El phishing avanzado con IA ya no llega en correos con faltas de ortografía y logos pixelados. Llega con la voz de tu banco, con el número de teléfono correcto en pantalla, con tu nombre y los últimos cuatro dígitos de tu tarjeta. Y lo hace porque los sistemas que lo generan han aprendido a imitar, con una precisión antes imposible, todo lo que nos enseñaron a buscar para identificar una estafa.
Durante años, los consejos para evitar el fraude online se basaron en detectar señales evidentes: el remitente raro, el tono genérico, el enlace sospechoso. Esas señales siguen siendo útiles para los ataques más torpes. El problema es que los ataques más sofisticados ya no las tienen.
¿Cómo funciona el phishing avanzado con IA?
El phishing avanzado con IA combina tres capacidades que antes requerían recursos de un Estado o de un grupo criminal muy organizado: síntesis de voz realista, personalización masiva de mensajes y suplantación técnica de identidad. Ahora están al alcance de cualquiera con algo de dinero y ganas.
La parte de síntesis de voz es quizá la más inquietante. Herramientas como ElevenLabs o Resemble AI permiten clonar una voz con pocos minutos de audio de referencia. Ese audio puede extraerse de cualquier sitio: un vídeo de YouTube, un mensaje de voz de WhatsApp, una entrevista en podcast. Con ese clon, un sistema automatizado puede llamarte y mantener una conversación que suena exactamente como tu gestor bancario, tu jefe o un familiar. No es una grabación estática: responde en tiempo real.
La personalización viene de los datos. Nombres, DNIs parciales, números de cuenta, fechas de operaciones recientes: todo eso circula en bases de datos filtradas que se venden en foros de la dark web por precios ridículos. Hay filtraciones de operadores de telecomunicaciones, de aseguradoras, de administraciones públicas. Cuando esos datos se combinan con un modelo de lenguaje que genera el mensaje perfecto para cada víctima, el resultado es un ataque que parece conocerte.
La suplantación técnica, conocida como spoofing, completa el cuadro. Es posible hacer que una llamada aparezca en tu móvil con el número oficial del Santander, del BBVA o de la Agencia Tributaria. Los operadores han mejorado sus sistemas de detección, pero el spoofing sigue siendo técnicamente viable y se usa en campañas reales documentadas en España y en toda Europa.
¿Qué ataques concretos ya están ocurriendo?
El fraude del CEO es uno de los más documentados y costosos. Un empleado recibe un correo, o una llamada, aparentemente de su director general pidiendo una transferencia urgente. En 2023, una empresa de Hong Kong transfirió 25 millones de dólares después de que sus empleados asistieran a una videoconferencia con deepfakes de varios directivos de la empresa, según informó la policía local. Los empleados vieron las caras y escucharon las voces de sus compañeros. Todo era falso.
En España, la Guardia Civil y el Instituto Nacional de Ciberseguridad (INCIBE) han alertado varias veces en los últimos dos años de campañas de vishing (phishing por voz) que suplantan a entidades como CaixaBank, Santander o la propia Agencia Tributaria. El patrón es consistente: la víctima recibe una llamada con el número real de la entidad, un agente que conoce sus datos personales y una urgencia fabricada (un cargo fraudulento, una cuenta comprometida, un paquete retenido).
El smishing (phishing por SMS) también ha evolucionado. Los mensajes ya no llegan de números desconocidos: se cuelan en el mismo hilo de conversación que los SMS legítimos de tu banco, aprovechando una vulnerabilidad en la forma en que los operadores agrupan mensajes por nombre de remitente. Ver el nombre “Santander” en un hilo de SMS no garantiza nada.
Hay otro vector que crece con rapidez: el phishing en plataformas de confianza. Correos enviados desde cuentas reales de Gmail o Outlook comprometidas, mensajes de LinkedIn que parecen de un reclutador legítimo, notificaciones falsas de Dropbox o DocuSign que enlazan a formularios de recolección de credenciales. Uno de los mitos más peligrosos en ciberseguridad es creer que el canal seguro garantiza el contenido seguro.
¿Por qué los consejos tradicionales ya no son suficientes?
Los consejos clásicos se diseñaron para un adversario torpe. “Revisa la ortografía”, “desconfía de los urgentes”, “mira si el dominio es correcto”: siguen siendo válidos, pero ya no cubren los ataques más elaborados. Un modelo de lenguaje grande no comete faltas de ortografía. Un clon de voz no titubea. Un número suplantado pasa el filtro visual más básico.
El problema de fondo es que los humanos somos buenos detectando anomalías cuando tenemos tiempo y calma. Somos muy malos cuando hay presión, urgencia y señales que parecen correctas. Los ataques de phishing avanzado con IA están diseñados exactamente para ese estado: te llaman a media tarde, te dicen que tienes diez minutos para evitar un cargo de 800 euros, y todo suena y se ve perfectamente normal.
Además, la escala ha cambiado. Antes, un ataque personalizado requería horas de trabajo manual. Ahora, un sistema automatizado puede lanzar miles de ataques hiperpersonalizados en paralelo, ajustando el mensaje a cada perfil. Lo que antes era artesanía criminal ahora es producción en serie.
Queda la autenticación de dos factores como barrera importante, pero tampoco es infalible. Existen ataques de tipo adversary-in-the-middle que capturan el código OTP en tiempo real mientras la víctima lo introduce. Herramientas como Evilginx2, documentadas por investigadores de seguridad, permiten exactamente eso. La doble autenticación sigue siendo mucho mejor que nada, pero no es la muralla que muchos creen.
¿Qué pueden hacer los bancos y las empresas para protegerte?
Las entidades financieras tienen más responsabilidad en esto de lo que suele reconocerse. La tecnología para verificar llamadas entrantes existe: STIR/SHAKEN es un protocolo adoptado en Estados Unidos desde 2021 que autentica el origen de las llamadas y dificulta el spoofing. En Europa, la adopción avanza más despacio, con regulaciones que van a remolque de la amenaza.
Algunos bancos han empezado a implementar “palabras secretas” o códigos de verificación que el agente debe decir al cliente antes de pedirle ningún dato. Es una medida sencilla y efectiva que muy pocas entidades comunican bien. Si tu banco no te ha explicado cómo verificar que quien te llama es realmente su empleado, es una pregunta que vale la pena hacerles.
Las empresas, especialmente las medianas y pequeñas, son el objetivo más vulnerable en el segmento corporativo. La formación de empleados en simulacros de phishing reduce significativamente las tasas de éxito de los ataques, según datos de empresas como KnowBe4 y Proofpoint, que llevan años midiendo este efecto. Los hackers éticos que simulan estos ataques internamente son una de las pocas herramientas que funcionan de verdad a escala organizacional.
A nivel técnico, los sistemas de detección de fraude están incorporando análisis de comportamiento en tiempo real: si una transferencia se hace desde una IP distinta a la habitual, a una cuenta nueva, a una hora inusual, el sistema debería frenarlo aunque las credenciales sean correctas. Esa capa de análisis conductual es donde la IA defensiva gana terreno frente a la IA atacante.
¿Qué puedes hacer tú cuando recibes una llamada sospechosa?
La regla más útil es también la más contraintuitiva: cuelga y llama tú. Si recibes una llamada de tu banco con una urgencia, cuelga, espera un minuto y llama al número oficial que tienes en la tarjeta o en la app. Ese gesto simple rompe el ataque en la mayoría de los casos, porque el fraude depende de que no cortes la conexión.
Nunca confirmes datos personales a quien te llama. Si quien llama dice ser tu banco y ya tiene tus datos, no necesita que tú se los confirmes. El momento en que te piden verificar un número de cuenta, un código SMS o un PIN, ahí está la señal. Tu banco no necesita que le leas tu código de seguridad.
Con el correo electrónico, la práctica más segura es no hacer clic en ningún enlace de un mensaje que pide acción urgente, aunque el remitente parezca legítimo. Escribe la dirección directamente en el navegador o abre la app oficial. Los enlaces en correos de phishing avanzado pueden llevar a páginas tan bien imitadas que la diferencia visual con el original es prácticamente imperceptible. Hay casos documentados en los que el certificado SSL (el famoso candado verde) también estaba presente en la página falsa, lo que desmonta otro consejo clásico.
Gestionar bien las contraseñas también ayuda a limitar el daño cuando un ataque tiene éxito parcialmente. La evolución de cómo protegemos el acceso a nuestras cuentas muestra que las contraseñas únicas por servicio y un gestor de contraseñas siguen siendo la base sobre la que construir todo lo demás.
Conviene también ser consciente de cuánta información personal está disponible sobre uno mismo en internet. Los atacantes no necesitan hackear nada para saber tu nombre completo, tu ciudad, tu empresa y a veces hasta tu número de teléfono: eso está en LinkedIn, en registros públicos, en comentarios de foros. Los datos que dejamos sin darse cuenta en entornos cotidianos forman parte del perfil que los atacantes compran o construyen.
El phishing avanzado también se nutre de filtraciones masivas de datos. Saber si tu correo electrónico ha aparecido en alguna brecha conocida es tan sencillo como consultarlo en Have I Been Pwned (haveibeenpwned.com), una herramienta gratuita mantenida por el investigador de seguridad Troy Hunt. Si tu dirección aparece, cambia las contraseñas asociadas. Si no aparece, no significa que estés a salvo para siempre.
Lo que mucha gente no sabe es que los datos robados no se usan inmediatamente. A veces pasan meses o años entre la filtración y el ataque. Cuando una empresa desaparece o sufre una brecha, esos registros circulan durante años en mercados donde se compran, se fusionan con otras bases de datos y se usan de formas que nadie anticipó cuando los cediste.
¿Llegará un momento en que ningún humano sea capaz de distinguir el fraude del original?
Esa pregunta no es retórica ni alarmista: es técnicamente pertinente. Los modelos de síntesis de voz ya superan en pruebas ciegas la capacidad humana de distinguir audio real de audio generado en muchos contextos. Los deepfakes de vídeo avanzan en la misma dirección. Lo que hoy todavía falla, la coherencia contextual en conversaciones largas o ciertos artefactos visuales en los vídeos generados, se está corrigiendo con cada nueva generación de modelos.
Esto no significa que el fraude sea indetectable de forma absoluta. Significa que la detección se está desplazando del humano al sistema. Los bancos, los operadores y las plataformas tendrán que asumir más responsabilidad en filtrar lo que llega antes de que llegue, porque pedirle al usuario que detecte algo que los mejores investigadores de seguridad ya tienen dificultades para distinguir es una carga que no es razonable trasladar completamente al individuo.
La paradoja es que algunas de las amenazas más documentadas en tecnología empezaron siendo descartadas como exageraciones. El phishing avanzado con IA ya no es una amenaza futura: los ataques ocurren, las pérdidas están cuantificadas y las herramientas que los hacen posibles son accesibles. La pregunta abierta es si la respuesta institucional llegará antes o después de que los daños se generalicen a una escala mucho mayor.
Preguntas frecuentes
¿Puede una IA realmente imitar la voz de mi banco con exactitud?
Sí, con pocos minutos de audio de referencia, herramientas como ElevenLabs o Resemble AI generan voces sintéticas que en pruebas ciegas muchas personas no distinguen de las originales. En un contexto de llamada telefónica, donde la calidad de audio ya es limitada, la imitación resulta especialmente convincente. Los ataques documentados en España y Europa usan exactamente esta tecnología.
¿Es seguro fiarse del número de teléfono que aparece en pantalla cuando llama mi banco?
No completamente. La técnica de spoofing permite manipular el número que aparece en tu pantalla para que muestre el número oficial de cualquier entidad. El número visible no prueba que quien llama sea realmente esa entidad. Si tienes dudas, cuelga y llama tú directamente al número que tienes en tu tarjeta o en la app oficial del banco.
¿El doble factor de autenticación me protege del phishing avanzado?
Reduce el riesgo significativamente, pero no elimina el problema. Existen ataques documentados que capturan el código de un solo uso en tiempo real mientras la víctima lo introduce. Si alguien te llama y te pide que le leas el código que acaba de llegarte por SMS, ese es exactamente el ataque. Ninguna entidad legítima te pedirá nunca ese código por teléfono.
¿Cómo sé si mis datos personales ya están circulando en la dark web?
Puedes comprobarlo de forma gratuita en haveibeenpwned.com, una herramienta mantenida por el investigador de seguridad Troy Hunt que recopila bases de datos filtradas y permite buscar por dirección de correo electrónico. Si tu dirección aparece en alguna filtración conocida, cambia las contraseñas asociadas a esa cuenta y a cualquier servicio donde uses las mismas credenciales.
¿Qué diferencia hay entre phishing, vishing y smishing?
Los tres son variantes del mismo fraude, diferenciadas por el canal. El phishing llega por correo electrónico. El vishing usa llamadas de voz, y es el que más se ha sofisticado con la clonación de voz por IA. El smishing llega por SMS, a veces infiltrándose en hilos de mensajes legítimos de tu banco. En los tres casos, el objetivo es conseguir tus datos o que hagas una acción que beneficia al atacante.
¿Qué debo hacer si creo que he caído en un ataque de phishing?
Actúa rápido: bloquea la tarjeta o cuenta afectada desde la app oficial, cambia las contraseñas comprometidas y contacta con tu banco para informar de lo ocurrido. Denuncia el hecho ante la Policía Nacional o la Guardia Civil, que tienen unidades especializadas en ciberdelitos. Conserva capturas, registros de llamada y cualquier mensaje recibido como evidencia.
