Durante mucho tiempo pensamos que el phishing era fácil de reconocer: un correo mal escrito, una liga extraña, una promesa absurda o un archivo sospechoso. Pero esa idea ya se quedó corta. Hoy los ciberdelincuentes están usando inteligencia artificial para crear mensajes más creíbles, más personalizados y mucho más difíciles de detectar. El problema ya no es solo que una persona “dé clic”. El verdadero riesgo es que ese clic le abra la puerta al atacante para entrar a la empresa como si fuera un usuario legítimo.
El correo electrónico sigue siendo una de las principales puertas de entrada. Todos los días recibimos facturas, avisos de bancos, invitaciones a juntas, documentos compartidos, mensajes de proveedores, notificaciones de recursos humanos o solicitudes internas. En medio de esa rutina, un correo falso bien hecho puede pasar desapercibido.
La diferencia es que hoy ese correo ya no llega aislado. Está conectado con todo el ecosistema digital de la empresa: Microsoft 365, Google Workspace, Teams, OneDrive, calendarios, sistemas de facturación, CRM, aplicaciones financieras y plataformas de autorización. Es decir, si el atacante logra robar una cuenta, puede tener acceso a mucho más que una bandeja de entrada.
Aquí está el punto delicado: el atacante no siempre necesita “hackear” un sistema en el sentido tradicional. Muchas veces le basta con engañar a una persona para que entregue su acceso, autorice una aplicación falsa o inicie sesión en una página que parece legítima. Desde ese momento, el delincuente puede leer correos, revisar documentos, conocer conversaciones internas, identificar pagos pendientes, detectar quién autoriza compras y preparar un fraude mucho más convincente.
Con Inteligencia Artificial, este engaño se vuelve más peligroso. Antes, muchos correos falsos se detectaban por errores de redacción o por mensajes mal traducidos. Ahora la IA permite escribir correos correctos, con buen tono, con urgencia creíble y con apariencia profesional. Un mensaje falso puede parecer enviado por un proveedor, un jefe, un cliente o un área interna de la empresa.
Por ejemplo: “Te comparto la minuta de la junta”, “favor de validar la factura adjunta”, “confirma tu acceso al documento”, “actualiza tu sesión para continuar” o “autoriza este movimiento antes del cierre del día”. En apariencia, son mensajes normales de trabajo. En realidad, pueden ser el inicio de un robo de identidad digital.
En 2026 se han documentado casos que muestran hacia dónde va esta amenaza. Microsoft ha reportado el crecimiento de campañas de phishing que usan códigos QR y pantallas falsas de verificación. Barracuda ha señalado que muchos documentos maliciosos ya incluyen códigos QR para llevar a las víctimas a sitios falsos. El FBI alertó sobre Kali365, una plataforma usada por delincuentes para robar accesos de Microsoft 365 y evadir ciertos controles de seguridad. También se ha hablado de plataformas AiTM, como Tycoon 2FA, utilizadas para robar sesiones activas.
¿Qué es una plataforma AiTM? De forma sencilla, es como un intermediario malicioso. La víctima cree que está entrando a un sitio real, como Microsoft o Google, pero en medio está el atacante copiando la información de acceso. Así puede quedarse con credenciales, tokens o sesiones activas. En otras palabras, aunque el usuario haya usado autenticación en dos pasos, el delincuente puede intentar capturar la sesión y entrar como si fuera él.
Esto es muy grave porque la identidad digital se ha convertido en la llave del negocio. Antes protegíamos mucho el servidor o la computadora. Hoy también debemos proteger la cuenta del usuario, porque desde ahí se accede a documentos, juntas, aprobaciones, bases de datos, clientes, proveedores y dinero.
Los riesgos para una empresa son claros: robo de información, fraude financiero, suplantación de identidad, acceso no autorizado a documentos, manipulación de pagos, pérdida de continuidad operativa, daño reputacional y posibles sanciones si hay datos personales comprometidos.
¿Qué pueden hacer las empresas?
Primero, dejar de ver el correo como un sistema aislado. El correo, la identidad digital y las aplicaciones en la nube deben protegerse como una sola superficie de riesgo.
Segundo, fortalecer los controles técnicos: autenticación resistente al phishing, revisión de sesiones activas, alertas por accesos inusuales, control de aplicaciones autorizadas, monitoreo de reglas sospechosas en buzones y capacidad para cerrar sesiones o revocar accesos cuando exista una sospecha.
Tercero, y muy importante, capacitar mejor a los usuarios digitales. No basta con decirles “no des clic”. Esa frase ya no alcanza. Hay que enseñarles a detenerse, observar, verificar y reportar. Deben aprender a reconocer señales como urgencia excesiva, presión emocional, solicitudes fuera de proceso, ligas inesperadas, archivos que no esperaban o mensajes que “parecen normales” pero llegan en un contexto extraño.
La concientización de seguridad debe evolucionar. Ya no se trata de asustar al usuario ni de culparlo cuando se equivoca. Se trata de prepararlo para tomar mejores decisiones en momentos de presión. Porque muchas veces el ataque no va contra la tecnología, va contra la atención, la confianza, la prisa y la reacción humana.
Ese es precisamente el enfoque de PsicoSecurity 360 unir ciberseguridad con psicología cognitiva y neurociencia para fortalecer el criterio, la atención y la respuesta del usuario digital ante los engaños modernos.
La tecnología puede bloquear muchas amenazas, pero una persona preparada puede evitar que el atacante encuentre la puerta abierta.
Fuentes:
1. Microsoft Security Blog – Email threat landscape Q1 2026
2. Barracuda – 2026 Email Threats Report
https://www.barracuda.com/reports/2026-email-threats-report
3. Proofpoint – Tycoon 2FA: Popular AiTM / PhaaS threat
https://www.proofpoint.com/us/blog/threat-insight/disruption-targets-tycoon-2fa-popular-aitm-phaas
4. FBI / IC3 – Alert on Kali365 phishing platform
https://www.ic3.gov/PSA/2026/PSA260521
5. Cloudflare – 2026 Threat Report
https://blog.cloudflare.com/2026-threat-report
IA CONTRA IA: LA NUEVA GUERRA DIGITAL
Durante décadas, la ciberseguridad se entendió como una clásica persecución del gato y el ratón: grupos de hackers humanos intentando vulnerar las...
julio 30, 2026
Inyección de prompts: Cuando la IA obedece al atacante
La inteligencia artificial puede ser una gran aliada, pero sólo cuando existe claridad sobre quién la controla, qué puede hacer y cómo...
julio 20, 2026
Próspera y Starbase: las ciudades “sin ley” de las tecnológicas
Cuando Próspera, una ciudad en la paradisiaca isla de Roatán (Honduras), fue calificada por el Gobierno hondureño como Zona de Empleo y...
agosto 7, 2026
Los riesgos de mantener una relación romántica con la IA: la privacidad, en juego
Las relaciones románticas con la inteligencia artificial ya no son solo un escenario de ciencia ficción . A medida que los servicios basados...
julio 30, 2026
IA CONTRA IA: LA NUEVA GUERRA DIGITAL
Durante décadas, la ciberseguridad se entendió como una clásica persecución del gato y el ratón: grupos de hackers humanos...
julio 30, 2026
IA FUERA DE CONTROL, COMO SI FUERA CIENCIA FICCIÓN
El hackeo autónomo a Hugging Face no es una escena de Terminator, pero sí un llamado de atención definitivo...
julio 24, 2026