Es un placer saludarlos de nuevo. Durante años enseñamos a la gente a detectar el phishing por sus errores: mala ortografía, saludos genéricos, traducciones extrañas. Ese consejo ya no sirve. En el video de hoy les muestro cómo luce el nuevo rostro del phishing: atacantes usando inteligencia artificial, nuevos tipos de archivos, ingeniería social avanzada y clones perfectos de sitios web para robar datos, acceder a cuentas y hasta secuestrar identidades sin que la víctima se dé cuenta.
Y si están pensando “yo nunca caería”… este artículo es precisamente para ustedes.
El nuevo rostro del phishing
Redacción impecable, gracias a la IA. Un LLM escribe español colombiano, portugués o alemán con naturalidad de nativo, y personaliza cada mensaje con la información pública de la víctima: su cargo, sus proyectos, sus colegas. Cada empleado recibe su phishing a la medida, no una plantilla genérica. El filtro mental de “esto está mal escrito, es falso” quedó obsoleto.
Clones perfectos de sitios web. La página de login de su banco, de Microsoft 365 o de su empresa, replicada al píxel: mismo diseño, mismos textos, certificado HTTPS incluido. La única diferencia está en el dominio, y los atacantes usan variaciones que el ojo perdona: letras cambiadas, guiones, subdominios que imitan al real.
Nuevos tipos de archivos. Como los filtros ya vigilan los .exe y las macros de Office, los atacantes migraron a formatos que pasan desapercibidos: adjuntos HTML que abren un login falso local, imágenes SVG con código incrustado, códigos QR en el cuerpo del correo que sacan a la víctima del computador protegido y la llevan a su celular personal.
Conversaciones completas, no correos sueltos. Los atacantes ya no envían un solo mensaje: sostienen intercambios donde la IA responde con coherencia, gana confianza y solo al final pide la transferencia o la credencial. Y el correo puede llegar reforzado con una llamada con la voz clonada del gerente o una videollamada con un deepfake.
Las señales que sí siguen funcionando
La buena noticia: la IA perfeccionó la forma del engaño, pero no puede cambiar su estructura. Todo phishing necesita lo mismo de siempre:
1. Urgencia y presión. “Es para hoy”, “su cuenta será bloqueada”. La prisa artificial sigue siendo la señal número uno: el atacante necesita que usted actúe antes de pensar.
2. Cambio de canal o de datos. Una cuenta bancaria “actualizada”, un proveedor que ahora escribe desde otro dominio, un enlace que no corresponde al sitio oficial. El contenido puede ser perfecto; el contexto es lo que delata.
3. Solicitudes fuera de proceso. Si el procedimiento exige orden de compra y aprobación, y alguien pide saltárselo “por esta vez”, no importa qué tan bien escrito esté el correo: es una alerta.
Herramientas gratuitas para verificar antes de caer
Estas son las mismas que uso en el video, y deberían estar en los marcadores de cualquier equipo de TI:
MXToolbox — analiza las cabeceras de un correo sospechoso: desde qué servidor salió realmente y si pasa SPF, DKIM y DMARC.
CyberChef — la “navaja suiza” para decodificar enlaces y adjuntos ofuscados (Base64, URL encoding, scripts escondidos) sin ejecutarlos.
Cisco Talos Intelligence — consulta la reputación de un dominio, una IP o un remitente antes de confiar en él.
Sucuri SiteCheck — escanea un sitio web sospechoso en busca de malware y listas negras, sin tener que visitarlo usted mismo.
Cómo proteger a su empresa
1. Verificación por canal independiente. Toda solicitud sensible (pagos, cambios de cuenta, credenciales) se confirma llamando al número de siempre, nunca respondiendo al mismo correo ni al número que el mensaje trae.
2. Procesos que no dependan del ojo humano. Doble aprobación para transferencias y autenticación resistente al phishing (llaves FIDO2/passkeys). Recuerden que el MFA tradicional también se puede robar con kits de proxy inverso.
3. Protección técnica del correo. SPF, DKIM y DMARC en modo estricto reducen la suplantación directa del dominio; los filtros modernos con detección de anomalías ayudan contra lo demás.
4. Entrenamiento realista. Simulacros con el nivel de sofisticación actual —correos generados con IA, sitios clonados, QR—, no con las plantillas mal escritas de hace diez años.
Conclusión
El phishing no murió con la IA: se profesionalizó. La defensa ya no está en detectar errores de redacción, sino en procesos de verificación que no dependan de la apariencia del mensaje. La pregunta que salva a una empresa no es “¿se ve legítimo?”, sino “¿lo confirmé por otro canal?”.
En SecPro llevamos programas de concientización y simulacros de phishing con las técnicas que usan los atacantes de hoy. Si quieren medir qué tan preparado está su equipo, hablemos. Nos vemos en el próximo.
