Phishing con IA y estafas deepfake: cómo los atacantes usan la IA contra las empresas
Los atacantes usan IA para escribir en un español impecable y clonar voces de directivos. Cómo reconocer el phishing con IA y las estafas deepfake para proteger su empresa.
El phishing con IA consiste en mensajes fraudulentos creados por atacantes mediante inteligencia artificial, sin errores gramaticales, en un español perfecto y personalizados para cada individuo. A esto se suman las estafas deepfake: una voz clonada del director por teléfono o incluso una videollamada falsa que solicita una transferencia urgente.
Resumen — Puntos clave
- La vieja señal de "mala gramática = estafa" ya no es válida.
- Para clonar una voz, al atacante le bastan unos segundos de grabación, por ejemplo, de un vídeo en LinkedIn.
- La más peligrosa es la estafa de transferencia (BEC), donde el atacante suplanta al director o a un proveedor.
- Protección: filtros técnicos, SPF/DKIM/DMARC, MFA y procedimientos de verificación por un segundo canal.
Cómo cambia la IA los ataques
| Antes | Con IA |
|---|---|
| Mensajes genéricos con errores gramaticales | Mensajes personales en español impecable |
| Investigación manual de la víctima | Recopilación automática de datos de LinkedIn y sitios web |
| Dirección de correo electrónico falsa | Voz o vídeo falso del director |
| Unos pocos objetivos al día | Miles de mensajes personalizados por hora |
Escenario: el falso director
Una contable recibe un correo del "director" que está de viaje, seguido de una breve llamada con su voz: hay que transferir hoy mismo 18.000 EUR a una cuenta nueva de un proveedor. Todo suena convincente. Estos ataques ya han causado daños millonarios en Europa y las pymes son objetivos cada vez más frecuentes.
Cómo protegerse
- Procedimiento de confirmación: cualquier cambio de cuenta bancaria o transferencia urgente se confirma por un segundo canal conocido (llamada de vuelta a un número verificado).
- Palabra de control acordada para solicitudes urgentes de la dirección.
- Protección de correo: configuración correcta de SPF, DKIM y DMARC y filtros avanzados en Microsoft Defender for Office 365.
- MFA en todas las cuentas, para que una contraseña robada no sea suficiente.
- Formación regular con simulaciones de phishing adaptadas a la era de la IA.
Preguntas frecuentes
- ¿Pueden los filtros detectar el phishing con IA?
- En parte. Los filtros modernos analizan al remitente, los enlaces y el comportamiento, no solo el texto. Por ello, la combinación de técnica y procedimientos es clave.
- ¿Cómo reconozco una llamada deepfake?
- Preste atención a la urgencia, la solicitud de confidencialidad y el canal inusual. Corte la llamada y llame a la persona a su número conocido.
- ¿Es esto realmente un problema para las pymes?
- Sí. Las pequeñas empresas suelen tener menos controles en las transferencias, lo que las convierte en objetivos atractivos.
Publicaciones relacionadas
Plan de continuidad de negocio: qué debe incluir un BCP para pymes
¿Qué hacemos si mañana por la mañana nada funciona? Un BCP de diez páginas.
Soporte ITDocumentación del entorno IT: qué debe registrarse y por qué
Lo que no está escrito, no existe. El alcance mínimo de documentación para cualquier empresa.
CiberseguridadAutenticación de dos factores: implementación sin resistencia de los empleados
El MFA detiene la gran mayoría de los ataques por robo de contraseñas. Cómo implementarlo rápidamente y sin quejas.