El jefe de seguridad de Magnific avisa: el phishing con IA ya es otra cosa, y el único escudo real es la palabra secreta con tu familia

El phishing ha dejado de ser ese correo mal escrito que todos reconocíamos al instante. Ahora, los ciberdelincuentes utilizan inteligencia artificial para clonar voces de familiares, crear videollamadas con deepfakes o suplantar a directivos de empresas con audios hiperrealistas. Daniel Púa, responsable de seguridad de Magnific —empresa especializada en herramientas creativas con IA—, advierte que el panorama ha cambiado radicalmente. Lo que antes era un intento burdo de estafa, hoy es una amenaza personalizada y difícil de detectar.

El salto tecnológico es evidente. Los primeros ataques se basaban en correos con errores gramaticales o enlaces sospechosos. Después, los modelos de lenguaje eliminaron esos fallos, haciendo que los mensajes fueran más convincentes. Pero la tercera generación, la que más preocupa, utiliza voces clonadas y videollamadas falsas. Con solo unos segundos de audio —extraídos de mensajes de WhatsApp, redes sociales o grabaciones—, los estafadores pueden replicar la voz de un ser querido. Las videollamadas deepfake, aunque menos comunes en ataques a particulares, ya han causado pérdidas millonarias en empresas. Un caso reciente en Hong Kong demostró cómo un empleado transfirió 25 millones de dólares tras una videollamada donde todos los participantes, excepto él, eran falsos.

La lógica del ataque: empresas primero, usuarios después

Los ciberdelincuentes siguen una estrategia clara: primero atacan a empresas, donde las ganancias son mayores, y luego escalan a usuarios particulares. Un ataque exitoso contra un empleado con acceso a transferencias puede reportar millones, mientras que estafar a miles de personas, aunque con beneficios menores por individuo, resulta rentable por volumen. Púa explica que, una vez perfeccionadas las técnicas en entornos corporativos, los delincuentes las adaptan para el público general. La urgencia sigue siendo la táctica clave, pero ahora combinada con voces o imágenes que activan respuestas emocionales, dificultando que el cerebro active el escepticismo.

Ante este escenario, la tecnología avanza para ofrecer soluciones, como herramientas de detección de llamadas falsas en móviles o sistemas que analizan patrones sospechosos. Sin embargo, Púa insiste en que la mejor defensa no requiere software avanzado: establecer una segunda vía de verificación y una contraseña familiar. Si un supuesto familiar pide dinero por teléfono, lo lógico es confirmarlo por otro canal, como WhatsApp. Y si la petición es inusual, solicitar una palabra secreta que solo conozca la familia. Un deepfake no podrá replicar ese detalle, por muy realista que suene la voz o parezca la imagen.

Qué significa para tu negocio

Si gestionas una pyme, un estudio de reformas o una inmobiliaria, esta evolución del phishing te afecta directamente. Tus empleados pueden recibir llamadas o mensajes que parezcan legítimos, ya sea de un proveedor, un cliente o incluso de ti mismo. Un error en una transferencia o el envío de datos sensibles puede suponer pérdidas económicas o dañar tu reputación. La solución no es solo tecnológica: forma a tu equipo para que verifique siempre las peticiones urgentes por un segundo canal y establece protocolos claros, como contraseñas internas para confirmar identidades. En un mundo donde la IA facilita el engaño, la prevención más efectiva sigue siendo la más humana: la desconfianza inteligente y la doble comprobación.