¿Por qué el phishing con IA crece un 94% y engaña mejor que nunca?

El phishing está creciendo porque la inteligencia artificial permite fabricar estafas más creíbles, personalizadas y numerosas con un coste ridículo. Ya no hace falta redactar miles de correos uno por uno ni dominar varios idiomas: una misma infraestructura puede adaptar el mensaje al país, la empresa, el cargo profesional y hasta el tono habitual de la víctima. El engaño de siempre ha entrado en una fábrica automática.

Las cifras describen una amenaza enorme, aunque conviene leerlas sin mezclar peras con cortafuegos. Infobip registró un aumento interanual del 94% en los mensajes de phishing bloqueados, mientras Microsoft detectó unos 7.600 millones de intentos vinculados al correo electrónico entre abril y junio de 2026. Barracuda, por su parte, identificó más de siete millones de ataques mediante códigos de dispositivo en apenas cuatro semanas. Son mediciones distintas, obtenidas en redes y periodos diferentes, pero apuntan en la misma dirección: el fraude digital se ha industrializado.

Un récord real, pero no una sola cifra

Decir que el phishing ha crecido un 94% no significa que todos los ataques del planeta hayan aumentado exactamente en esa proporción. El dato procede de un análisis sobre miles de millones de interacciones procesadas por sistemas de mensajería. El estudio señala también que el phishing representó cerca de la mitad del contenido malicioso bloqueado y que el volumen general de mensajes dañinos detectados subió un 77%.

Microsoft ofrece otra fotografía, mucho más amplia y centrada en el correo: 7.600 millones de amenazas de phishing durante el segundo trimestre de 2026. El volumen mensual bajó ligeramente, de 2.700 millones en abril a 2.400 millones en junio, pero semejante descenso apenas permite sacar el champán. La cifra sigue siendo colosal y el robo de credenciales continúa dominando las campañas maliciosas.

Hay incluso señales de que algunas operaciones policiales y empresariales funcionan. La actividad asociada a Tycoon2FA, una conocida plataforma de phishing como servicio, cayó un 92% tras una intervención coordinada. Sin embargo, el ecosistema no desaparece; se fragmenta, cambia de proveedor y busca otra rendija. Algo parecido a pisar un hormiguero: se rompe una galería, no la colonia.

La gran transformación no está únicamente en el número de mensajes. Está en su calidad. Un correo fraudulento puede parecer escrito por un compañero, copiar una conversación anterior y presentar una factura coherente con la actividad de la empresa. El viejo consejo de buscar faltas de ortografía conserva cierta utilidad, pero ha envejecido mal. La falta ortográfica, pobre criatura, ha dejado de ser el uniforme oficial del ciberdelincuente.

La IA borra las faltas que delataban el fraude

La inteligencia artificial generativa corrige textos, traduce con soltura, resume documentos robados y adapta un mensaje a la información pública de cada destinatario. Los atacantes pueden rastrear perfiles profesionales, páginas corporativas o publicaciones en redes sociales y convertir esos fragmentos en una comunicación perfectamente plausible: una solicitud del director financiero, un aviso del proveedor habitual, una videollamada aplazada o una nómina pendiente.

Distintos análisis han observado un salto notable en las campañas generadas mediante IA que consiguen superar los filtros de correo. En una de las muestras estudiadas, su peso pasó del 4% al 56% de los ataques comunicados durante el periodo navideño. La cifra no representa todo el tráfico mundial, pero refleja una tendencia clara: la automatización permite producir mensajes convincentes a una escala que antes exigía tiempo, conocimientos y personal.

No estamos ante una inteligencia criminal que improvise como un villano de película. El avance es menos teatral y bastante más práctico: automatización, velocidad y volumen. La IA permite generar miles de versiones de un mismo mensaje, modificar palabras para esquivar filtros y crear páginas fraudulentas con ligeras diferencias. También reduce la barrera de entrada. Un delincuente mediocre puede alquilar una plataforma, escoger una plantilla y lanzar una campaña que hace pocos años habría exigido un equipo especializado.

Del correo masivo a la conversación personalizada

El correo electrónico continúa siendo el gran punto de entrada, pero ya no trabaja solo. Las campañas modernas combinan mensajes, SMS, llamadas, chats corporativos y códigos QR. Primero llega una comunicación inocente. Después, una llamada confirma la supuesta incidencia. Finalmente aparece un enlace, un código o una petición de pago. Cada pieza aislada parece normal; juntas construyen una ratonera digital.

Las campañas de ingeniería social también se están trasladando hacia herramientas de trabajo como Microsoft Teams. Los intentos semanales de vishing detectados en esta plataforma llegaron a acercarse a diez veces el nivel registrado un año antes. El movimiento resulta lógico: una llamada dentro de la aplicación que la empresa utiliza cada mañana inspira más confianza que un correo llegado desde una dirección extravagante.

También proliferan las falsas invitaciones de calendario, los archivos SVG aparentemente inofensivos y los documentos con códigos QR. Las invitaciones maliciosas en formato ICS pueden provocar tasas de error muy superiores a las de otros fraudes simulados. El mensaje no pide abrir un archivo ejecutable; propone aceptar una reunión. Mucho más limpio. Casi educado.

El móvil se ha convertido en la puerta más cómoda

El teléfono concentra banca, correo, mensajería, fotografías, documentos laborales y códigos de autenticación. Es una cartera, una oficina y una llave maestra metidas en el mismo bolsillo. Para el atacante, semejante concentración convierte el smartphone en un objetivo extraordinariamente rentable.

En una pantalla pequeña se examinan peor las direcciones web, los dominios completos y los detalles de un remitente. El usuario suele leer deprisa, a veces caminando, esperando el autobús o entre dos conversaciones. Ese contexto favorece el smishing, que utiliza mensajes de texto, y el quishing, que esconde el enlace fraudulento dentro de un código QR. Ambas técnicas buscan obtener información personal o financiera, instalar programas maliciosos o conducir a la víctima hacia pagos que parecen legítimos.

Los códigos QR tienen otra ventaja para el delincuente: obligan a sacar la navegación del correo y llevarla al móvil. Una factura en PDF puede contener un supuesto código para revisar el pago; al escanearlo, el usuario entra en una web que imita Microsoft, Google o su banco. Microsoft llegó a registrar 18,7 millones de ataques con códigos QR en un solo mes. La actividad descendió después, aunque continuó moviéndose en cifras millonarias.

La sofisticación no siempre vive en un laboratorio oscuro. A veces aparece pegada sobre el código QR de un parquímetro, impresa en una carta falsa o escondida en el documento de un proveedor. El truco tecnológico funciona porque se apoya en escenas cotidianas, grises, burocráticas. Justo aquellas en las que nadie espera una emboscada informática.

El código legítimo que entrega la cuenta

Uno de los ataques más inquietantes es el phishing mediante códigos de dispositivo. Este sistema de autenticación se utiliza de forma legítima para iniciar sesión en televisores, impresoras o equipos donde resulta incómodo escribir una contraseña. La pantalla muestra un código breve y el usuario lo introduce desde otro dispositivo.

El fraude empieza cuando el atacante solicita un código auténtico y convence a la víctima para introducirlo en la página oficial de Microsoft. La web es real, el certificado es válido y el proceso parece normal. Sin embargo, la persona está autorizando el dispositivo controlado por el delincuente. En apenas cuatro semanas fueron detectados más de siete millones de intentos relacionados con este método, muchos de ellos dirigidos contra cuentas corporativas de Microsoft 365 y Entra ID.

Aquí la autenticación multifactor no se rompe con una proeza informática; la propia víctima aprueba el acceso. El atacante recibe tokens válidos que pueden mantener abierta la sesión durante días o semanas. Incluso un cambio posterior de contraseña podría no expulsarlo inmediatamente, dependiendo de la configuración. La página oficial, paradójicamente, forma parte del disfraz.

Por eso una petición inesperada para introducir un código merece el mismo recelo que un enlace extraño. El dominio legítimo ya no demuestra que la operación también lo sea. Importa quién inició el procedimiento, qué dispositivo se está vinculando y por qué aparece esa solicitud en ese momento. La autenticidad de una página no garantiza la legitimidad de la acción.

El vishing convierte la urgencia en una voz conocida

El vishing traslada el engaño a una llamada telefónica. El estafador se presenta como empleado del banco, técnico informático, proveedor, compañero o directivo. La historia suele incluir una anomalía que exige actuar deprisa: un cargo sospechoso, una cuenta bloqueada, una transferencia pendiente o un supuesto problema con el ordenador. La urgencia sigue siendo el combustible favorito de la estafa.

La IA ha abaratado la clonación de voz y la creación de conversaciones automatizadas. Un estudio realizado con 4.100 participantes encontró una tasa general de posible cumplimiento del 16,5% ante distintos fraudes telefónicos generados mediante modelos de voz. En las llamadas que imitaban a un familiar en apuros, hasta un 36% afirmó que obedecería o podría obedecer las instrucciones.

El peligro inmediato no reside en una capacidad de persuasión sobrehumana. Está en poder lanzar llamadas convincentes a gran escala, adaptadas al idioma, al contexto y al perfil de la víctima, con un coste mínimo. Una voz clonada no necesita ser perfecta durante cinco minutos. A menudo le basta con pronunciar un nombre, pedir ayuda y transferir la conversación a un supuesto policía, abogado o empleado bancario.

La voz conocida añade una capa emocional que el correo no tiene. Un supuesto hijo pide dinero desde una comisaría. El director ordena una transferencia antes de embarcar. El técnico solicita instalar una aplicación para solucionar un fallo. La presión impide pensar y la familiaridad rebaja las defensas. Urgencia, autoridad y miedo continúan siendo una combinación eficaz.

La respuesta más segura sigue siendo bastante poco tecnológica: cortar la llamada y contactar con la persona o entidad mediante un número conocido, nunca mediante el facilitado por quien llama. Dentro de una empresa, cualquier cambio de cuenta bancaria, transferencia extraordinaria o entrega de credenciales debería verificarse por un segundo canal y con otra persona. La confianza sin comprobación era cómoda; en este escenario empieza a ser cara.

La normalidad es el nuevo disfraz del fraude

El phishing moderno ya no necesita parecer espectacular. Su fuerza está en imitar la rutina: una reunión, una factura, un mensaje del banco, una llamada del jefe, un código de acceso. La inteligencia artificial pule el lenguaje y multiplica las variantes, pero el objetivo permanece intacto: conseguir que alguien entregue una contraseña, autorice una sesión o mueva dinero por voluntad propia.

Para los usuarios, la defensa pasa por frenar justo donde el atacante pide acelerar. No introducir códigos solicitados desde mensajes inesperados, no autorizar accesos mientras se habla por teléfono y abrir las aplicaciones bancarias desde el icono habitual. Cuando se han facilitado datos, resulta esencial contactar con la entidad financiera, cambiar las contraseñas comprometidas, revisar los movimientos y conservar las pruebas.

Las empresas tienen un problema algo más incómodo. Los filtros continúan siendo necesarios, pero ya no basta con impartir un curso anual y confiar en que el trabajador recuerde una diapositiva seis meses después. Las verificaciones de identidad, los límites de autorización, la supervisión de sesiones y los procedimientos para operaciones sensibles deben formar parte del trabajo diario, como cerrar la caja o firmar una factura.

El fraude no se ha vuelto perfecto. Todavía necesita una decisión humana, un clic, una voz que diga sí. Lo preocupante es que ha aprendido a disfrazar ese instante de absoluta normalidad. Y cuando el engaño parece rutina, el sentido común necesita algo que rara vez le concedemos: unos segundos más.