Los correos de phishing con IA ahora parecen perfectos: así puede capacitar a su equipo

Por qué los correos de phishing con IA parecen reales

Antes, el phishing (correos fraudulentos que buscan robar datos o dinero) era fácil de detectar: un idioma mal escrito, un formato extraño, un saludo genérico. La IA eliminó la mayoría de esas pistas. Ahora los delincuentes pueden escribir mensajes pulidos que mencionan el cargo de una persona, un proveedor real o un proyecto en curso, y enviar muchas variantes rápidamente.

El FBI ha advertido que los delincuentes usan IA generativa (en inglés) para hacer el fraude más creíble, incluido el phishing dirigido a personas concretas. Un mensaje puede tener una gramática perfecta y aun así ser malicioso.

Cómo cambió la IA las tácticas del phishing

El objetivo no cambió: contraseñas, dinero, archivos, acceso remoto o programas maliciosos. Lo que cambió es la calidad y la personalización:

• Gramática perfecta: el correo se lee como un aviso normal de recursos humanos, una alerta de envío o un mensaje de Microsoft 365.
• Estilo de redacción copiado: una nota falsa suena como su gerente o su proveedor porque el atacante estudió ejemplos reales.
• Investigación pública: LinkedIn, las páginas del personal y los comunicados de prensa aportan datos verdaderos que hacen que la petición parezca segura.
• Páginas de inicio de sesión falsas: un enlace a una copia convincente de una página de inicio de sesión recoge la contraseña.
• Códigos QR: un código en un correo o un PDF lleva a la víctima al navegador del teléfono, que tiene menos protecciones.
• Llamadas de seguimiento con deepfake: una voz clonada "confirma" el correo. Vea nuestra guía sobre las estafas de clonación de voz con IA.

Señales de alerta que todavía funcionan

Incluso los correos perfectos suelen depender de la presión o de una petición inusual. Enseñe a la gente a juzgar lo que el mensaje le pide hacer:

• Urgencia inesperada: "último aviso", "el pago vence hoy", "su cuenta será desactivada".
• Una petición de iniciar sesión o pagar: ingresar credenciales, aprobar una transferencia, comprar tarjetas de regalo o actualizar los datos de nómina.
• Datos bancarios cambiados: cualquier cuenta o número de ruta nuevo de un proveedor.
• Remitente o enlace que no coinciden: el nombre que se muestra parece correcto, pero la dirección o el dominio del enlace tienen una pequeña diferencia.
• Archivos adjuntos o códigos QR sorpresa: una factura, un documento compartido o un mensaje de voz que usted no esperaba.
• Peticiones de saltarse el proceso: "no le diga a nadie", "estoy en una reunión", "solo por esta vez".

¿La IA puede detectar correos de phishing?

Sí, en parte. La seguridad de correo moderna usa aprendizaje automático para revisar la reputación del remitente, los enlaces, los archivos adjuntos y los patrones de suplantación mucho más rápido que las personas. Pero los atacantes también usan IA para variar la redacción y probar qué pasa los filtros, así que algunos mensajes seguirán llegando a las bandejas de entrada.

Trate el filtrado como una red de seguridad, no como el plan completo. El plan es lo que hacen las personas y los sistemas cuando llega un mensaje convincente.

Defensas que no dependen de encontrar faltas de ortografía

• Autenticación multifactor en todo lo que importa: correo, finanzas, nómina, VPN, cuentas de administrador y archivos compartidos. CISA explica por qué activar la autenticación multifactor (en inglés).
• Inicio de sesión resistente al phishing donde se pueda: las llaves de acceso (passkeys) y las llaves de seguridad basadas en FIDO/WebAuthn no funcionan en un sitio falso. La hoja informativa de CISA sobre MFA resistente al phishing (en inglés) explica las opciones.
• Verifique por teléfono los cambios de pago: llame a un número que ya tenga registrado, nunca a uno que venga en el hilo del correo.
• Un botón para reportar con un clic: la gente debe reportar incluso después de haber hecho clic. El miedo retrasa los reportes; la rapidez limita el daño.
• Autenticación y filtrado del correo: SPF, DKIM y DMARC en su dominio, además del análisis de enlaces y archivos adjuntos.
• Marcadores para iniciar sesión: abra los servicios importantes desde un marcador guardado o desde la aplicación, no desde enlaces de correo.

Capacite a la gente en decisiones, no solo en pistas

Es posible que el personal no pueda saber si un mensaje es malicioso, pero sí puede aprender qué hacer a continuación. Las sesiones cortas de cinco a diez minutos cada mes o cada trimestre funcionan mejor que un curso largo una vez al año. Un ritmo útil:

1. Muestre un ejemplo realista sin faltas de ortografía: una factura falsa, un código QR o una petición de un directivo.
2. Pregunte qué quiere el mensaje: un inicio de sesión, un pago, un archivo, tarjetas de regalo o rapidez.
3. Nombre la vía de verificación: un número de teléfono conocido, la aplicación oficial, el área de informática o el botón de reporte.
4. Acuerden la acción segura: borrar, reportar, verificar o escalar.
5. Dígalo con claridad: un phishing reportado es un incidente evitado, no una molestia.

La página de CISA para reconocer y reportar el phishing (en inglés) es un buen material gratuito para repartir. Combínela con una política de uso aceptable de IA para que el personal sepa qué herramientas están aprobadas.

Un plan de respuesta sencillo

1. Deténgase. No haga clic, no responda, no escanee el código, no apruebe la solicitud ni abra el archivo adjunto.
2. Revise. La dirección del remitente, el destino del enlace, lo que se pide y si encaja con el trabajo normal.
3. Verifique. Use un número de teléfono conocido, un sitio web guardado, la aplicación oficial o un contacto interno.
4. Reporte. Use el botón de reporte o reenvíelo al área de informática, según indique su política.
5. Actúe rápido si algo pasó. Si se ingresó una contraseña, se envió dinero o se abrió un archivo, avise de inmediato a informática y a finanzas, cambie la contraseña y cierre las sesiones activas. Si se movió dinero, llame al banco y presente una denuncia en IC3.gov (en inglés).

Dónde encaja ASL

El phishing a menudo llega por mensaje de texto y por teléfono además de por correo; nuestras guías sobre mensajes de texto fraudulentos y cómo saber si un número es estafa cubren esos canales. Para incorporar pasos de aprobación y protecciones de inicio de sesión en los sistemas de su propio negocio, nuestro servicio de desarrollo de software a medida puede ayudar, o contáctenos para revisar su configuración.

Preguntas frecuentes

¿Cómo detecto un correo de phishing con IA si la gramática es perfecta?

Fíjese en lo que le pide hacer. La urgencia, una petición de iniciar sesión o pagar, datos bancarios cambiados, un remitente o enlace que no coinciden y las peticiones de saltarse los pasos normales son las señales que todavía funcionan.

¿La IA puede detectar correos de phishing?

Las herramientas de seguridad de correo usan aprendizaje automático para bloquear muchos mensajes de phishing, pero algunos siempre pasan. Combine el filtrado con hábitos de verificación, un inicio de sesión sólido y reportes rápidos.

¿Qué es la MFA resistente al phishing?

Métodos de inicio de sesión como las llaves de acceso (passkeys) y las llaves de seguridad basadas en FIDO/WebAuthn. Están ligados al sitio web real, así que una página de inicio de sesión falsa no puede capturar un código que sirva.

¿Cada cuánto debemos hacer capacitación sobre phishing?

Las sesiones cortas cada mes o cada trimestre, con ejemplos realistas sin faltas de ortografía, funcionan mejor que un curso largo una vez al año.

¿Qué debe hacer un empleado después de hacer clic en un enlace de phishing?

Reportarlo de inmediato sin miedo a que lo culpen, cambiar la contraseña desde un dispositivo conocido, cerrar las sesiones activas y avisar al área de informática. Si se movió dinero, llamar al banco y presentar una denuncia en IC3.gov.

Guías relacionadas

• Estafas de clonación de voz con IA: cómo frenarlas
• Mensajes de texto fraudulentos: cómo reconocerlos y denunciarlos
• Política de uso aceptable de IA para una pequeña empresa
• Capacitación en IA para empleados: cómo usarla bien

Conozca el producto completo

Consulte funciones, acceso actual y límites