Pero, él añade, la IA ha “cambiado la economía de los atacantes”, al hacer que sea más económico y fácil llevar a cabo sofisticados ataques.
Ya quedaron atrás los esfuerzos amplios y oportunistas que usaban correos electrónicos mal redactados, plagados de faltas ortográficas y errores culturales discordantes. En cambio, los grandes modelos de lenguaje (LLM, por sus siglas en inglés) y las herramientas de texto generativo pueden ayudar a los atacantes a ampliar su alcance de manera personalizada y convincente, a un costo más bajo que nunca.
“Hemos cruzado oficialmente el umbral en el que una videollamada en vivo ya no constituye una prueba de vida”, afirma David Warburton, director de la división de inteligencia de amenazas del grupo de seguridad F5 “Hemos cruzado oficialmente el umbral en el que una videollamada en vivo ya no constituye una prueba de vida”, afirma David Warburton, director de la división de inteligencia de amenazas del grupo de seguridad F5
Mediante la extracción de datos de LinkedIn, de sitios web de compañías y de otros documentos públicos, los atacantes pueden generar correos electrónicos altamente personalizados que podrían engañar a un usuario para que haga clic en un enlace malicioso, una táctica conocida como “phishing”.
Incluso los hackers que no tienen grandes conocimientos tecnológicos pueden utilizar asistentes de programación basados en IA para analizar datos robados y crear perfiles de víctimas para luego atacar a personas específicas.
Según datos del grupo de seguridad DeepStrike, los ataques de “phishing” aumentaron un 1,265% en 2025, lo que se atribuye al crecimiento de las herramientas de IA generativa.
“Los atacantes conocen tu organigrama, tus proveedores y los estilos de comunicación de tus ejecutivos antes de enviar un solo mensaje”, afirma Douglas Wadkins, director de tecnología del grupo de redes Opengear.
“El cambio más importante es cómo la IA está ayudando a los atacantes a industrializar funciones y procesos administrativos de las operaciones de fraude”, afirma Gabriel Bernadett-Shapiro, investigador científico sénior especializado en IA del grupo de ciberseguridad SentinelOne. “El patrón más notable es el uso de la IA en toda la cadena de suministro del fraude”.
Además de los correos electrónicos de “phishing”, la IA está potenciando la creación de estafas más sofisticadas que usan ultrafalsificaciones con voces e imágenes clonadas o falsificadas. Esto incluye el llamado cebo de celebridades, lo cual consiste en crear anuncios falsos con clones de celebridades generados por IA para manipular a las víctimas, hasta el punto de que un solicitante falso aparezca en videoentrevistas manipuladas para empleos a distancia con el fin de infiltrarse en los sistemas de una compañía.
“Hemos cruzado oficialmente el umbral en el que una videollamada en vivo ya no constituye una prueba de vida”, afirma David Warburton, director de la división de inteligencia de amenazas del grupo de seguridad F5. “Los actores maliciosos están llevando a cabo, de manera impecable y en tiempo real, espionaje corporativo y fraude de identidad directamente a través de plataformas como Zoom”.
Los ciberanalistas señalan un aumento en el número de hackers que crean personajes completos con historias de fondo —las llamadas identidades sintéticas— para posteriormente perpetrar fraudes o actos de espionaje.
“La ingeniería social se está orientando hacia la identidad como su principal objetivo, y las identidades sintéticas están surgiendo como una de las amenazas más complejas contra las que hay que defenderse”, afirma Gus Tomlinson, directora de productos y tecnología del grupo de verificación de identidad GBG. Estas identidades podrían “abrir cuentas, crear historiales y generar confianza”, agrega ella.
Según Wadkins, de Opengear, también existe una tendencia hacia los ataques multivectoriales. “En lugar de un solo correo electrónico, los actores maliciosos combinan mensajes de texto (SMS, por sus siglas en inglés), plataformas de mensajería y llamadas de voz de seguimiento para generar credibilidad antes de que llegue la solicitud maliciosa”, explica él. “El ataque se desarrolla a lo largo de días o semanas, lo que les dificulta mucho más a los empleados reconocer la manipulación en tiempo real”.
Para las compañías, el reto parece existencial. “El verdadero riesgo no es simplemente que la gente crea en contenido falso; es que también empiece a cuestionar el contenido genuino“, afirma Amit Sinha, director ejecutivo de la compañía de seguridad digital DigiCert. “Una vez que la gente pierde la confianza en la autenticidad de la información que recibe de una organización, cada interacción requiere una capa adicional de verificación”.
Pero los defensores también están usando avanzadas herramientas de IA para ayudar a detectar y eliminar los ataques. Según Tomlinson, algunas organizaciones preocupadas por las identidades falsas ahora están utilizando sistemas avanzados de “detección de vitalidad”, los cuales analizan “sutiles señales biológicas y biométricas, como variaciones en la microtextura y la forma en que la luz se refleja en el rostro”, para confirmar si una persona es real o no.
Además de los indicadores biométricos, otros datos contextuales pueden ayudar a realizar una evaluación, tales como “la cadencia al teclear o la forma en que se manipula el dispositivo”, añade él.
Matthew Ferraro, socio especializado en ciberseguridad del bufete de abogados Crowell & Moring, sostiene que las empresas también deben capacitar a su personal y adoptar un marco de “confianza cero”, en el que todas las solicitudes importantes —como las transferencias financieras o los restablecimientos de contraseñas— requieran una verificación humana. Los ejecutivos, los equipos financieros y sus familiares también deberían establecer “frases de seguridad preestablecidas” para confirmar mutuamente la identidad, señala él.
“El verdadero riesgo no es simplemente que la gente crea en contenido falso; es que también empiece a cuestionar el contenido genuino“, afirma Amit Sinha, director ejecutivo de la compañía de seguridad digital DigiCert “El verdadero riesgo no es simplemente que la gente crea en contenido falso; es que también empiece a cuestionar el contenido genuino“, afirma Amit Sinha, director ejecutivo de la compañía de seguridad digital DigiCert
Los equipos de liderazgo deberían ensayar estos escenarios, realizar ejercicios de crisis cibernéticas y simulaciones de ataques que incluyan ingeniería social basada en IA, coincide Adam Finkelstein, director gerente de disputas e investigaciones de la consultora Alvarez & Marsal. “Según nuestra experiencia, la preparación marca la diferencia entre un incidente contenido y una crisis empresarial”.
“La vulnerabilidad humana no ha cambiado, pero sí el ataque”, señala David Maimon, encargado de análisis de fraude en la compañía de software SentiLink. “Capacita a tu personal para que aprenda a hacer una pausa antes de actuar y verifique la información a través de un canal en el que confíe de manera independiente. La estafa sólo funciona si se actúa con precipitación”.
Sin embargo, Darren Meyer, defensor de la investigación en seguridad de Checkmarx —una compañía de seguridad de tecnología de la información (TI)—, argumenta que “ninguna cantidad de capacitación en seguridad resuelve este problema”. En cambio, él agrega, las compañías deben idear maneras de reducir las consecuencias de una inevitable campaña de ingeniería social, lo que incluye “crear controles proactivos” para limitar el impacto de los ataques.
Copyright The Financial Times Limited 2026
© 2026 The Financial Times Ltd. All rights reserved. Please do not copy and paste FT articles and redistribute by email or post to the web.
+ 
