Los correos de phishing ya no siempre contienen traducciones deficientes, errores evidentes o mensajes genéricos enviados a miles de personas.
La inteligencia artificial permite crear comunicaciones más naturales, personalizadas y convincentes. Un atacante puede adaptar el tono al sector de una empresa, imitar la forma de escribir de un directivo o utilizar información pública para construir una petición aparentemente legítima.
El fraude puede llegar mediante correo electrónico, mensaje de texto, llamada, videollamada o aplicación de mensajería. También puede combinar diferentes canales para aumentar la credibilidad.
Una persona recibe primero un correo del supuesto director financiero. Minutos después, alguien llama para confirmar la urgencia. El mensaje incluye nombres reales, referencias a un proveedor conocido y una explicación coherente sobre la operación.
Nada parece improvisado.
Esta evolución dificulta que las pequeñas y medianas empresas dependan únicamente de la intuición de sus empleados. La ausencia de faltas de ortografía ya no demuestra que un mensaje sea legítimo.
Protegerse frente al phishing con inteligencia artificial requiere combinar formación, procedimientos internos, controles técnicos y una cultura empresarial en la que verificar una petición no se considere una pérdida de tiempo.
La tecnología puede ayudar a detectar amenazas, pero el objetivo final del atacante sigue siendo aprovechar la confianza, la urgencia y los hábitos humanos.
Qué es el phishing con inteligencia artificial
El phishing es una técnica de ingeniería social mediante la que un atacante suplanta a una persona o entidad legítima para conseguir información, dinero o acceso a un sistema.
Puede intentar que la víctima:
- Entregue una contraseña.
- Descargue un archivo malicioso.
- Realice una transferencia.
- Cambie una cuenta bancaria.
- Facilite información confidencial.
- Autorice un acceso.
- Instale una aplicación.
- Escanee un código QR.
INCIBE define el phishing como el envío de comunicaciones fraudulentas que aparentan proceder de una entidad legítima y buscan robar información, provocar un cargo económico o infectar un dispositivo.
La inteligencia artificial no cambia el objetivo del ataque, pero sí mejora su preparación y ejecución.
Un ciberdelincuente puede utilizarla para:
- Redactar mensajes sin errores.
- Traducirlos a distintos idiomas.
- Personalizar el contenido.
- Analizar información pública.
- Imitar estilos de escritura.
- Generar imágenes y documentos.
- Crear voces sintéticas.
- Automatizar conversaciones.
- Preparar respuestas en tiempo real.
Europol advierte que la IA generativa está potenciando los ataques de ingeniería social y permite adaptar las estafas al contexto cultural y a los datos personales de cada víctima.
Por qué las pymes son objetivos atractivos
Una pyme puede pensar que los ciberdelincuentes se concentran únicamente en grandes compañías.
Sin embargo, las empresas pequeñas también gestionan cuentas bancarias, información de clientes, credenciales, facturas y relaciones con proveedores.
Además, suelen disponer de menos recursos especializados en ciberseguridad.
En una misma persona pueden concentrarse tareas de administración, compras, atención al cliente y pagos. Esta situación facilita que una petición urgente se tramite sin una segunda comprobación.
Los atacantes también saben que muchas empresas trabajan mediante:
- Correo electrónico.
- Documentos compartidos.
- Aplicaciones de mensajería.
- Software en la nube.
- Proveedores externos.
- Transferencias bancarias.
- Acceso remoto.
Una sola cuenta comprometida puede proporcionar información suficiente para preparar un fraude muy convincente.
Cómo utiliza la IA la información pública
Las empresas publican numerosos datos en Internet.
En la web corporativa pueden aparecer nombres, cargos, clientes, proyectos, ubicaciones y proveedores tecnológicos. Las redes sociales muestran eventos, viajes, incorporaciones y relaciones profesionales.
Esta información puede utilizarse para crear mensajes personalizados.
Un atacante podría descubrir:
- Quién dirige la empresa.
- Quién trabaja en administración.
- Qué proveedor acaba de contratarse.
- Cuándo está de viaje un responsable.
- Qué software utiliza el equipo.
- Qué proyecto se encuentra en marcha.
- Cómo se comunican los empleados.
- Qué formato tienen las direcciones de correo.
La IA permite recopilar, resumir y relacionar estos datos con mayor rapidez.
INCIBE señala que el phishing actual puede incorporar información real y aparentar proceder de contactos confiables, lo que aumenta la dificultad para identificar el fraude.
Esto no significa que una empresa deba desaparecer de Internet. Sí implica que debe revisar qué información publica y formar a su equipo para entender cómo puede utilizarse en un ataque.
El fraude del correo corporativo comprometido
Uno de los ataques más peligrosos para una empresa es el fraude BEC, siglas de Business Email Compromise.
En este tipo de fraude, el atacante suplanta o controla una cuenta corporativa para solicitar pagos, cambios bancarios o información sensible.
El mensaje puede parecer enviado por:
- Gerencia.
- Dirección financiera.
- Un proveedor.
- Un cliente.
- Una asesoría.
- Un despacho jurídico.
- Una empresa logística.
INCIBE describe el fraude BEC como una modalidad dirigida especialmente a organizaciones que realizan transferencias electrónicas. El atacante puede hacerse pasar por un directivo o intervenir en una relación comercial existente.
La inteligencia artificial permite mejorar el tono y adaptar la petición a cada destinatario.
Un mensaje podría indicar que el director está reunido, no puede atender llamadas y necesita completar una transferencia confidencial antes de una hora concreta.
La presión, la autoridad y el secreto forman parte del engaño.
Las señales tradicionales ya no son suficientes
Durante años se recomendó desconfiar de mensajes con errores ortográficos, traducciones extrañas o saludos genéricos.
Estas señales siguen siendo útiles, pero ya no bastan.
Un correo generado con IA puede:
- Utilizar un español correcto.
- Incluir el nombre del destinatario.
- Mantener un tono profesional.
- Hacer referencia a una operación real.
- Imitar la firma corporativa.
- Responder de manera coherente.
- Utilizar documentos bien diseñados.
Por eso, la evaluación debe centrarse en el contexto y en la acción solicitada.
Hay que prestar atención cuando un mensaje:
- Introduce una urgencia inesperada.
- Solicita saltarse un procedimiento.
- Cambia datos bancarios.
- Pide credenciales.
- Exige confidencialidad.
- Incluye un enlace de acceso.
- Solicita instalar software.
- Utiliza un canal diferente al habitual.
- Impide verificar la petición.
Un mensaje puede estar perfectamente escrito y seguir siendo fraudulento.
Establecer un procedimiento para pagos y cambios bancarios
La medida más eficaz frente a determinados fraudes no es un filtro tecnológico, sino un procedimiento interno claro.
Las transferencias y modificaciones de cuentas bancarias nunca deberían aprobarse únicamente a partir de un correo.
Conviene exigir una verificación adicional cuando se solicita:
- Un nuevo beneficiario.
- Un cambio de cuenta.
- Una transferencia urgente.
- Un pago de importe elevado.
- Una modificación de factura.
- Un anticipo inesperado.
- Una compra fuera del proceso habitual.
La comprobación debe realizarse mediante un canal independiente.
Por ejemplo, llamando al número que ya figura en la base de datos de la empresa, no al que aparece en el mensaje sospechoso.
También pueden establecerse:
- Límites de aprobación.
- Doble autorización.
- Registro de cambios.
- Confirmación del proveedor.
- Periodo de espera.
- Separación de funciones.
Un atacante puede falsificar un correo, una voz o una imagen. Resulta mucho más difícil superar un proceso que requiere varias personas y canales independientes.
Utilizar autenticación multifactor
La autenticación multifactor añade una segunda comprobación además de la contraseña.
Puede utilizar:
- Aplicación de autenticación.
- Llave física.
- Código temporal.
- Verificación biométrica.
- Confirmación desde otro dispositivo.
Esta medida reduce el riesgo de que una contraseña robada permita acceder directamente a una cuenta.
Debería activarse, como mínimo, en:
- Correo corporativo.
- Hosting.
- Panel de la web.
- CRM.
- Herramientas de facturación.
- Almacenamiento en la nube.
- Redes sociales.
- Registro del dominio.
- Plataformas de pago.
Cuando sea posible, es preferible utilizar aplicaciones de autenticación o llaves físicas en lugar de depender exclusivamente de mensajes SMS.
También deben revisarse las sesiones abiertas y los dispositivos autorizados.
Proteger correctamente el correo corporativo
El correo es uno de los principales puntos de entrada.
La empresa debería configurar mecanismos que ayuden a verificar si un mensaje se ha enviado realmente desde su dominio.
Entre ellos se encuentran:
- SPF.
- DKIM.
- DMARC.
Estas tecnologías permiten definir qué servidores pueden enviar correo en nombre de la empresa y qué debe hacerse cuando un mensaje no supera las comprobaciones.
No impiden todas las suplantaciones. Un atacante puede utilizar un dominio muy parecido o comprometer una cuenta legítima.
Aun así, reducen el uso directo del dominio corporativo y mejoran la capacidad de identificar determinados mensajes falsos.
También conviene aplicar:
- Filtros antispam.
- Análisis de archivos.
- Bloqueo de extensiones peligrosas.
- Avisos para remitentes externos.
- Protección de enlaces.
- Alertas de acceso anómalo.
Enseñar a comprobar enlaces y dominios
Los atacantes registran dominios que se parecen al original.
Pueden sustituir una letra, añadir un guion o utilizar una extensión diferente.
Antes de introducir credenciales, el usuario debe comprobar la dirección completa.
No conviene acceder a servicios importantes desde enlaces recibidos por correo. Es más seguro abrir el navegador y entrar mediante una dirección guardada o una aplicación oficial.
También deben revisarse los enlaces acortados, códigos QR y botones que ocultan su destino.
INCIBE recomienda verificar quién envía el mensaje, no pulsar enlaces sospechosos y evitar proporcionar información confidencial aunque la comunicación aparente proceder de una persona conocida.
Desconfiar de archivos aparentemente normales
Un archivo malicioso puede presentarse como:
- Factura.
- Presupuesto.
- Currículum.
- Albarán.
- Notificación.
- Documento fiscal.
- Hoja de cálculo.
- Archivo comprimido.
El nombre y el diseño pueden ser profesionales.
La empresa debería limitar los tipos de archivo permitidos, analizar los adjuntos y evitar la ejecución automática de macros.
También conviene utilizar visores protegidos y abrir documentos desconocidos en entornos controlados.
Cuando un proveedor envía un archivo inesperado, la mejor práctica es confirmar el envío antes de abrirlo.
Prepararse para llamadas y voces sintéticas
La inteligencia artificial puede generar voces parecidas a las de personas reales a partir de muestras de audio.
Un atacante podría llamar haciéndose pasar por un directivo, un familiar o un proveedor.
La calidad no siempre es perfecta, pero una llamada breve y urgente puede ser suficiente para presionar a la víctima.
Las empresas deberían definir una forma de verificar peticiones sensibles realizadas por teléfono.
Puede utilizarse:
- Una segunda llamada.
- Una palabra acordada.
- Una confirmación en la herramienta corporativa.
- Una aprobación adicional.
- Una pregunta que no pueda responderse con información pública.
No conviene basar la confianza únicamente en reconocer la voz.
La misma precaución debe aplicarse a vídeos y videollamadas, especialmente cuando se solicita dinero, información o acceso.
Formar al equipo con ejemplos reales
Una sesión anual de formación no suele ser suficiente.
Las campañas cambian y los empleados olvidan recomendaciones que no utilizan con frecuencia.
La formación debería ser breve, continua y adaptada a la actividad de la empresa.
Puede incluir:
- Ejemplos recientes.
- Simulaciones autorizadas.
- Revisión de casos internos.
- Procedimientos de comunicación.
- Recordatorios periódicos.
- Formación específica para administración.
- Pruebas de respuesta.
El objetivo no es culpabilizar a quien comete un error.
Una cultura basada en el miedo puede provocar que los empleados oculten un clic o una descarga. Esto retrasa la respuesta y aumenta el daño.
La empresa debe facilitar que cualquier persona pueda informar de una sospecha sin sentirse juzgada.
Crear un canal sencillo para reportar mensajes
Los empleados necesitan saber qué hacer cuando reciben una comunicación sospechosa.
Puede habilitarse:
- Un botón de reporte en el correo.
- Una dirección interna.
- Un canal de mensajería.
- Un teléfono.
- Un procedimiento documentado.
La comunicación debe indicar qué información proporcionar y qué acciones evitar.
Por ejemplo:
- No reenviar el archivo a otras personas.
- No responder al atacante.
- No borrar el mensaje antes de analizarlo.
- No abrir de nuevo el enlace.
- Informar de la hora y de las acciones realizadas.
Cuanto más sencillo sea el proceso, mayor será la probabilidad de que se utilice.
Qué hacer después de pulsar un enlace
Hacer clic no significa necesariamente que la cuenta haya sido comprometida.
Sin embargo, conviene actuar rápidamente.
La persona debería:
- Dejar de interactuar con la página.
- Desconectar el equipo si se ha descargado o ejecutado un archivo.
- Informar al responsable.
- Cambiar la contraseña desde otro dispositivo seguro.
- Cerrar las sesiones abiertas.
- Revisar la autenticación multifactor.
- Analizar el equipo.
- Comprobar accesos recientes.
Si se han introducido datos bancarios, también debe contactarse con la entidad financiera.
No conviene esperar a observar movimientos sospechosos.
Qué hacer si se ha realizado una transferencia
Cuando la empresa detecta un pago fraudulento, debe contactar inmediatamente con el banco.
El tiempo puede ser determinante para intentar bloquear o recuperar los fondos.
También conviene:
- Conservar correos y documentos.
- Guardar registros.
- Identificar las cuentas afectadas.
- Bloquear credenciales.
- Informar a las partes implicadas.
- Presentar una denuncia.
- Revisar si existe una brecha de datos.
- Analizar la vía de entrada.
En España, INCIBE ofrece el servicio 017 para orientar a empresas y ciudadanos ante incidentes de ciberseguridad.
Revisar la información que publica la empresa
La transparencia es importante, pero conviene evitar exponer detalles innecesarios.
Debería revisarse si las publicaciones revelan:
- Ausencias de directivos.
- Procesos de pago.
- Organigramas completos.
- Direcciones individuales.
- Firmas.
- Documentos internos.
- Herramientas utilizadas.
- Información de proveedores.
También es recomendable establecer pautas para redes sociales y formar a las personas con perfiles públicos.
La solución no consiste en eliminar toda la presencia digital, sino en valorar qué información puede facilitar una suplantación.
Aplicar una estrategia por capas
No existe una herramienta capaz de detener todos los ataques.
La protección debe combinar:
- Procedimientos.
- Formación.
- Autenticación multifactor.
- Seguridad del correo.
- Actualizaciones.
- Control de permisos.
- Copias de seguridad.
- Monitorización.
- Respuesta ante incidentes.
INCIBE ofrece políticas de seguridad para pymes con listas de comprobación destinadas a empresarios, personal técnico y empleados. Estas guías ayudan a convertir recomendaciones generales en procesos internos.
La empresa debe asumir que algún mensaje fraudulento superará los filtros.
Por eso, necesita controles que impidan que un único error provoque una transferencia, el robo de una cuenta o el acceso a información crítica.
La verificación debe formar parte del trabajo diario
La inteligencia artificial está haciendo que los ataques de phishing resulten más naturales, personalizados y difíciles de reconocer.
ENISA identifica el uso creciente de IA en campañas de ingeniería social y analiza este fenómeno dentro del panorama europeo de amenazas. Su informe más reciente estudia miles de incidentes registrados entre julio de 2024 y junio de 2025.
Esto no significa que las pymes estén indefensas.
Los fraudes continúan necesitando que una persona realice una acción: abrir un archivo, entregar una contraseña, aprobar un acceso o enviar dinero.
Los procedimientos internos pueden interrumpir esa cadena.
Verificar una cuenta bancaria, activar autenticación multifactor y consultar una petición urgente mediante otro canal son medidas sencillas, pero muy eficaces.
En Calltek ayudamos a empresas a revisar la seguridad de sus webs, correos y servicios digitales. También implantamos mantenimiento, copias de seguridad, monitorización y medidas de protección adaptadas a las necesidades de cada organización para reducir el riesgo y responder con rapidez ante posibles incidentes.
Related Posts
4 de septiembre de 2026
22 de diciembre de 2025