«Estamos entrando en un mundo en el que los adversarios automatizan todo en la cadena de destrucción que no requiere una gran creatividad», advirtió la exdirectora de la CISA, Jen Easterly, en respuesta a un informe de uso indebido de noviembre de 2025 de la empresa de IA de vanguardia Anthropic.
En noviembre, Anthropic reveló que había interrumpido un ciberataque y una operación de extracción de datos dirigidos a docenas de grandes empresas y agencias gubernamentales. Los autores (supuestamente parte de un grupo patrocinado por el Estado chino) estaban utilizando Claude Code de Anthropic para lograr un nivel sin precedentes de automatización de ciberataques, utilizando solo la guía humana ocasional en momentos críticos.
Para las grandes empresas con equipos de ciberseguridad sólidos, esto es preocupante. Para las pequeñas empresas y las organizaciones no gubernamentales (ONG) que carecen de esos recursos, esto es aterrador.
La IA hace que el phishing sea más rápido, barato y eficaz
Las organizaciones ya están luchando contra los impactos de la IA en el phishing y la ingeniería social. En el «Día de los Agentes de Cambio», el día antes de la Cumbre de Crecimiento Inclusivo de Mastercard de octubre en Kuala Lumpur, Brian Cute, CEO interino de GCA, demostró cómo es el phishing habilitado por la IA. Mostró a la IA redactando mensajes de spear-phishing pulidos en tiempo real, con palabras que fluían en la pantalla mucho más rápido de lo que un humano podría escribir.
Como dijo un asistente después, «Ahora es menos ‘vergüenza para la víctima’, porque es menos razonable esperar que alguien lo vea a través de ello».
La presentación utilizó una de las muchas demostraciones producidas por CivAI, una organización sin ánimo de lucro dedicada a ayudar a las personas a internalizar los impactos de la IA en la sociedad. Las demostraciones no públicas de CivAI exponen escenarios vívidos de uso indebido de la IA, incluyendo correos electrónicos de phishing personalizados; deepfakes de imagen, audio y vídeo; desinformación; interferencia electoral; y amenazas biológicas. Las ONG y los individuos pueden solicitar acceso o ver las demostraciones de acceso público de CivAI en línea.
Un estudio reciente encontró que los correos electrónicos de phishing personalizados con IA lograron más de 4 veces la tasa de clics del phishing masivo tradicional (54% frente a 12%). El consejo convencional de vigilar los errores tipográficos, el inglés incorrecto y el formato descuidado es insuficiente.
La IA expone nuevos vectores de ataque
Otras tecnologías de IA también han estado contribuyendo al crecimiento de nuevos vectores de ataque. En 2024, los estafadores utilizaron deepfakes de IA para hacerse pasar por ejecutivos en una videollamada y defraudar a una empresa multinacional con 25 millones de dólares. Operativos norcoreanos han utilizado la IA para asegurar y mantener miles de puestos de trabajo en empresas de la lista Fortune 500 para extraer valor y datos sensibles. El FBI advirtió recientemente sobre el uso de audio y vídeo deepfakes en estafas de secuestro.
Más allá del phishing y la ingeniería social, la IA está encontrando y explotando de forma autónoma vulnerabilidades técnicas. La operación descrita en el informe de Anthropic de noviembre de 2025 tenía a la IA manejando el 80-90% de las operaciones tácticas de forma independiente, no solo redactando correos electrónicos convincentes, sino también realizando reconocimiento, desarrollando exploits, recolectando credenciales y evaluando datos robados a velocidades sobrehumanas.
Las tácticas se propagan rápidamente en la economía sumergida
Lo que los actores estatales están haciendo hoy, el crimen organizado lo estará haciendo mañana. Según la Oficina de las Naciones Unidas contra la Droga y el Delito (UNODC), los extensos complejos que albergan operaciones de fraude a escala industrial en todo el sudeste asiático a veces pueden acercarse a la escala de pequeñas ciudades, y se estima que generan un total combinado de 40.000 millones de dólares anuales. Estas enormes empresas criminales están integrando la IA en sus operaciones a un ritmo acelerado, y muchas ya están utilizando la IA para la traducción y la divulgación automatizada. Según un informe reciente de KnowBe4, el 82,6% de los correos electrónicos de phishing detectados entre septiembre de 2024 y febrero de 2025 fueron redactados utilizando IA.
Los expertos en aplicación de la ley esperan que la mayoría del mercado haya integrado completamente la IA agentic en un plazo de dos años. Estamos viviendo los últimos momentos de la era en la que la oscuridad y la pequeña escala pueden ofrecer una protección adecuada.
Las organizaciones más pequeñas son las que corren un riesgo único
Los municipios, las ONG y las pequeñas y medianas empresas (PYME), organizaciones que con frecuencia no cuentan con equipos de seguridad dedicados, se enfrentarán cada vez más a ataques con el mismo nivel de sofisticación y personalización que los que actualmente están dirigidos a las empresas de la lista Fortune 1000.
La IA ha reducido simultáneamente los costes de cometer ciberdelitos a escala y aumentado los beneficios al ayudar a los atacantes a monetizar la información que roban. Anteriormente, un delincuente que invertía horas en un ataque personalizado necesitaba una recompensa de alto valor. Ahora, la mayor parte de esa personalización se puede automatizar por centavos. Las campañas contra cientos de pequeñas organizaciones podrían ser más rentables que los ataques concentrados contra empresas reforzadas.
Las PYME también carecen con frecuencia de la capacidad de absorber las pérdidas asociadas a una violación. Las grandes empresas pueden permitirse pagar out millones para resolver las consecuencias de los ciberataques, pero los pequeños grupos como los distritos escolares, las consultas médicas y las organizaciones religiosas con bases de datos de donantes podrían verse hundidos por un rescate o incluso por los honorarios legales. Según una encuesta de 2024, el 60% de las pequeñas empresas considera que los ciberataques son su mayor amenaza.
La asimetría entre la capacidad del atacante y la resistencia del defensor es más grave para las pequeñas organizaciones. Es fundamental asegurar la infraestructura cibernética ahora, antes de que se conviertan en víctimas de los ciberdelincuentes.
Asegurar a las pequeñas organizaciones contra la ciberdelincuencia habilitada por la IA
La presentación de Cute en la Cumbre de octubre también destacó cómo la IA puede aprovecharse para el bien, no solo para las travesuras. Al utilizar la IA para ampliar la creación de capacidad cibernética, GCA está introduciendo guías prácticas, cursos a su propio ritmo y programas de colaboración con socios para expandir las habilidades de ciberseguridad a nivel mundial. Frente a esta ola de ciberdelincuencia impulsada por la IA, estos esfuerzos tienen como objetivo fortalecer el conocimiento y las capacidades de los individuos y las organizaciones por igual, ayudando a construir un ecosistema digital más seguro y resistente para todos.
Una respuesta global, coordinada e integral a estos nuevos tipos de amenazas requiere tanto la acción colectiva de muchos defensores como la acción individual por parte de las organizaciones vulnerables; ninguna de las dos puede ser suficiente por sí sola.
Los gobiernos, las empresas de tecnología y la sociedad civil deben trabajar juntos para invertir en salvaguardias tecnológicas, defensas a nivel de infraestructura, monitoreo transfronterizo de amenazas y preparación social.
Mientras tanto, las organizaciones y los individuos no pueden permitirse el lujo de esperar a la acción colectiva. Prepararse para las amenazas cibernéticas planteadas por la IA requiere un compromiso renovado para elevar los estándares de seguridad organizacional, incluyendo contraseñas fuertes, autenticación multifactor, conciencia de phishing, principios de privilegio mínimo, saneamiento de entrada, copias de seguridad robustas, automatización de parches y puntos finales de limitación de velocidad.
GCA trabaja en dos niveles distintos para hacer que Internet y sus usuarios sean más seguros. GCA está utilizando la IA para automatizar y escalar la protección de la ciberseguridad, permitiendo que más personas se protejan a sí mismas, más rápido, al tiempo que fortalece la infraestructura técnica de Internet mediante la identificación e interrupción del tráfico malicioso, los dominios abusivos y los incidentes de enrutamiento que permiten la ciberdelincuencia. GCA también trabaja en asociación con gobiernos, la industria y organizaciones de la sociedad civil para crear comunidades de acción que puedan responder a estas amenazas a escala.
La ola de ciberdelincuencia con IA ya está llegando a la orilla. Las organizaciones no tienen mucho tiempo para prepararse antes de que golpee.
