La inteligencia artificial está cambiando la forma en que las organizaciones trabajan, toman decisiones y protegen sus activos. También está modificando el ecosistema de la ciberdelincuencia. No porque haya sustituido de repente todas las técnicas conocidas, sino porque puede reducir el tiempo, el coste y el esfuerzo necesarios para preparar determinadas campañas maliciosas.
Este cambio tiene una consecuencia importante para las empresas: algunas amenazas pueden ser más convincentes, personalizadas y escalables. La respuesta no consiste en perseguir cada nueva herramienta, sino en reforzar los fundamentos de seguridad, mejorar la capacidad de verificación y adaptar la gestión del riesgo a un entorno más dinámico.
Qué está cambiando en la ciberdelincuencia
La IA puede ayudar a los delincuentes a automatizar tareas que antes requerían más tiempo o conocimientos especializados. Entre ellas se encuentran la generación de textos, la traducción, la clasificación de información pública o la adaptación de mensajes a distintos perfiles.
Esto no elimina la necesidad de planificación ni garantiza el éxito de un ataque. Sin embargo, sí puede aumentar la productividad de quienes ya intentan cometer fraude, robar información o comprometer cuentas. El efecto más relevante para muchas empresas es la escala: una campaña puede adaptarse a más destinatarios y variar sus mensajes con mayor rapidez.
Los avances también afectan a la credibilidad. Un correo fraudulento puede presentar una redacción más natural, imitar mejor el estilo corporativo o incorporar detalles que parezcan coherentes con la actividad de la persona destinataria. Del mismo modo, una llamada o una videoconferencia suplantada puede complicar la identificación de señales que antes resultaban más evidentes.
El riesgo no depende solo de que una falsificación sea perfecta, sino de que encaje con un proceso real y llegue en el momento adecuado.
El fraude deja de depender de errores evidentes
Durante años, muchas campañas fraudulentas podían detectarse por faltas de ortografía, traducciones deficientes o peticiones poco creíbles. Esos indicios siguen siendo útiles, pero ya no deberían constituir la principal barrera de protección.
Una empresa necesita asumir que un mensaje malicioso puede estar bien redactado, utilizar información pública correcta y aparentar proceder de una persona conocida. Por eso, la defensa debe apoyarse en controles independientes del contenido del mensaje.
Algunos ejemplos son:
- Verificar por un canal alternativo cualquier cambio de cuenta bancaria, solicitud urgente o transferencia extraordinaria.
- Establecer límites y aprobaciones para operaciones financieras sensibles.
- Utilizar autenticación multifactor resistente a métodos habituales de suplantación cuando sea posible.
- Revisar las reglas de reenvío y acceso de los sistemas de correo.
- Facilitar un canal sencillo para reportar mensajes, llamadas o solicitudes sospechosas.
- Evitar que una sola persona pueda iniciar y aprobar operaciones de alto impacto.
Estos controles no impiden todos los intentos, pero reducen la dependencia de que alguien identifique una señal concreta en un momento de presión.
Suplantación de identidad y confianza digital
La combinación de información pública, datos filtrados y herramientas generativas puede facilitar la creación de perfiles falsos más consistentes. El objetivo puede ser hacerse pasar por un directivo, un proveedor, un compañero de trabajo o incluso un familiar de una persona con capacidad de decisión.
La prevención requiere revisar cómo se confirma la identidad dentro de la organización. La voz, la imagen o el estilo de escritura ya no deberían considerarse pruebas suficientes por sí solos. La identidad debe validarse mediante factores y procedimientos que no dependan exclusivamente de aquello que el atacante puede imitar.
También conviene revisar la exposición innecesaria de información. Publicar funciones, proyectos, calendarios, relaciones con proveedores o detalles sobre procesos internos puede aportar contexto útil para construir engaños más creíbles.
Esto no significa que las empresas deban ocultar toda su actividad ni que las personas tengan que desaparecer de Internet. La medida adecuada consiste en identificar qué información es necesaria para el negocio, qué datos revelan relaciones sensibles y quién debe autorizar su publicación.
Automatización defensiva y límites de la IA
La misma tecnología que puede facilitar ataques también puede ayudar a la defensa. Las organizaciones pueden utilizarla para clasificar alertas, resumir grandes volúmenes de registros, detectar patrones anómalos, asistir en la respuesta y apoyar la formación.
No obstante, introducir IA en un proceso de seguridad no equivale a automatizar sin supervisión. Un sistema puede cometer errores, interpretar mal una situación o generar conclusiones que parezcan razonables pero no estén suficientemente fundamentadas.
Antes de incorporar una solución conviene definir:
- Qué decisiones puede apoyar y cuáles deben seguir dependiendo de una persona.
- Qué datos utilizará, dónde se procesarán y durante cuánto tiempo se conservarán.
- Cómo se comprobarán sus resultados y cómo se documentarán los errores.
- Qué ocurre si el servicio deja de estar disponible o proporciona una recomendación incorrecta.
- Cómo se controlarán los accesos, los permisos y la información sensible empleada por la herramienta.
La automatización debe reducir tiempos sin eliminar la responsabilidad. En particular, las decisiones que puedan afectar a empleados, clientes, proveedores o a la continuidad del negocio necesitan criterios claros y supervisión adecuada.
Nuevos riesgos para los datos y los modelos
La adopción de sistemas de IA abre superficies de riesgo adicionales. La información introducida en una herramienta puede contener datos personales, secretos comerciales, código, contratos o detalles de incidentes. Si no existen controles, esa información puede acabar en entornos no autorizados o utilizarse de forma incompatible con las políticas internas y las obligaciones aplicables.
También hay riesgos relacionados con los propios sistemas de IA. Un modelo puede recibir instrucciones manipuladas, generar respuestas incorrectas o exponer información que no debería revelar. En aplicaciones conectadas a documentos, bases de datos o herramientas corporativas, una configuración excesivamente permisiva puede ampliar el impacto de un error o de un acceso indebido.
La gestión debe incluir inventario, clasificación de usos, control de identidades, revisión de proveedores, pruebas y supervisión continua. No basta con publicar una prohibición general. Los empleados necesitan saber qué herramientas están autorizadas, qué información no deben compartir y qué alternativa pueden utilizar para realizar su trabajo.
Cómo debería prepararse una empresa
Una estrategia razonable empieza por priorizar los escenarios con mayor impacto para la organización. No todas las empresas tienen la misma exposición ni dependen de los mismos procesos. Para algunas, el riesgo principal estará en los pagos; para otras, en el acceso a información confidencial, la interrupción operativa o la suplantación de clientes.
El análisis puede organizarse alrededor de varias preguntas:
- ¿Qué cuentas, procesos y activos permitirían causar más daño si fueran comprometidos?
- ¿Cómo se verificaría una solicitud urgente de una persona directiva o de un proveedor?
- ¿Qué señales indicarían una toma de control de una cuenta?
- ¿Quién puede detener una operación sospechosa y quién debe ser informado?
- ¿Qué registros permitirían reconstruir lo ocurrido?
- ¿Qué capacidad existe para recuperar la actividad si los sistemas principales no están disponibles?
Las respuestas deben probarse. Un procedimiento que solo existe en un documento puede fallar cuando coinciden presión, incertidumbre y falta de disponibilidad de las personas clave.
La formación también debe evolucionar. En lugar de limitarse a explicar cómo reconocer un correo extraño, debería practicar situaciones como una llamada urgente, una solicitud de cambio de datos bancarios, una videollamada inesperada o el uso de una herramienta de IA no autorizada. El objetivo no es crear desconfianza permanente, sino establecer hábitos verificables.
Señales para dirección y responsables de seguridad
La dirección necesita observar si la organización está reduciendo su exposición real. El número de alertas, simulaciones o herramientas desplegadas no basta para conocer la madurez defensiva.
Algunas métricas útiles pueden relacionarse con el tiempo de detección, la capacidad de revocar accesos, la cobertura de autenticación multifactor, la revisión de cuentas privilegiadas, la realización de pruebas de recuperación y el porcentaje de procesos críticos con verificaciones independientes.
También conviene conocer las dependencias externas: proveedores de correo, plataformas de IA, servicios de identidad, sistemas financieros y herramientas que concentran información sensible. Un incidente en uno de esos servicios puede alterar la capacidad de operar o de investigar.
La conversación debe centrarse en riesgo y resiliencia, no solo en tecnología. La pregunta no es únicamente qué herramienta utiliza la empresa, sino qué ocurriría si un atacante consiguiera imitar a una persona de confianza y cuánto tardaría la organización en detectarlo, contenerlo y recuperarse.
Acciones concretas para empezar
La evolución de la ciberdelincuencia no exige respuestas improvisadas, pero sí una revisión consciente de los controles existentes. Como punto de partida, una empresa puede:
- Identificar los procesos en los que una suplantación tendría mayor impacto.
- Establecer verificaciones fuera de banda para pagos, cambios de proveedores y solicitudes excepcionales.
- Revisar la autenticación y los permisos de las cuentas críticas.
- Inventariar los usos internos de herramientas de IA y clasificar la información que se introduce en ellas.
- Formar a los equipos con escenarios realistas, no solo con ejemplos de correos mal redactados.
- Comprobar que los registros, las alertas y los procedimientos de respuesta funcionan en la práctica.
- Ensayar la recuperación de los servicios y la comunicación durante un incidente.
La IA puede aumentar la capacidad de los atacantes, pero también puede impulsar mejores defensas. La diferencia estará en cómo la organización combine tecnología, procesos, criterio profesional y responsabilidad. Prepararse no consiste en adivinar el próximo ataque, sino en hacer que los engaños sean más difíciles de ejecutar y menos dañinos cuando alguno consiga superar una barrera.
