El phishing con inteligencia artificial ha dejado de ser una amenaza teórica. Durante 2025, el INCIBE registró más de 25.000 casos de phishing en España, lo que convierte este vector en el fraude digital más frecuente del país, según el Balance de Ciberseguridad 2025 de INCIBE. La diferencia respecto a años anteriores es que los atacantes utilizan ahora modelos de lenguaje para generar mensajes hiperpersonalizados, sin errores gramaticales y adaptados al tono exacto de la empresa o persona suplantada.

Esta evolución cambia las reglas del juego para cualquier organización. Los filtros de spam tradicionales y la formación básica para identificar correos con errores ya no son suficientes. Las empresas necesitan entender cómo funciona esta nueva generación de ataques para poder frenarla.

Por qué el correo electrónico sigue siendo el principal vector de entrada

A pesar de décadas de campañas de concienciación, el correo electrónico corporativo sigue siendo la puerta de entrada favorita del cibercrimen. No es por falta de alternativas: es porque funciona. Un empleado que recibe cientos de mensajes al día toma decisiones rápidas sobre qué abrir, qué responder y qué ignorar. Esa velocidad es exactamente el margen que necesita un ataque bien construido.

La irrupción de la IA generativa ha eliminado las señales de alarma más evidentes. Antes, un correo de phishing se detectaba por el español torpe, el remitente con caracteres extraños o el enlace con dominio sospechoso. Hoy, los modelos de lenguaje producen textos que imitan con precisión el estilo de comunicación de proveedores, compañeros o entidades bancarias. El ataque parece real porque técnicamente está mejor redactado que muchos correos legítimos.

Según datos del INCIBE, 4 de cada 10 incidentes de seguridad en España son fraudes en línea, y el phishing lidera esa categoría. El dato no ha cambiado en los últimos ejercicios, pero la sofisticación de los mensajes sí ha aumentado de forma sostenida, impulsada por las herramientas de IA disponibles sin restricciones para cualquier actor malicioso.

Cómo la IA amplifica la sofisticación de los mensajes fraudulentos

El spear phishing, el ataque dirigido a una persona concreta con información personalizada sobre ella, siempre fue el más eficaz y el más costoso de ejecutar. Rastrear el perfil de LinkedIn de un director financiero, revisar sus publicaciones en redes y construir un mensaje creíble requería tiempo y habilidades. La IA ha reducido ese coste a minutos.

Un atacante puede hoy automatizar la generación de correos que mencionen proyectos reales, referencias a conversaciones previas o contextos específicos del sector. Las herramientas de síntesis de voz permiten además clonar la voz de un directivo a partir de grabaciones públicas para utilizarla en llamadas fraudulentas de verificación. Los ataques también se producen por SMS y WhatsApp, en lo que se conoce como smishing y vishing, con mensajes generados y personalizados de forma masiva.

Esta automatización convierte los ataques costosos en ataques escalables. Lo que antes era una táctica reservada a objetivos de alto valor ahora puede ejecutarse contra miles de empresas medianas al mismo tiempo, con un nivel de personalización antes imposible a gran escala.

Señales que distinguen un mensaje legítimo de uno generado con IA

La detección manual sigue siendo útil, aunque cada vez más exigente. Algunos patrones persisten incluso en los ataques más sofisticados:

• Urgencia injustificada: el mensaje presiona para actuar de inmediato sin posibilidad de verificación por otro canal.
• Cambio de cuenta o datos bancarios: cualquier solicitud de este tipo, aunque llegue con aspecto legítimo, debe verificarse por teléfono con el contacto conocido.
• Dominio del remitente con variaciones menores: una letra cambiada, un guion añadido o un dominio de país diferente al habitual.
• Adjuntos o enlaces no solicitados: incluso de proveedores conocidos, si no se esperaban, deben verificarse antes de abrirlos.
• Coherencia contextual forzada: el mensaje menciona datos reales pero el contexto no encaja del todo con el flujo habitual de comunicación.

El fenómeno del MFA fatigue está relacionado directamente con esta escalada: cuando el phishing consigue las credenciales, el atacante puede bombardear al usuario con solicitudes de autenticación hasta que, agotado, aprueba una por error. La combinación de phishing con IA más explotación del MFA fatigue es hoy uno de los vectores de compromiso más efectivos.

Medidas técnicas y organizativas para reducir la superficie de ataque

La respuesta no puede ser únicamente tecnológica ni únicamente formativa. Requiere las dos capas actuando de forma coordinada. Las organizaciones que han adoptado un enfoque estructurado de ciberseguridad para empresas incorporan sistemas de verificación del remitente (SPF, DKIM, DMARC), filtros de contenido con detección de anomalías semánticas y herramientas de simulación de phishing para medir la vulnerabilidad real de su equipo humano.

En el plano organizativo, el elemento más crítico es el protocolo de verificación para operaciones sensibles. Transferencias, cambios de datos de proveedor o accesos de emergencia deben requerir confirmación por canal alternativo, independientemente del aspecto del correo que los solicite. Este protocolo es sencillo, no requiere inversión tecnológica y elimina la mayoría de los vectores de fraude financiero relacionados con el phishing.

El fraude BEC en empresas, que combina el phishing con la suplantación de proveedores o directivos para redirigir transferencias, se apoya exactamente en la ausencia de este tipo de protocolos. Organizaciones de todos los tamaños han sufrido pérdidas millonarias por operaciones que parecían completamente normales hasta que el dinero no llegó.

Formación continua: la última barrera antes de que el engaño tenga éxito

La formación en ciberseguridad que no se actualiza al ritmo de las amenazas pierde eficacia rápidamente. Una sesión anual sobre cómo identificar correos con errores ya no prepara a los empleados para los mensajes generados con IA, que no tienen esos errores.

Las empresas más preparadas realizan simulaciones periódicas de phishing adaptadas a las técnicas actuales, con análisis de resultados por departamento y formación diferenciada según el perfil de riesgo de cada rol. El equipo financiero, recursos humanos y los perfiles directivos concentran la mayoría de los ataques dirigidos y necesitan formación específica, no genérica.

La relación entre IA y ciberseguridad es bidireccional: la misma tecnología que potencia los ataques también mejora la detección, el análisis forense y la capacidad de respuesta. Las empresas en Barcelona, Madrid y en general en España que han integrado herramientas de detección basadas en IA en su infraestructura de seguridad están mejor posicionadas para identificar patrones anómalos antes de que el daño se produzca. La clave no es la herramienta, es tener una estrategia clara sobre cómo se usa y quién la supervisa.

En ese contexto, equipos como los de Winfor Marketing trabajan en paralelo para garantizar que la presencia digital de las organizaciones no sea utilizada como palanca para suplantar su identidad ante clientes o socios, integrando criterios de seguridad y coherencia de marca en la estrategia digital.