Protección para sobrevivir a los ciberataques
El correo fraudulento ya no tiene por qué estar mal escrito. Con IA, un atacante puede adaptar el mensaje al sector, imitar el tono de un proveedor y eliminar muchas de las señales que antes despertaban sospechas.
Por eso la empresa debe verificar las operaciones sensibles mediante un procedimiento independiente del mensaje, en vez de confiar en señales superficiales.
Puntos principales
- Un correo bien escrito y contextualizado también puede ser fraudulento.
- Las peticiones de pago, cambio bancario o credenciales necesitan un segundo canal de verificación.
- La formación y los controles técnicos son capas complementarias.
- Un incidente o casi incidente debe alimentar la mejora del protocolo.
Qué cambia cuando el atacante utiliza IA
El atacante puede producir muchas variantes, adaptar idioma y tono, resumir información pública sobre una persona y crear una petición plausible. También puede combinar correo con voz o vídeo sintéticos para reforzar la urgencia.
La IA no elimina otras técnicas: el dominio parecido, la cuenta comprometida, el enlace falso o el archivo malicioso siguen siendo relevantes. Lo nuevo es la capacidad de construir un relato más consistente alrededor de ellos.
- Mensajes personalizados con información de la empresa o del destinatario.
- Conversaciones que mantienen contexto durante varias respuestas.
- Imitación de tono, cargo, idioma o relación comercial.
- Voz, imagen o vídeo utilizados como supuesta prueba de identidad.
El control decisivo está en la operación
Si un pago puede aprobarse desde el mismo correo en el que se solicita, el proceso depende demasiado de la apariencia. Una regla de verificación fuera de banda reduce el impacto incluso cuando el mensaje parece perfecto.
- Confirmar cambios bancarios mediante un contacto ya registrado, no el incluido en el mensaje.
- Exigir doble aprobación para pagos o modificaciones sensibles.
- Definir una palabra, canal o procedimiento para solicitudes urgentes de dirección.
- No compartir códigos MFA, contraseñas ni credenciales por correo o llamada.
- Detener la operación y escalar cuando alguien impida verificarla.
La urgencia no elimina el control.
Cuanto más excepcional sea la petición, más importante es utilizar el procedimiento normal de verificación.
Formación y tecnología por capas
Las capas se complementan: aunque el mensaje llegue, el proceso puede detener la operación; si una credencial se filtra, el acceso puede quedar bloqueado; y si una cuenta se compromete, el pago todavía requiere otra aprobación.
- Autenticación multifactor resistente al phishing cuando sea viable.
- SPF, DKIM y DMARC correctamente configurados y supervisados.
- Filtrado, análisis de enlaces y adjuntos y detección de comportamiento anómalo.
- Mínimo privilegio, separación de funciones y alertas sobre cambios relevantes.
- Simulaciones y ejercicios conectados con el protocolo real de la empresa.
Este contenido ofrece orientación general y no sustituye un análisis jurídico, técnico o sectorial del caso concreto. Las obligaciones y controles deben ajustarse al sistema, al uso, a los datos y a las personas afectadas.