{"id":8968,"date":"2023-06-14T09:00:00","date_gmt":"2023-06-14T09:00:00","guid":{"rendered":"https:\/\/www.securitytoday.de\/2026\/04\/02\/post_id-5152\/"},"modified":"2026-07-06T15:27:30","modified_gmt":"2026-07-06T15:27:30","slug":"chatgpt-y-el-ingenieria-social-como-la-ia-hace-mas-peligrosos-los-ataques-de-phishing","status":"publish","type":"post","link":"https:\/\/www.securitytoday.de\/es\/2023\/06\/14\/chatgpt-y-el-ingenieria-social-como-la-ia-hace-mas-peligrosos-los-ataques-de-phishing\/","title":{"rendered":"ChatGPT y el ingenier\u00eda social: c\u00f3mo la IA hace m\u00e1s peligrosos los ataques de phishing"},"content":{"rendered":"<p><strong>La IA generativa reduce dr\u00e1sticamente la barrera de entrada para los ataques de ingenier\u00eda social: correos de phishing impecables en cualquier idioma, pretextos personalizados a partir de datos p\u00fablicos y voces Deepfake para ataques de vishing. Para los equipos de seguridad comienza un nuevo cap\u00edtulo en la defensa contra amenazas.<\/strong><\/p>\n<h2>En resumen<\/h2>\n<ul>\n<li><strong>Situaci\u00f3n de amenaza:<\/strong> La IA generativa permite correos de phishing impecables y contextualizados a escala industrial  &#8211;  el fin de la detectabilidad mediante errores ortogr\u00e1ficos.<\/li>\n<li><strong>Escalado:<\/strong> Donde antes se investigaba y escrib\u00eda manualmente, la IA genera ataques personalizados en segundos.<\/li>\n<li><strong>Deepfakes:<\/strong> Voces y v\u00eddeos generados por IA permiten fraudes con CEO y ataques de vishing con una calidad casi indistinguible de llamadas reales.<\/li>\n<li><strong>Defensa:<\/strong> Las medidas t\u00e9cnicas por s\u00ed solas no son suficientes  &#8211;  la formaci\u00f3n continua en sensibilizaci\u00f3n de seguridad con escenarios espec\u00edficos de IA se convierte en obligatoria.<\/li>\n<li><strong>Cambio de paradigma:<\/strong> La premisa \u00abel phishing se reconoce por sus errores\u00bb es obsoleta  &#8211;  se necesitan nuevos m\u00e9todos de detecci\u00f3n y procesos de confianza cero.<\/li>\n<\/ul>\n<h2>El fin del correo de phishing detectable<\/h2>\n<p>Durante d\u00e9cadas ha valido la regla general: <strong>los correos de phishing se reconocen por errores ortogr\u00e1ficos, mala gram\u00e1tica y contenido gen\u00e9rico.<\/strong> Esta regla ha quedado obsoleta con ChatGPT y modelos comparables.<\/p>\n<p>La IA generativa produce textos impecables en cualquier idioma y estilo ling\u00fc\u00edstico. Un atacante puede generar un texto de phishing que imite el estilo comunicativo de una empresa determinada, de un departamento o incluso de una persona espec\u00edfica. La calidad ling\u00fc\u00edstica ya no es un punto d\u00e9bil  &#8211;  es perfecta.<\/p>\n<p>Peor a\u00fan: la IA permite <strong>personalizaci\u00f3n a gran escala<\/strong>. Donde antes un atacante deb\u00eda investigar manualmente perfiles de LinkedIn y sitios web corporativos para crear un pretexto convincente, la IA genera en segundos ataques personalizados para cientos de destinatarios simult\u00e1neamente.<\/p>\n<h2>Deepfakes y vishing: el siguiente nivel de escalada<\/h2>\n<p>La amenaza no se limita al texto. <strong>Las voces generadas por IA<\/strong> son actualmente tan realistas que en llamadas telef\u00f3nicas no se pueden distinguir de voces reales. Un audio Deepfake del CEO que ordena al director financiero realizar una transferencia ya no es un escenario de ciencia ficci\u00f3n  &#8211;  ya est\u00e1 ocurriendo.<\/p>\n<p>En febrero de 2024, un empleado de una empresa de Hong Kong fue inducido mediante una videollamada Deepfake con supuestos colegas a transferir 25 millones de d\u00f3lares. Todos los participantes en la llamada eran generados por IA.<\/p>\n<p>Los costes de este tipo de ataques est\u00e1n bajando r\u00e1pidamente. Herramientas de c\u00f3digo abierto como Bark, Tortoise-TTS o VALL-E pueden clonar una voz con solo unos segundos de material de audio. Para Deepfakes de v\u00eddeo, bastan fotos p\u00fablicamente disponibles y pocos minutos de tiempo de computaci\u00f3n. La <strong>barrera t\u00e9cnica de entrada<\/strong> es pr\u00e1cticamente cero.<\/p>\n<h2>Por qu\u00e9 falla la defensa tradicional<\/h2>\n<p>Las herramientas de seguridad de correo electr\u00f3nico detectan tradicionalmente el phishing mediante tres se\u00f1ales: indicadores t\u00e9cnicos (anomal\u00edas en cabeceras, URLs sospechosas), patrones ling\u00fc\u00edsticos (frases t\u00edpicas de phishing, errores gramaticales) y reputaci\u00f3n del remitente.<\/p>\n<p>El phishing generado por IA elude dos de los tres indicadores. El lenguaje es impecable, las frases son originales y contextualizadas. Solo quedan los indicadores t\u00e9cnicos como se\u00f1al de detecci\u00f3n  &#8211;  y estos tambi\u00e9n se disfrazan cada vez m\u00e1s profesionalmente.<\/p>\n<p>Esto significa: <strong>la tasa de detecci\u00f3n de los filtros tradicionales de phishing disminuye<\/strong>, mientras que aumentan el volumen y la calidad de los ataques. Un doble golpe que cuestiona fundamentalmente la estrategia de defensa hasta ahora.<\/p>\n<h2>Contramedidas para la era de la IA<\/h2>\n<p><strong>1. Sensibilizaci\u00f3n de seguridad 2.0:<\/strong> La formaci\u00f3n debe incluir escenarios espec\u00edficos de IA  &#8211;  lenguaje perfecto, contenido personalizado, llamadas Deepfake. Los empleados deben aprender a no confiar en la calidad ling\u00fc\u00edstica, sino en los procesos: transferencias solo tras confirmaci\u00f3n mediante llamada a un n\u00famero conocido, acciones sensibles solo a trav\u00e9s de canales verificados.<\/p>\n<p><strong>2. Controles basados en procesos:<\/strong> Ninguna transferencia de dinero, acceso a sistemas ni informaci\u00f3n sensible basada en una \u00fanica comunicaci\u00f3n  &#8211;  por muy convincente que parezca. El principio de los cuatro ojos y la verificaci\u00f3n fuera de banda son las contramedidas m\u00e1s efectivas contra la ingenier\u00eda social.<\/p>\n<p><strong>3. Detecci\u00f3n asistida por IA:<\/strong> Parad\u00f3jicamente, la IA tambi\u00e9n es la mejor defensa. Las herramientas de seguridad de correo electr\u00f3nico basadas en IA analizan patrones de comunicaci\u00f3n, estilos de redacci\u00f3n y anomal\u00edas de comportamiento  &#8211;  y detectan phishing que los sistemas basados en reglas pasan por alto.<\/p>\n<p><strong>4. Refuerzo t\u00e9cnico:<\/strong> DMARC, DKIM y SPF como autenticaci\u00f3n de correo electr\u00f3nico. FIDO2\/Passkeys en lugar de contrase\u00f1as  &#8211;  la autenticaci\u00f3n resistente al phishing elimina por completo el vector de ataque m\u00e1s frecuente.<\/p>\n<h2>Datos clave de un vistazo<\/h2>\n<p><strong>Tasa de \u00e9xito del phishing con IA:<\/strong> +135 % m\u00e1s de clics en correos de phishing personalizados con IA (IBM X-Force)<\/p>\n<p><strong>Da\u00f1o por Deepfake:<\/strong> 25 millones de d\u00f3lares en p\u00e9rdidas por una \u00fanica videollamada Deepfake (Hong Kong, 2024)<\/p>\n<p><strong>Coste de clonar una voz:<\/strong> Menos de 5 d\u00f3lares con herramientas de c\u00f3digo abierto y pocos segundos de material de audio<\/p>\n<p><strong>Phishing como vector de ataque:<\/strong> El 91 % de todos los ciberataques comienzan con phishing (Verizon DBIR)<\/p>\n<p><strong>Fuente:<\/strong> IBM X-Force, Verizon DBIR, ARUP\/Police de Hong Kong, 2023\/24<\/p>\n<h2>Preguntas frecuentes<\/h2>\n<p class=\"st-faq-hint\">Cada pregunta est\u00e1 bloqueada. Un toque desbloquea la respuesta.<\/p>\n<details>\n<summary><strong>\u00bfPuede ChatGPT utilizarse directamente para phishing?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">OpenAI ha incorporado mecanismos de seguridad que bloquean la generaci\u00f3n directa de phishing. Sin embargo, estas restricciones pueden evitarse parcialmente mediante un <em>prompting<\/em> h\u00e1bil. Adem\u00e1s, existen modelos de c\u00f3digo abierto sin censura que no tienen ninguna limitaci\u00f3n. La disponibilidad no es el cuello de botella  &#8211;  la intenci\u00f3n del atacante lo es.<\/p>\n<\/details>\n<details>\n<summary><strong>\u00bfC\u00f3mo detecto correos de phishing generados por IA?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">La perfecci\u00f3n ling\u00fc\u00edstica ya no es una se\u00f1al de advertencia. En su lugar, preste atenci\u00f3n a: direcciones de remitente inusuales (verificaci\u00f3n t\u00e9cnica), urgencia at\u00edpica, desviaciones del patr\u00f3n habitual de comunicaci\u00f3n y solicitudes de acciones sensibles a trav\u00e9s de canales inusuales. En caso de duda: verifique a trav\u00e9s de un canal diferente.<\/p>\n<\/details>\n<details>\n<summary><strong>\u00bfSon las llamadas Deepfake una amenaza real?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">S\u00ed, y est\u00e1n aumentando r\u00e1pidamente. La calidad de los clones de voz es tan alta que incluso empleados cercanos pueden ser enga\u00f1ados. Las empresas deber\u00edan implementar sistem\u00e1ticamente la verificaci\u00f3n fuera de banda para acciones sensibles  &#8211;  devolver la llamada a un n\u00famero conocido en lugar de responder a una llamada entrante.<\/p>\n<\/details>\n<details>\n<summary><strong>\u00bfAyuda la autenticaci\u00f3n resistente al phishing contra el phishing con IA?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">S\u00ed, fundamentalmente. Las claves FIDO2 y los Passkeys no pueden verse comprometidas por phishing, independientemente de lo convincente que sea el correo o la llamada. La implementaci\u00f3n de MFA resistente al phishing es la medida individual m\u00e1s efectiva contra todas las formas de phishing.<\/p>\n<\/details>\n<details>\n<summary><strong>\u00bfCon qu\u00e9 frecuencia debe realizarse la formaci\u00f3n en sensibilizaci\u00f3n de seguridad?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">De forma continua, no anual. Unidades breves mensuales con escenarios actuales son m\u00e1s efectivas que una formaci\u00f3n obligatoria anual. Campa\u00f1as simuladas de phishing con correos generados por IA ponen a prueba la vigilancia en el d\u00eda a d\u00eda. Importante: no castigo, sino cultura de aprendizaje.<\/p>\n<\/details>\n<h2>Lecturas recomendadas en la red<\/h2>\n<p>Tendencias de IA y ciberseguridad: <a href=\"https:\/\/www.securitytoday.de\/es\/\" target=\"_blank\" rel=\"noopener\">www.securitytoday.de<\/a><\/p>\n<p>IA en el entorno empresarial: <a href=\"https:\/\/www.mybusinessfuture.com\/es\/\" target=\"_blank\" rel=\"noopener\">www.mybusinessfuture.com<\/a><\/p>\n<p>Liderazgo digital y seguridad: <a href=\"https:\/\/www.digital-chiefs.de\/es\/\" target=\"_blank\" rel=\"noopener\">www.digital-chiefs.de<\/a><\/p>\n<p style=\"text-align: right;\"><em>Fuente de imagen: Pexels \/ Sora Shimazaki<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"La IA generativa reduce dr\u00e1sticamente la barrera de entrada para los ataques de ingenier\u00eda social: correos de phishing impecables en cualquier idioma, pretextos personalizados a partir de datos p\u00fablicos y voces Deepfake para ataques de vishing. Para los equipos de seguridad comienza un nuevo cap\u00edtulo en la defensa contra amenazas. En resumen Situaci\u00f3n de amenaza: [&hellip;]","protected":false},"author":55,"featured_media":5151,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"ingenier\u00eda social","_yoast_wpseo_title":"ChatGPT y el ingenier\u00eda social: c\u00f3mo la IA hace m\u00e1s peligrosos los ataques de ph","_yoast_wpseo_metadesc":"ChatGPT y el phishing: descubre c\u00f3mo la IA potencia ataques de ingenier\u00eda social con mensajes personalizados y convincentes. Aprende a protegerte hoy.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"evm_kih_original":false,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":["post_id-5152"],"footnotes":""},"categories":[257],"tags":[250,238],"class_list":["post-8968","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-es","tag-ki","tag-phishing"],"evm_reading_time_minutes":7,"wpml_language":"es","wpml_translation_of":null,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/8968","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/55"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=8968"}],"version-history":[{"count":4,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/8968\/revisions"}],"predecessor-version":[{"id":19462,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/8968\/revisions\/19462"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/5151"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=8968"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=8968"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=8968"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}