afectadas, cambia las credenciales, revisa accesos y comunica el incidente cuando corresponda.
Conclusión
El phishing con inteligencia artificial añade nuevas posibilidades a las campañas de ingeniería social, especialmente en personalización, automatización y generación de contenido.
Sin embargo, la defensa no consiste únicamente en intentar reconocer si un texto fue escrito por una persona o por una IA.
Lo importante es verificar la identidad, comprobar el contexto, proteger las cuentas y utilizar procedimientos independientes para las operaciones sensibles.
En empresas, la combinación de MFA, protección del correo, mínimo privilegio, formación y simulaciones controladas puede ayudar a reducir el impacto de estas campañas.