La inteligencia artificial está mejorando muchas herramientas defensivas, pero también está reduciendo el coste de preparar fraudes y ataques más convincentes. La cuestión ya no es si la IA puede utilizarse en ciberseguridad, sino cómo cambia el equilibrio entre atacantes, empresas y usuarios.
La IA no inventa el ciberdelito, pero lo hace más escalable
Phishing, robo de credenciales, suplantación de identidad, ransomware e ingeniería social existían antes de la IA generativa. La diferencia es que ahora un atacante puede producir textos más naturales, adaptar mensajes a distintos idiomas, resumir información pública sobre una víctima y generar material falso con mucha mayor rapidez.
El panorama de amenazas de ENISA de 2025 confirma que grupos maliciosos están utilizando modelos de lenguaje para apoyar tareas de ingeniería social y desarrollo de herramientas, y que el phishing continúa siendo uno de los principales vectores de intrusión.
Cinco riesgos que merece la pena vigilar
1. Phishing mucho más creíble
Los antiguos correos fraudulentos llenos de faltas ya no son una referencia fiable para detectar un engaño. Un mensaje generado o corregido con IA puede tener buen estilo, imitar el tono de una empresa y adaptarse al contexto de la víctima. La defensa debe centrarse en verificar remitentes, dominios, enlaces y solicitudes, no solo en la calidad de la redacción.
2. Voz, imagen y vídeo falsificados
Los deepfakes permiten imitar rostros o voces y aumentan el riesgo de fraude por suplantación. Una llamada que parece proceder de un responsable, un familiar o un proveedor ya no debería bastar para autorizar una transferencia o entregar información sensible. Para operaciones importantes conviene establecer un segundo canal de verificación.
3. Fugas de información al utilizar asistentes
El riesgo no procede únicamente de un atacante. También puede aparecer cuando un empleado copia contratos, datos personales, credenciales, documentación técnica o información comercial en una herramienta de IA sin conocer sus condiciones de uso. Las empresas necesitan una política clara sobre qué información puede introducirse y en qué servicios.
4. Automatización de reconocimiento y fraude
La IA puede ayudar a ordenar información pública, preparar mensajes personalizados y acelerar determinadas fases de una operación maliciosa. Esto no convierte automáticamente a un modelo en un “hacker autónomo”, pero sí puede aumentar la productividad del atacante.
5. Confianza excesiva en la propia IA defensiva
Los sistemas defensivos también se equivocan. Un clasificador puede producir falsos positivos o no detectar una amenaza nueva. La automatización debe ayudar a priorizar alertas y detectar anomalías, pero las decisiones críticas necesitan supervisión y procedimientos de respuesta.
Cómo protegerse sin convertir la empresa en una fortaleza
- Activar autenticación multifactor, especialmente en correo, administración y servicios en la nube.
- Mantener sistemas, plugins y dispositivos actualizados.
- Realizar copias de seguridad probadas y separadas del entorno principal.
- Aplicar el principio de mínimo privilegio: cada persona debe acceder solo a lo que necesita.
- Verificar por un segundo canal cualquier petición extraordinaria de dinero, credenciales o cambio de cuenta bancaria.
- Formar a los empleados con ejemplos actuales de phishing, deepfakes y suplantación.
- Definir qué herramientas de IA están autorizadas y qué datos nunca deben introducirse en ellas.
2026: también cambia la regulación
La regulación europea empieza a reflejar estos riesgos. Desde el 2 de agosto de 2026 son aplicables las obligaciones de transparencia del artículo 50 del Reglamento europeo de IA para determinados sistemas. Entre otras medidas, el marco busca que las personas sepan cuándo interactúan con ciertos sistemas de IA y establece obligaciones relacionadas con contenido generado o manipulado artificialmente, incluidos determinados deepfakes.
La mejor defensa sigue siendo combinar tecnología y criterio
La IA hará mejores algunas defensas y también mejores algunos engaños. Por eso la ciberseguridad no puede reducirse a comprar una herramienta. Requiere procesos, formación, copias de seguridad, control de accesos, verificación y una cultura en la que detenerse ante una petición extraña sea una virtud, no una pérdida de tiempo.
La pregunta útil no es “¿puede la IA atacarme?”, sino “¿qué decisión o dato de mi organización podría comprometerse si alguien utiliza IA para engañarnos?”. A partir de ahí empieza una estrategia de seguridad mucho más realista.
Lecturas relacionadas:
La IA también se equivoca · Ciberseguridad e IA: situación y riesgos emergentes
Deja una respuesta