El phishing existe desde hace décadas. El guion básico siempre ha sido el mismo: enviarle a alguien un mensaje falso, hacerlo lucir lo suficientemente real para engañarlo y esperar a que entregue credenciales, haga clic en un enlace malicioso o transfiera fondos a la cuenta equivocada.

Durante mucho tiempo, los ataques de phishing eran fáciles de detectar si sabías qué buscar. La gramática torpe, los dominios mal escritos y los saludos genéricos como "Estimado cliente" eran señales reveladoras. La capacitación en seguridad enseñaba a las personas a pausar antes de hacer clic, y la mayoría de las organizaciones se sentía razonablemente segura de que sus empleados podían detectar la estafa.

Luego la IA generativa lo cambió todo.

El phishing con IA, a veces llamado phishing con IA generativa o phishing impulsado por IA, es lo que sucede cuando los atacantes toman el mismo guion de siempre y lo potencian con modelos de lenguaje grandes (LLM), herramientas de clonación de voz e imágenes generadas por IA. ¿El resultado? Mensajes que parecen escritos por un colega de confianza. Mensajes de voz que suenan exactamente como tu director ejecutivo. Correos que mencionan tu nombre, tu empresa, tus proyectos recientes y tus relaciones reales, porque la IA extrajo esa información de LinkedIn, del sitio web de tu empresa o de una filtración de datos.

Mira lo fácil que fue para el equipo de Huntress crear un deepfake del director ejecutivo, Kyle Hanslovan, durante un Tradecraft Tuesday. 

El volumen también se ha disparado. La IA generativa permite a los cibercriminales producir miles de mensajes de phishing altamente personalizados en el tiempo que antes tomaba escribir uno solo. Eso significa más ataques, dirigidos a más personas, con mucho menos esfuerzo por parte del atacante.

La mecánica de un ataque de phishing con IA no es magia: es una combinación de datos, automatización y modelos de lenguaje trabajando juntos.

• Paso 1: Reconocimiento Antes de enviar cualquier mensaje, los actores de amenazas recopilan información sobre su objetivo. Extraen datos de perfiles de redes sociales, páginas de LinkedIn, sitios web de empresas, comunicados de prensa y bases de datos filtradas. Las herramientas de IA pueden procesar y sintetizar esta información rápidamente, creando un perfil detallado de la persona u organización objetivo.

• Paso 2: Generación de contenido Con un perfil objetivo en mano, los actores de amenazas alimentan esos datos a un LLM (ChatGPT, Claude, Gemini) y le indican que redacte un mensaje convincente y personalizado. La IA se encarga de la gramática, el tono y el contexto automáticamente. Puede imitar el estilo de escritura de alguien que el objetivo conoce y en quien confía, si tiene suficiente texto de muestra para trabajar. Cuanta más información tengan los actores de amenazas, más convincente puede resultar el intento de phishing. 

• Paso 3: Entrega a escala Como la IA puede generar y enviar mensajes automáticamente, los atacantes pueden lanzar campañas dirigidas a cientos o miles de personas simultáneamente. Cada mensaje puede personalizarse de forma única para su destinatario, algo que antes habría requerido una enorme cantidad de trabajo manual.

• Paso 4: Explotación Cuando el objetivo cae en la trampa, lo que incluye hacer clic en un enlace, ingresar credenciales en una página de inicio de sesión falsa, responder a una solicitud fraudulenta de transferencia bancaria o descargar un archivo adjunto malicioso, los cibercriminales obtienen lo que buscaban.

La IA y el phishing se combinan en varios formatos de ataque distintos. Estos son los más comunes:

Spear phishing generado por IA El spear phishing tradicional consiste en apuntar a una persona específica con un mensaje cuidadosamente elaborado. La IA hace esto más rápido y más convincente. Los atacantes pueden generar correos altamente personalizados que mencionan nombres reales, departamentos, eventos recientes o jerga interna extraída de información disponible públicamente. Lo que antes tomaba horas ahora toma segundos.

Vishing con clonación de voz El phishing de voz (vishing) ha alcanzado un nuevo nivel con la clonación de voz impulsada por IA. Los atacantes pueden usar tan solo unos segundos de audio disponible públicamente, como un podcast, una grabación de una conferencia o un video de redes sociales, para clonar la voz de alguien. Los objetivos reciben llamadas que suenan indistinguibles de las de su gerente, un representante bancario o un técnico de soporte de TI. Estas llamadas se usan para extraer contraseñas, aprobar transacciones fraudulentas u obtener acceso remoto.

Ataques deepfake potenciados por IA La tecnología deepfake puede generar video o audio realista que suplanta a una persona real. En algunos casos, los atacantes han usado videollamadas deepfake para hacerse pasar por ejecutivos en reuniones virtuales, convenciendo a los empleados de realizar acciones como iniciar transferencias bancarias. 

Compromiso del correo electrónico empresarial (BEC) con asistencia de IA El compromiso del correo electrónico empresarial es una de las formas de cibercrimen más dañinas financieramente. La IA ha hecho que los ataques de BEC sean más convincentes al ayudar a los atacantes a redactar solicitudes urgentes y plausibles de transferencias bancarias, cambios de facturas o restablecimientos de credenciales, todo mientras igualan el tono y el estilo de la persona que suplantan.

Las señales de advertencia que los empleados aprendieron a identificar en el phishing tradicional no siempre aplican a los ataques generados con IA. Esto es un problema importante para las organizaciones que dependen demasiado de capacitaciones de concientización de seguridad desactualizadas como su defensa principal.

Esto es lo que ha cambiado:

Ya no hay errores de gramática obvios. El texto generado con IA es fluido, pulido y contextualmente preciso. Ya no comete los errores gramaticales que antes delataban de inmediato un correo de phishing.

La personalización elimina las señales genéricas. Cuando un correo menciona tu nombre real, a tu gerente real y un proyecto en el que trabajaste la semana pasada, ya no se siente como la estafa masiva de siempre. Esa familiaridad hace que la gente baje la guardia.

El volumen satura la revisión manual. Cuando los atacantes pueden lanzar miles de campañas únicas y dirigidas al mismo tiempo, la enorme cantidad de intentos aumenta las probabilidades de que algunos tengan éxito, incluso con empleados bien capacitados.

La IA puede facilitar que los atacantes evadan los filtros de contenido. Muchas herramientas de seguridad de correo buscan patrones en mensajes de phishing ya conocidos. El contenido generado con IA es único cada vez, lo que dificulta que los filtros basados en firmas lo detecten.

La Cybersecurity and Infrastructure Security Agency (CISA) señala que el phishing sigue siendo uno de los vectores de ataque más comunes, y que la IA está elevando activamente el nivel de lo que se considera "sospechoso" en materia de ciberseguridad.

El phishing con IA no es algo teórico: ya está ocurriendo en todas las industrias.

En un caso ampliamente reportado, un empleado de finanzas de una empresa multinacional fue engañado por una videollamada deepfake que parecía mostrar a su CFO y a otros colegas. Al empleado lo convencieron de transferir aproximadamente $25 millones antes de que se descubriera el fraude.

Los ataques de clonación de voz también se han usado para suplantar a ejecutivos por teléfono, con empleados que aprobaron transferencias bancarias fraudulentas después de recibir llamadas que sonaban idénticas a las de su CEO.

Las campañas de spear phishing generadas por IA se han usado para atacar a organizaciones de salud, bufetes de abogados y contratistas gubernamentales, sectores donde el acceso a datos sensibles los convierte en objetivos de alto valor.

Estos incidentes apuntan a una realidad que los profesionales de ciberseguridad enfrentan todos los días: las herramientas que usan los atacantes mejoran más rápido de lo que muchas defensas pueden seguir el ritmo. Comprender el papel de dark AI y las herramientas que usan los cibercriminales es una parte importante para mantenerse adelante de estas amenazas.

Defenderse de los ataques de phishing con IA requiere más que una sola herramienta o política. Se necesita un enfoque de ciberseguridad por capas, a menudo llamado "defensa en profundidad."

1. Usa autenticación multifactor (MFA) resistente al phishing. La MFA estándar agrega una capa de protección, pero los atacantes han desarrollado técnicas para evadirla. Las formas de MFA resistentes al phishing, como las llaves de seguridad físicas, son más difíciles de vencer incluso cuando las credenciales están comprometidas. La CISA recomienda enfáticamente la MFA resistente al phishing como un control prioritario.

2. Usa security awareness training moderno. Los empleados deben saber que los ataques de phishing con IA ya no se parecen a las estafas que aprendieron a identificar hace años. El entrenamiento moderno debe incluir ejemplos de correos generados por IA, clonación de voz y ataques de deepfake, y no solo el clásico correo del "príncipe nigeriano" de antaño. Consulta la guía completa de phishing de Huntress para obtener orientación práctica.

3. Verifica las solicitudes inusuales por otro canal. Si alguien llama o envía un correo pidiendo una transferencia bancaria, un restablecimiento de credenciales o datos sensibles, especialmente con urgencia, verifícalo por un canal distinto. Llama a la persona a un número conocido. No confíes en la información de contacto del mensaje sospechoso.

4. Usa seguridad por capas para el correo y la identidad. Combina el filtrado de correo con herramientas centradas en la identidad como Managed ITDR y protección de endpoints como Managed EDR, respaldadas por un SOC inpulsado por IA disponible 24/7, para detectar actividad que se le escape al gateway.

5. Monitorea amenazas generadas por IA en el endpoint. Incluso cuando un intento de phishing tiene éxito, detectar la actividad del atacante después del hecho puede contener el daño. Las herramientas de detección y respuesta para endpoints (EDR) pueden identificar comportamientos sospechosos que siguen a un compromiso exitoso. Asegúrate de que tu equipo pueda manejar el volumen de alertas que generan, o bien puedes optar por un Managed EDR.

6. Establece protocolos internos de verificación. Define políticas claras sobre cómo tu equipo maneja las solicitudes que involucran dinero, credenciales o datos sensibles, en especial las que llegan con urgencia, fuera de lo común o aparentemente de parte de la gerencia. Un paso rápido de verificación telefónica puede detener muchos ataques de phishing con IA de inmediato.

El phishing con IA representa un cambio real en el panorama de amenazas. Toma un método de ataque ya efectivo y lo hace más rápido, más convincente, más personal y más difícil de detectar con las herramientas y el entrenamiento que antes funcionaban.

La base de una buena defensa no ha cambiado: verifica antes de confiar, aplica capas en tus controles de seguridad, mantén el entrenamiento actualizado y asegúrate de que tu tecnología pueda seguirle el ritmo a la evolución de los atacantes. Lo que ha cambiado es la urgencia. Los ataques de phishing con IA no son un problema futuro: están afectando a organizaciones ahora mismo, en todas las industrias.

Entender qué es el phishing con IA y cómo funciona es el primer paso. Construir defensas que lo tomen en cuenta es el siguiente. Prueba Huntress gratis y descubre cómo nuestra Managed Security Platform te ayuda a defenderte del phishing impulsado por IA.