¿Qué es el phishing con IA y cómo detectarlo?

Una responsable de administración abre el correo de media mañana: «Buenos días, te adjunto la factura rectificativa de marzo. ¿Puedes tramitarla hoy? Si no entra el pago, nos retienen el envío del jueves.» El tono es el de siempre, el español es impecable, el proveedor que firma trabaja de verdad con la empresa y la firma lleva el logotipo correcto. Nada en ese mensaje se parece a una estafa.

Hace unos años ese correo se cazaba a simple vista. Las campañas que llegaban a España venían traducidas a máquina: tildes ausentes, concordancias imposibles, un «estimado cliente» que ningún proveedor español escribe, saltos del tuteo al trato formal dentro del mismo párrafo. Por eso se enseñaba a buscar la falta. Ese reflejo es hoy un punto ciego.

El phishing con IA no es phishing escrito por un robot. Es phishing en el que quien ataca ha delegado en un modelo generativo la parte más cara de su trabajo: redactar en un idioma que no domina, personalizar, producir variantes, imitar un estilo. El resto del ataque sigue exactamente igual.

El phishing es la forma más extendida de ingeniería social: el objetivo no es un sistema, es una persona. Quien hoy manda un correo, mañana llama con una voz sintética y pasado envía un SMS sobre un paquete. Si quieres el panorama completo de lo que la IA le aporta al lado atacante, lo desarrollamos en la IA como herramienta de ataque.

Cómo funciona el phishing

El principio no ha cambiado en veinte años: quien ataca se hace pasar por alguien creíble.

Un banco, una empresa de transporte, un operador, una administración, una marca conocida, un compañero, alguien de la dirección, un cliente. Y casi siempre empuja a actuar deprisa.

Los objetivos habituales son:

• que hagas clic en un enlace,
• llevarte a una página de acceso imitada,
• que abras un archivo adjunto,
• conseguir los datos de tu tarjeta,
• obtener un código de verificación,
• provocar una transferencia,
• entrar en un sistema de la empresa.

El problema no es que el phishing sea espectacular. Es que se parece a un mensaje de trabajo cualquiera.

Las formas que toma en España

Phishing por correo

La forma más conocida. Un mensaje que parece venir de un banco, de una empresa de transporte, de Microsoft, de Google, de un proveedor o de un compañero, con un enlace, un adjunto o una petición de acción rápida.

Los pretextos españoles vuelven por temporadas: una devolución de la Agencia Tributaria en plena campaña de la Renta, una regularización de cuotas de la Seguridad Social, un aviso de corte de suministro eléctrico en enero. El mensaje cae en el momento adecuado del año, y eso basta muchas veces para desarmar la desconfianza.

Conviene tener claro lo que esas entidades no hacen nunca: la Agencia Tributaria no pide datos bancarios ni números de tarjeta por correo o por SMS, y no adjunta formularios para «tramitar la devolución». Cualquier gestión real pasa por su sede electrónica, a la que entras tú por tu cuenta y nunca desde un enlace recibido.

Smishing

Phishing por SMS o por aplicaciones de mensajería. En España gira alrededor de cuatro historias: un paquete que no se entrega por unos céntimos de gastos, una multa de tráfico que va a incrementarse, el «hola mamá, he roto el móvil, este es mi número nuevo» y una solicitud de Bizum disfrazada de cobro, en la que quien recibe cree que le están pagando y en realidad está autorizando un envío.

Hay un detalle que desarma a mucha gente. El remitente alfanumérico de un SMS se puede falsear —esto es suplantación de identidad del remitente, sin más—, así que el mensaje fraudulento puede aparecer dentro del mismo hilo que los avisos reales de tu banco, justo debajo del último legítimo. Que un SMS esté en la conversación correcta no prueba absolutamente nada.

Quishing

El código QR ha resultado ser un envoltorio muy cómodo para quien ataca: no se puede pasar el ratón por encima, la pantalla del móvil recorta la dirección y el destino solo se ve cuando el navegador ya está abierto. En España aparece sobre todo de dos maneras: pegatinas encima del QR legítimo de un parquímetro o de un punto de recarga, y códigos incrustados en un PDF que llega por correo, precisamente porque una imagen atraviesa filtros que un enlace no atraviesa.

Vishing

Phishing por teléfono. La variante española más documentada es el falso empleado del banco: quien llama sabe tu nombre, a veces tus últimos movimientos, hace que aparezca un número parecido al de tu oficina y te pide que valides una operación «para poder bloquearla».

La IA lo hace más difícil de descartar, porque una voz se clona a partir de unos segundos de grabación pública: un webinar, un pódcast, una entrevista, el mensaje del contestador. Ese escenario lo detallamos en la estafa del CEO con deepfake de voz.

Spear phishing

Phishing dirigido. No es un mensaje enviado a miles de personas: es un mensaje preparado para una persona o para una empresa concreta.

Quien ataca busca tu nombre, tu puesto, tus proyectos, tus compañeros, tus clientes, tus proveedores. Después escribe algo que encaja en tu jornada. Las fuentes son públicas y gratuitas: perfiles profesionales, el organigrama de la web, notas de prensa, ofertas de empleo y las adjudicaciones publicadas en la Plataforma de Contratación del Sector Público. Es exactamente el material con el que empieza un test dirigido, y el método está en OSINT e IA.

Estafa del CEO

Es el nombre con el que INCIBE ha fijado esta familia en español, y describe bien lo que ocurre: alguien se hace pasar por la dirección, por un proveedor o por un socio, y consigue que se pague una factura o que se cambie el número de cuenta de un proveedor real.

Casi nunca es un ataque técnico. Es una manipulación preparada: no se compromete ningún sistema, ningún antivirus salta y la pérdida es inmediata. Y la variante que más dinero mueve no es la del directivo que pide una transferencia urgente y confidencial, sino la del cambio de cuenta bancaria en la ficha de un proveedor, que puede tardar semanas en detectarse —hasta que el proveedor de verdad reclama lo que se le debe.

Qué cambia con la IA

El español ya es correcto

Los mensajes fraudulentos ya no necesitan una traducción aproximada. Un modelo generativo escribe un español natural, pone las tildes, mantiene el tuteo o el trato formal según convenga y ajusta el registro al remitente que simula: banco, transportista, administración, compañero de trabajo.

La consecuencia es directa: el consejo de «fíjate en las faltas» ha caducado. Quien siga confiando en él está mirando el indicador equivocado.

El mensaje conoce tu semana

Quien ataca reúne información pública sobre la empresa y sus equipos, y después la convierte en un mensaje con contexto.

Por ejemplo: «Hola Marta, te paso la documentación actualizada de la licitación en la que estás esta semana.» Es bastante más peligroso que un correo genérico, porque el contenido coincide con lo que esa persona está haciendo de verdad en ese momento.

Una campaña es ahora una serie de variantes

En unos minutos se producen decenas de versiones del mismo mensaje para departamentos distintos: administración, recursos humanos, comercial, compras, informática. Cada versión usa el vocabulario y las herramientas del área a la que apunta, lo que aumenta mecánicamente la probabilidad de que al menos una funcione.

La imitación del estilo

Si existen textos públicos de una persona, su estilo se puede imitar: el saludo que usa, sus abreviaturas, la firma, su manera de pedir las cosas. El mensaje pasa entonces por la comunicación normal de un responsable o de un compañero.

Lo que la IA no cambia

La petición. Se sigue queriendo que hagas clic, que escribas una credencial, que pagues o que dictes un código. Por eso las comprobaciones de abajo siguen funcionando: se fijan en la petición, no en el envoltorio, y el envoltorio es justo lo único que la IA mejora de verdad.

Las siete comprobaciones que siguen sirviendo

Cuando un mensaje te chirríe, baja el ritmo. No hace falta ser informático. Bastan unas cuantas preguntas.

1. ¿Me está metiendo prisa?

El phishing usa casi siempre la presión temporal: «inmediatamente», «en 24 horas», «último aviso», «tu cuenta será bloqueada». Cuanta más prisa te metan, más motivos hay para comprobarlo. La prisa no es un accidente del mensaje, es la herramienta.

2. ¿Me pide una contraseña, un código o un pago?

No envíes nunca una contraseña ni un código de verificación por correo, SMS o mensajería. Si alguien te pide el código que acabas de recibir, o que confirmes una notificación en la aplicación del banco, trátalo como una alarma seria. Ningún banco, ninguna administración y ningún servicio de soporte lo piden.

3. ¿La dirección del remitente es la que dice ser?

No mires solo el nombre que se muestra, mira la dirección real. Detrás de «Correos» puede haber un buzón sin ninguna relación con Correos. Vigila las variaciones pequeñas de dominio: letras cambiadas de sitio, un guion añadido, una extensión distinta. Las sedes electrónicas de la Administración General del Estado cuelgan de .gob.es, así que un dominio que sustituye el punto por un guion —sede-agenciatributaria.com— no es de nadie.

4. ¿El enlace lleva donde dice?

No hagas clic por inercia. En el ordenador, pasa el ratón por encima del enlace y lee el destino real antes de pulsar. En el móvil es más difícil, así que ahí conviene todavía más prudencia: mantén pulsado para ver la dirección o, mejor, abre tú la web oficial o el marcador de siempre.

5. ¿Esperabas ese archivo adjunto?

No abras adjuntos que no esperabas, y menos aún facturas, documentos, archivos comprimidos o ficheros que te piden activar macros o volver a iniciar sesión. Un adjunto HTML que abre una pantalla de acceso es phishing casi con total seguridad: nadie manda una página web por correo.

6. ¿El contexto encaja?

Pregúntate: ¿esperaba este mensaje? ¿Tiene sentido que esta persona me escriba? ¿Es normal que pida esto, a esta hora y por este canal? Si la respuesta es no, comprueba.

7. ¿Puedo confirmarlo por otro canal?

Para un pago, un cambio de cuenta bancaria, una petición de acceso o un dato sensible, comprueba siempre por un segundo canal. Llama a un número que busques tú, usa la mensajería interna o levántate y pregunta. No llames nunca al número que viene en el mensaje sospechoso.

Qué cambia esto para una simulación de phishing

Aquí es donde la desaparición de las señales antiguas tiene más efecto, y es lo que más se pasa por alto.

Un escenario calibrado sobre la ortografía ya no mide nada

Muchas campañas internas siguen apoyándose en una plantilla deliberadamente torpe: logotipo deformado, falta visible, remitente inverosímil. La tasa de clics que sale es tranquilizadora y no significa nada. Mide la capacidad de un equipo para detectar un ataque que ya nadie envía.

Un escenario representativo de 2026 está bien redactado, bien maquetado y contextualizado a partir de información pública: un proveedor real, un proyecto real, un calendario real.

Tres niveles de dificultad, no uno

En una campaña que sirve para algo, los escenarios se reparten al menos en tres niveles:

• genérico — un mensaje masivo creíble, que da una base de comparación entre campañas;
• contextualizado — un mensaje alineado con un departamento, con sus herramientas y su vocabulario;
• dirigido — un escenario construido para un grupo pequeño a partir de datos públicos y, en ocasiones, repartido en dos canales: un correo seguido de un SMS o de una llamada.

El tercer nivel funciona casi siempre. Eso no es un fracaso de las personas: es la demostración de que la defensa no puede descansar sobre ellas, y de que la pregunta siguiente es qué pasa después del clic.

La medida útil ya no es la tasa de clics

La tasa de clics de una primera campaña es un punto de partida, no una nota. Frente a un escenario dirigido subirá, por bueno que sea el equipo.

Los indicadores que de verdad hacen avanzar a una organización están en otro sitio:

• la tasa de notificación: cuánta gente reenvió el mensaje al canal interno, incluida la que había hecho clic;
• el tiempo hasta el primer aviso, contado desde el envío, porque es lo que determina si informática puede bloquear el dominio antes de que hagan clic los demás;
• la tasa de credenciales introducidas, mucho más significativa que el clic a secas;
• si la MFA bloqueó realmente el uso de las credenciales capturadas;
• si el procedimiento de pagos aguantó cuando el escenario apuntaba a una transferencia.

Dicho de otra forma: una simulación pone a prueba medidas organizativas, no personas. Los resultados se entregan de forma agregada, nunca nominal.

Frecuencia y progresión

Una única campaña anual produce una cifra, no una tendencia. Un ritmo trimestral, con escenarios distintos y una dificultad que sube, permite comparar lo comparable: el tiempo de aviso de un trimestre al siguiente.

Esa es la lógica de nuestra plataforma PhishGun, que se usa junto a un test de ingeniería social y a un programa de concienciación en ciberseguridad. La simulación produce la medida, la concienciación explica el resultado y el test comprueba qué ocurre cuando una credencial válida cae en malas manos.

El marco español de una simulación

Una simulación de phishing es legal en España, con condiciones que las plataformas mencionan poco.

La plantilla debe estar informada previamente de que estas campañas se realizan. No de la fecha ni del contenido de cada una, lo que las vaciaría de sentido, sino de que existen. El art. 87 de la LOPDGDD obliga además a fijar los criterios de uso de los dispositivos digitales con la participación de la representación de los trabajadores, y el art. 64.5 del Estatuto de los Trabajadores reconoce al comité de empresa el derecho a ser informado y consultado antes de implantar sistemas de organización y control del trabajo. La política de uso o una instrucción interna son los soportes habituales.

Los resultados se entregan agregados. Nadie queda identificado, puntuado ni sancionado: es a la vez una exigencia de buena fe y la condición para que los avisos sigan llegando. Una organización que sanciona el primer clic no recibirá ni un aviso en la tercera campaña.

En protección de datos, la campaña es un tratamiento: se apoya normalmente en el interés legítimo de la empresa, tiene que figurar en el registro de actividades de tratamiento (art. 30 del RGPD) y su plazo de conservación debe estar limitado. Conviene recordar que el art. 32.1.d) del RGPD exige, entre las medidas de seguridad apropiadas, «un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento». Una simulación de phishing es de las pocas maneras de hacer eso sobre el factor humano.

Si tu organización está en el ámbito de aplicación del ENS, la concienciación no es opcional: el Anexo II del Real Decreto 311/2022 recoge la medida de concienciación del personal (mp.per.3), y una campaña periódica con resultados documentados es la evidencia más sencilla de que se está aplicando.

Y como todo trabajo ofensivo, la campaña se ejecuta con mandato escrito y sobre un alcance pactado por contrato. Acceder sin autorización a un sistema de información está tipificado en el art. 197 bis del Código Penal, y el daño a datos o programas informáticos, en el art. 264. La autorización de quien responde por esos sistemas es exactamente lo que separa una prueba de un delito.

Dedicamos un artículo entero a este marco: simulación de phishing y derechos de los trabajadores.

Si alguien ha hecho clic

Cualquiera hace clic. Lo que importa es no entrar en pánico y actuar rápido.

Si solo has hecho clic y no has escrito nada, cierra la página y avisa a informática. Si has introducido una contraseña, cámbiala ya, y cámbiala también en cualquier otro sitio donde la reutilices. Si has dado datos de tarjeta, llama al banco y bloquéala. Si era una cuenta de empresa, avisa sin esperar: que lo sepa alguien más es lo único que reduce el daño.

La peor opción es el silencio por miedo o por vergüenza. Quien ataca cuenta con los incidentes ocultos, porque ese silencio le regala justo las horas que necesita. Un aviso rápido salva una cuenta, un pago y unos datos.

A partir de ahí hay tres canales que conviene tener anotados antes de necesitarlos:

• INCIBE, a través de su línea gratuita y confidencial 017, atiende tanto a particulares como a empresas y orienta sobre los primeros pasos;
• INCIBE-CERT, el equipo de respuesta a incidentes de referencia para empresas y operadores en España, al que se notifican los incidentes por sus canales publicados;
• la AEPD: si hay datos personales comprometidos, la brecha debe notificarse en principio en un plazo de 72 horas desde que se tiene constancia (art. 33 del RGPD) y, cuando el riesgo para las personas sea alto, comunicarse también a quienes se ven afectados (art. 34).

Si ha habido un pago, la denuncia ante la Policía Nacional o la Guardia Civil es además lo que permite al banco intentar la recuperación del importe, y las primeras horas son decisivas.

Cada persona de la organización tiene que saber dónde avisar, y ese aviso tiene que llegar por sí mismo a quien corresponde.

Lo que aguanta en el tiempo

A nivel individual la lista es corta. Activa la autenticación multifactor (MFA), mejor con una aplicación o una llave física que por SMS. Mantén los dispositivos actualizados. No repitas contraseña y usa un gestor que, como efecto secundario muy útil, se niega a rellenar el formulario de un dominio imitado, y ese silencio ya es una señal. Y comprueba las peticiones raras.

En la empresa, lo que produce un efecto duradero es lo que no depende de que nadie esté alerta:

• un botón de aviso en el correo, o una dirección única, que ponga el mensaje sospechoso en manos de informática con un gesto;
• un procedimiento de pagos escrito: todo cambio de cuenta bancaria de un proveedor se verifica llamando a un número que ya tenías, y por encima de un importe pactado hacen falta dos validaciones;
• medidas técnicas sobre el correo: SPF, DKIM y DMARC en política de rechazo, más un marcado visible de los remitentes externos;
• MFA resistente al phishing en las cuentas críticas: un código de un solo uso se puede pedir y reenviar en tiempo real desde una página imitada, mientras que una llave FIDO2 o una passkey están vinculadas al dominio legítimo y no responden a otro;
• atención a la fatiga de MFA: repetir peticiones de aprobación hasta que alguien acepta es en sí misma una técnica de ataque;
• simulaciones periódicas que comprueben que el circuito de aviso funciona de verdad, y no que la plantilla sabe detectar una falta de ortografía.

Preguntas frecuentes

Conclusión

El phishing con IA es peligroso porque parece normal. No necesita ninguna proeza técnica: toma prestada una comunicación corriente, una carga de trabajo corriente y una confianza corriente.

La defensa se enuncia en una línea: baja el ritmo, comprueba la petición en lugar de la forma, no hagas clic por inercia y no cedas a la prisa. Y construye alrededor de las personas una organización en la que un clic suelto no llegue a convertirse en un incidente.

Nuestros servicios relacionados: test de ingeniería social y campañas de phishing simulado · concienciación en ciberseguridad para tu plantilla