IA generativa y ciberseguridad: cuando la amenaza también aprende

Al principio, el debate se centró en su potencial transformador para las organizaciones; poco después, empezamos a ver con claridad su otra cara: la capacidad de multiplicar la velocidad, la escala y la credibilidad de los ciberataques. Para los comités de dirección, esta evolución ya no puede abordarse como una cuestión exclusivamente tecnológica. Estamos ante un cambio estratégico que afecta a la confianza, a los procesos de decisión y a la resiliencia real de las organizaciones.

Cuando las señales de alerta dejan de funcionar

Durante años, enseñamos a los empleados a identificar correos sospechosos fijándose en errores ortográficos, traducciones poco naturales, saludos genéricos o incoherencias evidentes. Esa aproximación, aunque sigue siendo útil en algunos casos, se está quedando claramente insuficiente.

Los modelos de lenguaje permiten hoy generar mensajes impecables, adaptados al idioma, al sector, al contexto de la compañía e incluso al estilo de comunicación de un interlocutor concreto. Investigaciones publicadas por expertos de Harvard han señalado que los correos de phishing automatizados con IA pueden alcanzar niveles de eficacia comparables a los redactados por especialistas humanos, reduciendo además el coste del proceso en más de un 95 %. La consecuencia es clara: el atacante puede producir mejores campañas, más rápido y a menor coste.

Esto elimina también una barrera que antes protegía parcialmente a muchas organizaciones: el idioma. Hoy la IA puede redactar comunicaciones culturalmente creíbles en prácticamente cualquier lengua, sin que el atacante necesite conocer el mercado local ni dominar sus matices. En la práctica, la IA ha reducido la fricción del cibercrimen y ha ampliado enormemente su alcance.

Del phishing masivo al ataque quirúrgico

Otra de las grandes transformaciones tiene que ver con la fase previa al ataque: la recopilación de información. En los incidentes más sofisticados, los atacantes no actúan a ciegas. Analizan quién toma decisiones, quién autoriza pagos, qué proveedores están activos, qué proyectos están en marcha y qué relaciones internas pueden explotar.

Hasta hace poco, esa inteligencia previa requería tiempo y capacidad humana. La IA generativa cambia por completo la ecuación. Puede analizar información pública de redes profesionales, páginas corporativas, notas de prensa o redes sociales, y convertirla en mensajes altamente personalizados en cuestión de minutos. Lo que antes estaba reservado a campañas muy dirigidas de spear phishing empieza a ser rentable contra cualquier organización.

Pensemos en un empleado que recibe un mensaje aparentemente enviado por su director general, con tono creíble, haciendo referencia a un viaje real, a una operación confidencial o a un proyecto en curso. Esa información puede haber sido recopilada, cruzada y estructurada automáticamente por una IA. El caso de la firma de ingeniería Arup, en el que se realizaron quince transferencias por un total de 25,6 millones de dólares tras una videoconferencia con directivos recreados mediante inteligencia artificial, ilustra hasta qué punto la credibilidad puede ser fabricada.

Cuando ver y oír ya no basta

Los deepfakes han dejado de ser una amenaza vinculada únicamente a la desinformación o a la manipulación mediática. Cada vez más, forman parte del fraude corporativo. La voz de un directivo, su imagen en una videollamada o una instrucción aparentemente emitida en tiempo real ya no pueden considerarse, por sí solas, una prueba suficiente de identidad.

Lo más relevante no es solo la sofisticación de la tecnología, sino la caída de las barreras de entrada. La generación de voz sintética, imagen manipulada o vídeo realista es cada vez más accesible, más barata y más rápida. Esto obliga a revisar una premisa básica: confiar porque “lo he visto” o “lo he oído” ya no es suficiente.

En este nuevo contexto, la defensa no puede descansar en la percepción humana. Tiene que apoyarse en procesos robustos de validación, canales alternativos de confirmación y controles que no dependan únicamente de la apariencia de autenticidad. La confianza debe verificarse, especialmente cuando existen instrucciones urgentes, confidenciales o de impacto económico.

La automatización también llega al ataque técnico

El impacto de la IA generativa no se limita a la ingeniería social. También está acelerando las fases más técnicas de los ataques: reconocimiento, análisis de vulnerabilidades, generación de código malicioso, movimiento lateral o exfiltración de información.

Estamos viendo cómo determinadas herramientas ofensivas incorporan capacidades de IA para analizar entornos, identificar puntos débiles y encadenar acciones a una velocidad que supera la capacidad de respuesta de muchos equipos de seguridad. La amenaza no solo gana precisión; gana ritmo.

En noviembre de 2025, Anthropic informó de la detección e interrupción de una campaña de ciberespionaje en la que, según la compañía, un actor vinculado a un Estado utilizó capacidades agénticas de IA para ejecutar buena parte del ciclo de ataque contra una treintena de objetivos. La compañía estimó que entre el 80 % y el 90 % de determinadas operaciones tácticas fueron ejecutadas por la IA con una intervención humana limitada. Este tipo de incidentes confirma un cambio de fase: la IA ya no solo ayuda al atacante, también puede actuar como multiplicador operativo.

Qué deben hacer los líderes

La respuesta no puede ser únicamente tecnológica. La IA generativa obliga a revisar la forma en que las organizaciones verifican la identidad, autorizan operaciones sensibles y preparan a sus equipos. Hay tres prioridades especialmente relevantes para la dirección.

Replantear la concienciación. Ya no basta con formar a los empleados para detectar errores evidentes en un correo. La formación debe centrarse en hábitos de verificación, pensamiento crítico y gestión de situaciones de presión. Cualquier solicitud sensible, especialmente si es urgente, confidencial o económicamente relevante, debe confirmarse por un canal alternativo y previamente validado.

Reforzar los controles sobre operaciones críticas. Los pagos, cambios de cuentas bancarias, autorizaciones excepcionales o decisiones fuera del circuito habitual deben contar con mecanismos de doble validación y segregación de funciones. En un entorno donde la apariencia puede manipularse, el proceso se convierte en la principal línea de defensa.

Exigir evolución a proveedores y capacidades de seguridad. No todas las organizaciones podrán desarrollar internamente capacidades avanzadas de IA defensiva, pero todas deben exigir que sus soluciones de seguridad evolucionen al ritmo de la amenaza. EDR, SOC, pasarelas de correo, herramientas de detección y servicios gestionados deben incorporar análisis de comportamiento, detección de anomalías y capacidad de respuesta en tiempo real. Tan importante como contratar tecnología es medir periódicamente su eficacia.

Recuperar el equilibrio

La IA generativa ha alterado la economía del ciberataque: reduce costes, aumenta la escala y hace más creíbles las amenazas. Esto genera una asimetría evidente a favor del atacante, especialmente cuando las organizaciones siguen confiando en controles diseñados para un contexto anterior.

Recuperar el equilibrio exige combinar tecnología, gobierno y cultura. No se trata solo de incorporar IA a las defensas, sino de revisar procesos de autorización, reforzar la verificación de identidad, entrenar a las personas frente a nuevas formas de manipulación y medir si los controles responden realmente a la velocidad actual de la amenaza.

La pregunta ya no es si la inteligencia artificial va a transformar la ciberseguridad. Ya lo está haciendo. La verdadera cuestión es si las organizaciones serán capaces de adaptarse antes de que lo hagan sus atacantes.