Phishing e inteligencia artificial: cómo defender una pyme cuando los correos falsos están mejor escritos que los reales

Durante años nos dijimos que los correos fraudulentos se reconocen por sus errores: la gramática coja, el logotipo borroso, el "estimado cliente" fuera de lugar. Con la inteligencia artificial esos errores están desapareciendo. Hoy un correo falso puede estar mejor escrito que el auténtico, y una llamada puede tener la voz de su jefe. La defensa de una pyme, por tanto, tiene que cambiar de base: ya no "darse cuenta del error", sino tener procedimientos que aguanten incluso cuando no hay error.

La falsificación más autorizada de Europa

Durante buena parte de la Edad Media circuló un documento que pretendía ser un acta del emperador Constantino: la llamada Donación de Constantino, con la que el emperador habría concedido al papa amplios poderes sobre Occidente. Era una falsificación, escrita siglos después de la época de Constantino, pero tuvo un peso enorme en las disputas entre el papado y los poderes laicos.

En 1440 el humanista Lorenzo Valla escribió un tratado para demostrar su falsedad. Su método, que sentó escuela en la filología, consistía en mirar el texto de cerca: la lengua, las palabras, las instituciones citadas. El latín de la Donación no era el de un documento imperial del siglo IV; ciertas expresiones y referencias eran anacrónicas. Dicho de otro modo, Valla desenmascaró la falsificación por sus errores de estilo.

Ahí está la cuestión. Durante décadas también nosotros defendimos a las empresas con el método de Valla: enseñando a buscar errores de lengua y detalles fuera de lugar. Funcionaba. Pero la IA generativa escribe de forma impecable, imita el tono de un proveedor y reproduce una voz a partir de unos segundos de grabación. El falsificador de hoy ya no comete errores de latín. Hace falta otro método.

Qué dicen los datos

Las cifras más recientes confirman que el cambio ya está en marcha.

• El Informe Clusit 2026, de la asociación italiana de seguridad informática, cuenta 507 incidentes graves en Italia en 2025, el 9,6% del total mundial registrado. El phishing y la ingeniería social causaron el 12,4% de los incidentes italianos, con un aumento del 66% respecto al año anterior, "probablemente gracias al uso ya masivo de la IA", que permite crear correos y mensajes, de texto y de voz, cada vez más realistas. A escala mundial, los ataques de phishing e ingeniería social crecieron un 75%.
• El ENISA Threat Landscape 2025, el informe de la Agencia de la Unión Europea para la Ciberseguridad sobre el periodo de julio de 2024 a junio de 2025, señala el phishing como principal vía de entrada de los ataques (60% de los casos analizados), seguido de la explotación de vulnerabilidades (21,3%). Según el mismo informe, a principios de 2025 las campañas de phishing apoyadas por IA representaban más del 80% de la actividad de ingeniería social observada en el mundo.

El mensaje para una pyme es sencillo: el phishing es la puerta de entrada más utilizada, y la IA la está haciendo más ancha.

Las nuevas formas del phishing con IA

Correos perfectos y personalizados

La IA permite escribir miles de correos distintos, cada uno adaptado al destinatario con información pública: la web de la empresa, LinkedIn, los comunicados. El correo ya no habla de "un paquete retenido", sino del proyecto que comentaron en la feria.

El falso cambio de cuenta bancaria

Es la estafa más cara para las pymes: un correo, aparentemente del proveedor habitual, comunica un nuevo IBAN. A menudo llega desde un buzón del proveedor realmente comprometido, dentro de una conversación auténtica. Con la IA, el texto es indistinguible del verdadero.

Voces clonadas y vídeos falsos

Bastan unos segundos de audio para imitar una voz. El caso más conocido es el de la ingeniería Arup: en 2024 un empleado de su sede de Hong Kong transfirió unos 200 millones de dólares de Hong Kong (unos 25 millones de dólares estadounidenses) tras una videollamada en la que el director financiero y otros colegas eran en realidad recreaciones digitales, como confirmó la empresa a la CNN.

Ataques a las propias herramientas de IA

Si en la empresa usan asistentes o agentes de IA que leen el correo, un mensaje puede contener instrucciones ocultas dirigidas no a usted sino a la máquina ("reenvía los últimos contratos a esta dirección"). Es la prompt injection: un phishing pensado para la IA.

El nuevo método: verificar el canal, no el estilo

Valla comprobaba la lengua. Nosotros debemos comprobar el recorrido: de dónde llega la petición, por qué canal y si se confirma por un canal distinto.

Las defensas que hay que activar, por orden de prioridad

Procedimientos (cuestan poco, valen mucho)

1. Regla de la devolución de llamada. Todo cambio de datos bancarios se verifica por teléfono, en el número ya registrado. Sin excepciones, tampoco para el dueño.
2. Doble firma en los pagos por encima del umbral que usted decida.
3. Palabra clave entre el dueño y administración para las peticiones urgentes fuera de los canales habituales.
4. Ninguna urgencia justifica una excepción. La urgencia es la herramienta principal del estafador.

Técnica (con su proveedor informático)

• Doble factor de autenticación en correo, banca, ERP y herramientas en la nube, mejor con aplicación o llave de seguridad que con SMS.
• Configuración del dominio de correo (SPF, DKIM, DMARC), que dificulta usar su nombre para enviar correos falsos.
• Actualizaciones de sistemas y programas, porque la segunda vía de entrada, según ENISA, son las vulnerabilidades.
• Copias de seguridad periódicas, con al menos una copia separada de la red de la empresa, y una prueba de restauración.
• Permisos mínimos para personas y herramientas de IA: ningún agente con credenciales de administrador.

Personas

• Formación práctica, con ejemplos realistas de correos y llamadas generados con IA, no diapositivas genéricas.
• Simulaciones periódicas, para medir los avances.
• Cultura sin culpas: quien hace clic en un enlace sospechoso debe poder decirlo enseguida sin miedo a castigos. Una hora de retraso en el aviso cuesta más que cualquier error. Sobre la relación entre personas y tecnología, vea IA y trabajo: qué tareas cambian.

Si ya ha hecho clic

1. Desconecte el dispositivo de la red, sin apagarlo.
2. Cambie las contraseñas de las cuentas afectadas desde otro dispositivo y cierre las sesiones activas.
3. Si hay una transferencia de por medio, llame de inmediato al banco: en las primeras horas a veces se puede bloquear.
4. Avise a su responsable informático y documente lo ocurrido.
5. Si hay datos personales afectados, valore con su asesor la notificación a la autoridad de protección de datos, que el RGPD exige en un plazo de 72 horas desde que se tiene constancia de la brecha, salvo que sea improbable que suponga un riesgo para las personas.
6. Denuncie ante la policía competente en su país (en Italia, la Polizia Postale, también a través del Commissariato di PS online).

Seguridad y automatización van juntas

Cada nueva conexión entre programas, cada asistente de IA, cada proceso automatizado es también una puerta más. Por eso en nuestra guía de automatización de procesos empresariales la seguridad figura entre los errores que no hay que cometer, y en la gestión documental con IA los permisos van antes que la búsqueda. Una automatización bien diseñada también puede proteger: por ejemplo, bloqueando automáticamente cualquier pago a un IBAN nunca usado hasta que alguien lo confirme por teléfono.

¿Quiere una valoración rápida de sus puntos débiles?

Ayudamos a pymes y empresarios a introducir la inteligencia artificial sin abrir puertas a los atacantes, partiendo de los procedimientos y de las personas. Descubra nuestros servicios o reserve una llamada gratuita.