La inteligencia artificial está revolucionando muchas cosas. Y una de ellas, por desgracia, es la forma en la que los delincuentes envían correos maliciosos. Lo que antes era fácil de detectar, ahora viene camuflado con nombres conocidos, lenguaje muy convincente y un tono que suena…demasiado familiar. En este artículo te voy a explicar cómo funcionan estos nuevos ataques por email, qué tienen de diferente y qué puedes hacer desde ya mismo para protegerte. Vamos al grano, porque la amenaza está muy presente y no conviene subestimarla.
Hace unos años, era fácil pillar un correo malicioso. Mal traducido, con frases extrañas, nombres que no sonaban a nada y archivos adjuntos sospechosos. Pero eso ha cambiado.
¿Por qué los nuevos correos maliciosos son mucho más peligrosos?
Los ataques contra el correo electrónico cada vez son más sofisticados, y no es una mera percepción, es la realidad según informes de diferentes empresas de ciberseguridad. Los emails de phishing generados con LLMs (Modelos Lingüísticos Grandes) alcanzan una tasa de clics del 54 %, una cifra muy alarmante, ya que los emails de phishing tradicionalmente han tenido una tasa de clicks del 12% aproximadamente.
Existen herramientas como FraudGPT o DarkGPT, analizadas por firmas como Cisco Talos, que son capaces de crear campañas completas para atacar a los usuarios y trabajadores de una determinada empresa. Estas IA son capaces de personalizar mensajes a gran escala, además, son capaces de obtener información de fugas de datos y perfiles públicos, es decir, hacen OSINT ellas mismas con el objetivo de parecer reales.
Con esa información, un bot puede escribirte un correo que parezca enviado por tu jefe, por un cliente o por una empresa con la que ya has trabajado. El mensaje es limpio, sin errores y con un tono cercano. Incluso puede que incluya alguna frase tipo: «Aquí tienes el informe del proyecto que mencionaste en la reunión del martes», para darle un mayor realismo al intento de estafa.
Y claro, lo abres. Porque todo cuadra. Pero al hacer clic, has caído en la trampa: o has descargado malware para robarte todas tus contraseñas, compartido sin querer tus credenciales e incluso has podido infectar tu PC con un ransomware.
Qué puedes hacer para protegerte de estos correos personalizados
La buena noticia es que hay formas bastante efectivas de reducir el riesgo. No se trata de volverse paranoico, pero sí de incorporar unos cuantos hábitos sencillos.
Activa siempre la verificación en dos pasos
Así, aunque te roben una contraseña, no podrán entrar sin tu móvil o app de autenticación.
Inspecciona la dirección real del remitente, no solo el nombre.
Los atacantes falsifican el nombre visible, pero no pueden ocultar por completo el dominio. Pasa el ratón por encima del nombre del remitente (o mantén pulsado en el móvil) para ver la dirección completa. Fíjate bien en estos detalles:
- Sustituciones de caracteres: servicio@paypa1.com (un «1» en lugar de una «l»).
- Dominios engañosos: soporte.empresa@ayuda-online.com (el dominio real es ayuda-online.com, no empresa.com).
- Errores tipográficos sutiles: info@microsft.com (falta la «o»).
Fíjate en el contenido del mensaje
Si hay urgencia («necesito esto ya»), amenazas sutiles («si no lo haces, puede haber consecuencias») o presión emocional, sospecha. Aunque los modelos de IA actuales son muy avanzados, a veces delatan su origen artificial mediante cambios de tono abruptos o una urgencia desmedida.
Un email que pasa de un tono extremadamente formal a uno coloquial, o que presiona para una acción inmediata sin justificación lógica, debe ser una señal de alarma.
Usa un buen filtro antiphishing
La mayoría de servicios de email actuales, como Gmail o Outlook, ya tienen barreras inteligentes. Pero puedes reforzarlas con servicios extra como MailWasher, ProtonMail o incluso reglas propias si usas un cliente como Thunderbird.
Habla con tu equipo
Si trabajas en una empresa, lo mejor es compartir ejemplos de estos correos y crear una rutina de verificación. Una cultura de ciberseguridad compartida vale oro frente a estos ataques silenciosos.
¿Y si ya he hecho clic? Haz esto
Si has hecho clic en un enlace de phishing o descargado un archivo malicioso, actuar con rapidez es crucial para mitigar daños y proteger tus datos. Estos pasos están basados en protocolos de ciberseguridad ampliamente recomendados:
- Desconecta tu dispositivo de internet: Apaga el WiFi o desenchufa el cable de red. Esto detiene la comunicación con posibles atacantes y evita la propagación de malware.
- Haz una copia de seguridad offline: Guarda tus documentos importantes en un disco duro externo o memoria USB. Desconéctalo al finalizar para que no se infecte.
- Pasa un análisis antivirus completo: Usa un software actualizado y realiza un escaneo profundo del sistema sin volver a conectarte a la red.
- Cambia todas tus contraseñas: Empieza por la cuenta afectada y sigue con las de email, banca online, redes sociales y apps. Usa claves únicas y seguras.
- Informa al departamento de IT (si estás en una empresa): El equipo técnico puede ayudarte a contener la amenaza, aislar redes y analizar el alcance del ataque.
- Denuncia el ataque: En España, puedes reportarlo a la Oficina de Seguridad del Internauta (OSI) o a las fuerzas de seguridad. Si el phishing suplanta a una empresa real, notifícalo también a su servicio de atención.
La rapidez es esencial: según estudios, el 68% del impacto de un ataque de phishing ocurre en las primeras 6 horas. No lo dejes para después.
La IA ha cambiado las reglas del juego
La protección más eficaz se basa en tres pilares fundamentales que cualquiera puede implementar:
- Verificación sistemática: desconfía por defecto de cualquier solicitud inesperada.
- Múltiples capas de seguridad: usa siempre la autenticación de dos factores.
- Formación continua: mantente al día de las nuevas tácticas, como las que explicamos en esta guía.
Solo necesitas estar al tanto, tener buenos hábitos y, sobre todo, no fiarte ni de tu sombra cuando te llega algo que no esperas. Cuanto más preparados estemos, menos posibilidades tendrán de pillarnos desprevenidos.
En la siguiente tabla podéis ver algunas opciones muy buenas de correo electrónico, con protección añadida contra el phishing:
| Herramienta | Característica Destacada | Análisis de Adjuntos | Plan Gratuito | Ideal para |
|---|---|---|---|---|
| ProtonMail | Cifrado de extremo a extremo y filtros avanzados | Avanzado (con sandboxing) | Sí (con limitaciones) | Usuarios centrados en la máxima privacidad |
| MailWasher | Previsualización segura de correos en el servidor | Básico | Sí | Filtrar spam antes de que llegue a tu bandeja |
| Barracuda Sentinel | Protección basada en IA contra spear-phishing | Completo (con IA) | No (Empresarial) | Empresas y profesionales |
| Gmail / Outlook | Filtros integrados de alta eficacia | Integrado y potente | Sí | Usuarios domésticos que buscan una buena protección por defecto |
Preguntas frecuentes sobre los ataques de IA en el email
¿Qué diferencia a los nuevos correos de phishing por IA de los antiguos?
¿Cómo consiguen los atacantes mi información personal para estos correos?
¿Qué debo hacer si sospecho que he recibido un email falso generado por IA?
¿Son suficientes los filtros de spam de Gmail o Outlook para protegerme?
¿Qué es la verificación en dos pasos y por qué es tan importante?
