Durante años, detectar un intento de phishing podía ser relativamente sencillo: errores de ortografía, saludos genéricos, traducciones deficientes o una redacción poco natural funcionaban como señales de alerta. La inteligencia artificial generativa está haciendo desaparecer muchas de esas pistas.
El cambio no necesariamente se traduce en una mayor cantidad de ataques, sino en campañas más convincentes, personalizadas y difíciles de identificar. Los ciberdelincuentes pueden utilizar modelos de IA para generar mensajes en segundos, adaptar el tono a una empresa determinada e incorporar información real sobre sus potenciales víctimas.
Según el Global Cybersecurity Outlook 2026 del Foro Económico Mundial, el 94% de los profesionales de ciberseguridad considera a la inteligencia artificial como el principal factor de cambio en el panorama de amenazas de este año. Los ataques de phishing generados con IA, además, aumentaron 1.265% desde fines de 2022.
La tendencia también alcanza a América Latina. El Informe de Fraude de Identidad 2025-2026 de Sumsub registró un incremento del 180% en fraudes avanzados que combinan ingeniería social con identidades generadas por IA en la región. Por su parte, el Informe de Tendencias de Fraude Bancario Digital 2026 de BioCatch detectó un crecimiento del 155% en las estafas de ingeniería social.
Argentina: menos incidentes, pero ataques más sofisticados
El escenario argentino muestra una aparente contradicción. Mientras el volumen general de incidentes reportados cayó un 20%, las estafas de ingeniería social crecieron 183% interanual y el uso de deepfakes aumentó 66%, de acuerdo con los datos relevados por los informes.
La tendencia refleja una transformación en la lógica del ciberdelito: la cantidad deja de ser el único indicador relevante. Con herramientas capaces de automatizar tareas que antes requerían tiempo, conocimiento técnico y preparación, los atacantes pueden concentrarse en operaciones más personalizadas.
Un correo fraudulento, por ejemplo, puede estar perfectamente redactado, utilizar el vocabulario habitual de una organización y hacer referencia a información pública de una persona obtenida de redes sociales, sitios corporativos u otras fuentes abiertas.
De correos falsos a voces clonadas e identidades sintéticas
La transformación tampoco se limita al phishing tradicional. La IA generativa amplió las posibilidades de la ingeniería social hacia otros canales y formatos.
Una de las técnicas que gana relevancia es el vishing, que utiliza llamadas telefónicas para engañar a las víctimas. Las herramientas de clonación de voz permiten imitar a directivos, compañeros de trabajo o incluso familiares para solicitar transferencias, información confidencial o credenciales.
A esto se suman los deepfakes y las identidades sintéticas. Selfies creadas artificialmente, imágenes manipuladas y documentos generados digitalmente pueden utilizarse para intentar vulnerar procesos de validación de identidad, especialmente en servicios financieros y plataformas digitales.
La principal diferencia respecto de años anteriores es la accesibilidad. Ya no es necesario contar con conocimientos técnicos avanzados para producir contenidos fraudulentos convincentes: muchas de esas tareas pueden automatizarse o realizarse mediante herramientas disponibles comercialmente.
Cómo cambia la defensa frente al phishing con IA
El nuevo escenario también obliga a revisar algunas estrategias tradicionales de concientización. Enseñar a los empleados a desconfiar de un correo porque tiene errores de ortografía sigue siendo útil, pero resulta insuficiente cuando un modelo generativo puede producir un mensaje prácticamente indistinguible de una comunicación legítima.
Por eso cobran mayor relevancia mecanismos adicionales de protección, como la autenticación multifactor, el monitoreo continuo de comportamiento y las tecnologías de detección de vida o liveness detection, utilizadas para verificar que detrás de determinadas operaciones exista una persona real y no una identidad generada o manipulada digitalmente.
En Argentina, además, el Banco Central de la República Argentina (BCRA) avanzó con requisitos de autenticación reforzada para determinadas operaciones y servicios financieros digitales, en un contexto en el que el robo de credenciales y la manipulación de usuarios se convirtieron en vectores cada vez más relevantes.
“La IA generativa igualó la cancha: hoy cualquiera puede lanzar un ataque de ingeniería social de calidad profesional. Por eso la defensa no puede depender de que un empleado detecte un error de tipeo; tiene que depender de un equipo y una tecnología que monitoreen el comportamiento las 24 horas”, explicó Sergio Oroña, CEO de SparkFound.
Para Oroña, además, la velocidad de respuesta se vuelve determinante frente a ataques cada vez más automatizados. “Detectar sin remediar es dejar el problema abierto, y con estos niveles de sofisticación, la ventana para reaccionar es cada vez más chica”, agregó.
El desafío, entonces, ya no pasa únicamente por reconocer un mensaje sospechoso. En un escenario donde la IA puede imitar lenguaje, voces e identidades, las organizaciones necesitan combinar capacitación, controles de identidad y tecnologías capaces de identificar comportamientos anómalos antes de que una interacción aparentemente legítima termine convirtiéndose en un incidente.
Preguntas frecuentes sobre IA y phishing
¿Cómo utiliza la inteligencia artificial el phishing?
La IA generativa permite crear correos y mensajes personalizados, imitar estilos de escritura y utilizar información pública sobre las víctimas para producir engaños más convincentes.
¿Qué son el vishing y los deepfakes?
El vishing utiliza llamadas telefónicas fraudulentas para manipular a una víctima. Los deepfakes emplean inteligencia artificial para generar o modificar imágenes, videos o voces con el objetivo de imitar a una persona.
¿Cómo pueden protegerse las empresas?
Además de capacitar a sus empleados, pueden incorporar autenticación multifactor, monitoreo de comportamiento, controles de identidad y mecanismos para detectar operaciones o accesos anómalos.
Compartir nota:
