La IA como herramienta de ataque: qué cambia de verdad
Lo esencial
- La IA no cambia el objetivo de un atacante —dinero, accesos, datos— ni sus puertas de entrada. Cambia lo que le cuesta prepararse.
- Un castellano impecable ya no prueba que un correo sea legítimo, y las faltas de ortografía han dejado de ser el criterio útil.
- La voz clonada traslada la estafa del CEO del correo al teléfono.
- Tus propios asistentes y agentes de IA son superficie de ataque: prompt injection, pipelines RAG, permisos de agente y servidores MCP.
- En un test no cambia el método, cambia el realismo exigible: pretextos documentados, campañas multicanal y una contraauditoría que comprueba que el procedimiento corregido aguanta.
La IA ya está en el día a día de tu empresa, y también en el de quien intenta entrar en ella. Casi todo lo que se publica sobre el asunto envejece en tres meses, porque describe una herramienta en lugar de un mecanismo.
La pregunta que sí aguanta es otra: ¿qué parte del trabajo de un atacante costaba cara ayer y hoy no cuesta casi nada? La preparación. Redactar un correo creíble en un idioma que no se habla, reconstruir un organigrama, imitar el tono interno de una compañía, generar cien variantes del mismo pretexto. Eso eran horas y ahora son minutos.
Esta página es el punto de entrada de la serie y cada pieza se desarrolla aparte: el phishing generado con IA, la estafa del CEO con deepfake de voz, el OSINT y la fabricación del pretexto y la IA para la defensa frente a ciberataques.
Lo que la IA cambia y lo que no
Cambian tres cosas. El idioma: un atacante escribe un castellano de empresa correcto sin hablarlo y ajusta el registro a quien lee, con el tratamiento adecuado y el nombre del proyecto en el asunto. La personalización: los fragmentos públicos de una organización —un contrato anunciado, una vacante, un proveedor— se recomponen en una historia coherente. La escala: una variante por departamento, por puesto y por idioma, todas de golpe.
El mismo movimiento llega al código. Hay modelos que leen un repositorio, reproducen un fallo y proponen el parche. Eso es una ventaja para quien defiende, pero también acorta el plazo entre el momento en que una debilidad se conoce y el momento en que alguien la explota. Traducido a la práctica: aplazar una actualización sale más caro que antes.
Y no cambian otras tres. El objetivo sigue siendo el dinero, el acceso, el dato y la confianza. Las puertas de entrada siguen siendo un adjunto, un enlace, una llamada, una cuenta sin segundo factor y un servicio expuesto sin parchear. Y las medidas que funcionan siguen siendo aburridas: verificación por un segundo canal, autenticación resistente al phishing, procedimientos de pago escritos, parches aplicados y tests periódicos.
El phishing ya no se reconoce por el idioma
El phishing sigue siendo el camino más barato hasta una cuenta o hasta una transferencia, porque no ataca la tecnología: ataca una decisión.
Durante años, el consejo que se daba a la plantilla se apoyaba en la forma. Faltas de ortografía, traducciones raras, logotipos mal recortados. Ese consejo está caducado, y conviene retirarlo de tus materiales internos antes de que alguien lo aplique: un correo fraudulento puede estar mejor escrito que la media de los que circulan por tu organización.
Las señales que siguen sirviendo están en el fondo de la petición, no en su superficie:
- una transferencia, un cambio de cuenta bancaria de un proveedor o un pago adelantado;
- un código de un solo uso, una contraseña o una confirmación de acceso en el móvil;
- un acceso que se pide por un enlace en lugar de por el camino de siempre;
- una urgencia que es, justamente, lo que impediría verificar.
De ahí el cambio de instrucción: deja de pedir a tu equipo que detecte un correo falso y pídele que verifique una petición. Lo primero depende del ojo de cada persona; lo segundo, de un procedimiento que puedes escribir, probar y corregir.
La voz entra en el perímetro
El fraude sale del texto. Bastan unos segundos de audio —un webinar, una entrevista, una reunión grabada, un vídeo corporativo— para generar una voz reconocible.
El guion, en cambio, no tiene nada de nuevo. El departamento de administración recibe una llamada: la voz es la de la dirección general, está de viaje, la operación es confidencial y tiene que salir hoy. Es la estafa del CEO, que INCIBE lleva años documentando con ese nombre. Las variantes apuntan a las nóminas, a los datos bancarios de un proveedor o al servicio de soporte, donde alguien llama haciéndose pasar por un compañero para que le restablezcan el segundo factor.
Lo que cambia no es el guion, es el precio de entrada: ya no hace falta saber imitar a nadie. Por eso la contramedida no está en el oído, sino en el proceso. Ninguna transferencia excepcional y ningún cambio de cuenta bancaria se ejecutan sin confirmación por un segundo canal acordado de antemano, llame quien llame y con la urgencia que sea.
Si el fraude ya ha ocurrido, dos cosas a la vez y en minutos: aviso a tu entidad bancaria para intentar la retrocesión de la orden y denuncia ante el Grupo de Delitos Telemáticos de la Guardia Civil o ante la Policía Nacional. INCIBE atiende consultas por el 017 e INCIBE-CERT es el punto de referencia para la gestión del incidente en empresas.
El OSINT: la materia prima la publicas tú
Un pretexto creíble no se inventa, se documenta. Y en España la materia prima es pública, gratuita y está indexada: el BORME publica nombramientos y ceses de administradores, las cuentas depositadas en el Registro Mercantil dibujan la estructura, la Plataforma de Contratación del Sector Público expone pliegos donde figuran con nombre y versión los productos que una organización compra, tus ofertas de empleo enumeran tu pila tecnológica mejor que ninguna herramienta, las redes profesionales reconstruyen el organigrama y tus notas de prensa marcan el calendario de los proyectos.
La IA no abre ninguna fuente nueva: elimina el tiempo de cruzarlas. Donde antes hacía falta una mañana para entender quién aprueba qué en tu empresa, ahora hay un resumen en unos minutos. Es exactamente el mismo material con el que se construye el correo que abrirá alguien de tu equipo el martes por la mañana.
Tu propia IA también es superficie de ataque
Al desplegar asistentes, buscadores internos y agentes, añades una superficie expuesta cuyos defectos ya están bastante caracterizados: la prompt injection directa, en la que quien usa el sistema desvía sus instrucciones; la indirecta, más interesante para un atacante, en la que la instrucción se deja escrita dentro de un documento que tu pipeline RAG ingerirá más tarde; la fuga de contexto entre usuarios; los permisos excesivos de un agente que lee un buzón, llama a una API y ejecuta una acción; y los servidores MCP expuestos sin un control de acceso serio.
Añade el ciclo de vida del modelo. Los datos de entrenamiento y los de ajuste fino son un activo más, y quien consigue escribir en ellos condiciona lo que el sistema responderá dentro de seis meses, cuando ya nadie recuerde de dónde salió ese documento.
Ninguno de estos defectos se arregla con un mensaje de sistema mejor redactado. Son cuestiones de arquitectura, de aislamiento y de autorización, y se demuestran con un test, no con un cuestionario de proveedor. Lo tratamos en pentesting de IA y LLM y, con más detalle técnico, en pentesting de integraciones LLM.
Qué cambia esto en un test
Un ejercicio de test de ingeniería social diseñado antes de este cambio mide lo que no importa: enviar un mensaje genérico a mil direcciones y contar clics ya no dice gran cosa, porque no es eso lo que vas a recibir.
El pretexto se documenta. Se apoya en lo que un atacante encontraría de verdad sobre tu organización, a partir de fuentes abiertas, dentro del alcance contratado y sin investigar a personas concretas. Por eso el resultado es comparable a un ataque real y no a un ejercicio de laboratorio.
La campaña se vuelve multicanal. Un correo seguido de una llamada pone a prueba tus procedimientos; un correo solo pone a prueba una atención. Un escenario de cambio de cuenta bancaria de un proveedor vale por diez avisos de paquete no entregado.
Cambian los indicadores. El porcentaje de clics es apenas el dato de entrada. Importa más cuánta gente lo notifica y en cuánto tiempo, y sobre todo si el procedimiento de pago aguantó cuando alguien sí se dejó convencer. Una organización en la que pican quince personas pero la transferencia se detiene está mejor que otra en la que pican tres y el dinero sale.
Los resultados se entregan agregados. Sin listas con nombres y sin sanciones individuales: una campaña que busca culpables destruye justo la información que necesitas, que es que te avisen pronto. Además, en España una simulación de phishing toca derechos de la plantilla —información previa, informe del comité de empresa donde lo haya y entrega agregada—, y eso lo desarrollamos en simulación de phishing y derechos de los trabajadores.
La continuación natural es la concienciación en ciberseguridad, en sesiones cortas ancladas en los resultados de la campaña en lugar de en diapositivas genéricas. Y como en cualquier test, la contraauditoría va incluida y sin coste añadido: volvemos a comprobar que el procedimiento corregido resiste el mismo escenario.
Lo que la norma ya exige
Los ataques asistidos por IA son nuevos; las obligaciones que los rodean, mucho menos.
El art. 32.1.d) del RGPD exige un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas. Es la disposición europea que nombra la prueba periódica, y vale igual para tu procedimiento de pagos que para tus servidores. Si el fraude termina en una brecha de datos personales, entran además el art. 33, con la notificación a la AEPD en 72 horas, y el art. 34, con la comunicación a las personas afectadas.
Si trabajas para el sector público o eres proveedor suyo, el ENS (RD 311/2022) llega por contrato: su Anexo II nombra literalmente las «pruebas de penetración» entre los refuerzos de la medida [op.mon.3] de monitorización del sistema. Qué obliga exactamente, a quién y en qué categoría lo desarrollamos en qué exige realmente el ENS sobre pentesting. Conviene decirlo sin rodeos: Haxoris no está acreditada por ENAC ni es entidad de certificación, y no expide certificaciones de conformidad con el ENS. Lo que entregamos es el informe técnico que sirve de evidencia ante quien audita.
NIS2 no está transpuesta en España a día de hoy, así que ninguna obligación nacional deriva todavía de la directiva; lo que está en vigor y lo que no, en NIS2 en España: qué obliga hoy y qué no. Cosa distinta es el Reglamento de Ejecución (UE) 2024/2690, directamente aplicable sin transposición, que fija los requisitos técnicos de las medidas para proveedores de DNS, servicios en la nube, centros de datos, servicios gestionados y mercados en línea, e incluye entre ellos las pruebas de seguridad periódicas.
El Reglamento (UE) 2024/1689 de inteligencia artificial impone obligaciones de transparencia a quien proporciona y a quien despliega sistemas que generan contenido sintético: marcado del contenido y aviso cuando la persona está interactuando con una máquina. Sirve para el uso legítimo y no tiene el menor efecto sobre un atacante. No lo conviertas en un método de detección.
Y lo que separa a un atacante de quien hace el test no es la técnica, es el mandato. Todos nuestros trabajos se ejecutan con autorización escrita y sobre un alcance definido en contrato; sin ese mandato, los mismos actos caen en los arts. 197 bis y 264 del Código Penal, acceso ilícito a un sistema de información y daños informáticos.
Este artículo es informativo y no constituye asesoramiento jurídico. Las obligaciones aplicables a tu organización dependen del sector, del tamaño y del tipo de tratamientos que realiza; conviene contrastarlas con tu asesoría. Última verificación: 12 de septiembre de 2026.
Cuatro medidas que aguantan
- Verifica toda petición urgente por un segundo canal: un número que ya tuvieras, nunca el que viene en el mensaje.
- Despliega autenticación resistente al phishing. Una llave de seguridad o una passkey están ligadas al dominio; un código por SMS se puede pedir en tiempo real y se entrega sin darse cuenta.
- Escribe el procedimiento de pagos. Ninguna transferencia excepcional ni ningún cambio de cuenta bancaria sin doble validación, y que la excepción no dependa de quién llame.
- Pon a prueba las medidas con un test de intrusión —una lista de vulnerabilidades no es una demostración, y la diferencia está en análisis de vulnerabilidades o pentest— y verifica después las correcciones con una contraauditoría.
Conclusión: el objetivo no ha cambiado; la calidad de los ataques, sí
Lo que busca un atacante sigue siendo lo mismo: dinero, datos, accesos y confianza. Lo que ha cambiado son sus herramientas de preparación. Y ninguna de las cuatro medidas de arriba es espectacular. Precisamente por eso funcionan: encarecen todos los escenarios a la vez, en lugar de uno solo.
Haxoris es un proveedor europeo, una empresa establecida en la Unión Europea con oficinas en Bratislava y Praga. Tus datos y tus informes se quedan en la Unión: sin transferencias internacionales del capítulo V del RGPD y sin cláusulas contractuales tipo, porque el RGPD se nos aplica directamente. Nuestras tarifas son públicas, la contraauditoría va incluida y sabes con nombre y apellidos quién hace el test. Para saber cómo están hoy tus procedimientos, solicita tu presupuesto.
IA y ciberataques: preguntas frecuentes
01¿La IA hace más peligrosos los ciberataques?
No cambia el objetivo de un atacante —una transferencia, un acceso, unos datos— ni sus puertas de entrada. Cambia el coste de la preparación. Escribir un correo creíble en un idioma que no se habla, reconstruir un organigrama o generar cien variantes del mismo pretexto eran horas de trabajo y hoy son minutos. Lo que sube es el volumen de intentos plausibles, no la naturaleza de la amenaza.
02¿Cómo se reconoce un phishing escrito con IA?
Por el idioma, ya no. Las faltas de ortografía y las traducciones torpes sirvieron de señal durante años y han dejado de ser fiables. Lo que sigue sirviendo está en el fondo de la petición: una transferencia, un cambio de cuenta bancaria de un proveedor, un código de un solo uso, un acceso que se pide por un enlace en lugar de por el camino habitual y una urgencia que es justo lo que impediría verificar. La regla práctica es devolver la llamada a un número que ya tuvieras, nunca al que viene en el mensaje.
03¿Cómo protegerse de una llamada con voz clonada?
Con el procedimiento, no con el oído. Unos segundos de audio de un webinar, un pódcast o un vídeo corporativo bastan para generar una voz convincente. La contramedida es un procedimiento de pagos en el que ninguna transferencia excepcional y ningún cambio de cuenta bancaria se ejecutan sin confirmación por un segundo canal acordado de antemano, llame quien llame y sea cual sea la urgencia invocada. Es lo que en España se conoce como estafa del CEO.
04¿Hay que poner a prueba las aplicaciones de IA propias?
En cuanto un asistente, un pipeline RAG o un agente tiene acceso a tus datos o a una herramienta que ejecuta acciones, sí. Los defectos característicos son la prompt injection directa e indirecta, la fuga de contexto entre usuarios, los permisos excesivos de un agente y los servidores MCP expuestos sin control de acceso. Son problemas de arquitectura y de autorización, y se demuestran con un test, no con un cuestionario de proveedor.
05¿Es legal hacer una simulación de phishing a la plantilla en España?
Sí, con tres condiciones. La plantilla está informada de antemano de que existe el dispositivo, normalmente en la política de uso de los medios digitales, cuyos criterios se fijan con participación de la representación de las personas trabajadoras (art. 87.3 de la LOPDGDD). Donde hay comité de empresa, este emite informe previo sobre la implantación de sistemas de organización y control del trabajo (art. 64.5 del Estatuto de los Trabajadores). Y los resultados se entregan agregados, sin listas con nombres y sin sanciones individuales, dentro del límite del art. 20.3 del Estatuto.
