El phishing con IA está haciendo menos fiables las señales de alerta conocidas
Google News ha puesto de relieve una contundente advertencia de seguridad: el phishing con IA ya parece lo bastante normal como para superar las comprobaciones rápidas en las que muchas personas aún confían. El conflicto ya no se produce entre un correo empresarial pulido y una estafa evidentemente torpe. Se sitúa entre una solicitud creíble y una imitación diseñada para parecer igual de rutinaria.
Esta distinción importa porque la IA generativa elimina varias debilidades que antes delataban el phishing. Los atacantes pueden producir mensajes fluidos, adaptarlos a un objetivo y traducirlos sin los errores habituales de las campañas más antiguas. También pueden automatizar la infraestructura que espera detrás del mensaje.
Los propios investigadores de amenazas de Google ofrecen un contrapeso importante a las afirmaciones más dramáticas. Han observado grupos respaldados por Estados que utilizan grandes modelos de lenguaje para investigación, selección de objetivos y señuelos de phishing sofisticados. Sin embargo, no han descrito todas las campañas asistidas por IA como un nuevo avance técnico.
La conclusión más defendible también es más útil. La IA no necesita inventar una nueva forma de hackeo para hacer que el phishing sea más peligroso. Solo necesita mejorar la credibilidad del lenguaje, reducir el trabajo de los atacantes y conectar técnicas consolidadas en flujos de trabajo más rápidos.
Este cambio presiona al mismo tiempo a empleados, equipos de seguridad, proveedores de correo electrónico, bancos y empresas de IA. También socava los programas de concienciación basados en detectar faltas de ortografía, saludos extraños e historias inverosímiles.
Lo que realmente cambia la advertencia de Google News
El phishing con IA ha pasado de ser una táctica inusual a una herramienta de producción habitual para los atacantes.
El titular de BankInfoSecurity que apareció en Google News ofrecía una descripción contundente: el phishing con IA se está volviendo inquietantemente normal y difícil de detectar. La evidencia disponible más sólida respalda esa tendencia general, aunque no convierte todos los correos de phishing en ataques igualmente sofisticados.
Google Threat Intelligence Group informó de que actores respaldados por gobiernos utilizaban grandes modelos de lenguaje para investigación técnica, selección de objetivos y creación rápida de señuelos. Su rastreador de amenazas de IA describió actividad vinculada con actores de Corea del Norte, Irán, China y Rusia.
Un señuelo de phishing es el mensaje o escenario diseñado para que un objetivo realice una acción insegura. Esa acción puede implicar abrir un documento, introducir credenciales, aprobar un inicio de sesión o iniciar un pago.
La IA mejora la fase de creación de señuelos de varias maneras prácticas. Puede reescribir un mensaje para un puesto específico, imitar un tono esperado y producir versiones localizadas rápidamente. También puede resumir información pública sobre un objetivo antes de generar un enfoque plausible.
Estas funciones no requieren que un modelo rompa cifrado ni descubra una vulnerabilidad de software. Hacen que el componente social sea más barato y consistente. Un atacante puede dedicar menos tiempo a editar cada mensaje y seguir evitando errores evidentes de lenguaje.
El resultado es un cambio económico antes que técnico. La buena redacción, la traducción y la personalización antes incrementaban el coste de una campaña. Las herramientas generativas comprimen estas tareas en un flujo de trabajo repetible.
Eso no significa que todo correo bien redactado haya sido generado por IA. La atribución sigue siendo difícil porque los humanos pueden escribir mensajes claros, mientras que la automatización más antigua puede insertar nombres y datos de empresas. El texto por sí solo rara vez demuestra qué herramienta lo produjo.
Por tanto, la versión de “explicación del phishing con IA” es más limitada que la alarmista. La IA ayuda a los atacantes a producir, variar y operar estafas conocidas a mayor velocidad. El destino malicioso aún suele depender de infraestructura reconocible, incluidas páginas de inicio de sesión falsas y sesiones robadas.
Los investigadores de Google también encontraron límites importantes. Afirmaron que los actores avanzados rastreados no habían logrado capacidades revolucionarias que cambiaran fundamentalmente el panorama de amenazas en sus observaciones de finales de 2025. Los actores obtuvieron productividad, no una vía automática para superar todas las defensas.
Esa matización refuerza la advertencia central. Las organizaciones no necesitan prepararse para ataques de ciencia ficción antes de actuar. El sistema de phishing existente se vuelve más peligroso cuando el lenguaje creíble y la automatización operativa están disponibles conjuntamente.
La apariencia normal de estos mensajes crea la verdadera tensión del artículo. Un usuario puede recibir una solicitud gramaticalmente correcta vinculada a un proyecto, servicio o ejecutivo real. El mensaje visible puede parecer razonable mientras la ruta de autenticación que hay detrás es hostil.
Por eso el consejo tradicional resulta cada vez más incompleto. “Busca errores tipográficos” aborda la calidad de la presentación. No verifica quién controla el remitente, el destino, la sesión de inicio de sesión o la transacción solicitada.
El phishing con IA de Google es más que una mejor redacción
El cambio más amplio es la automatización en toda la cadena de ataque, no solo textos de correo electrónico más pulidos.
Las observaciones de Google sobre el phishing con IA muestran que los atacantes usan modelos para reconocimiento, creación de contenido, localización, programación y soporte operativo. Google también ha interrumpido cuentas y proyectos asociados con actividad maliciosa, según sus investigadores.
OpenAI ha informado de un patrón similar en los casos de uso indebido que investigó. Su investigación sobre uso malicioso indica que los actores de amenazas suelen combinar modelos de IA con sitios web, cuentas sociales y otras herramientas convencionales.
Esta combinación es importante. Un mensaje convincente crea la apertura, pero el resto de la operación captura el valor. Los atacantes aún necesitan infraestructura que robe credenciales, intercepte autenticación, despliegue malware o convenza a alguien de enviar dinero.
El phishing como servicio reduce esa barrera operativa. Estos servicios empaquetan infraestructura y funciones de campaña para clientes que no necesitan desarrollar cada componente por sí mismos. La IA puede ayudar a los operadores a mejorar la asistencia, procesar información robada y variar las campañas con mayor rapidez.
El phishing mediante códigos de dispositivo ilustra cómo el ataque ha ido más allá de la recolección de contraseñas. Este método abusa de un proceso legítimo de inicio de sesión diseñado para dispositivos que no pueden aceptar una contraseña fácilmente.
El objetivo recibe un flujo real de inicio de sesión en un dispositivo e introduce un código proporcionado por el atacante. Si el objetivo aprueba la solicitud, el atacante puede obtener una sesión autenticada sin presentar un formulario tradicional de contraseña falsa.
Los investigadores de Huntress observaron un aumento del 1.380 por ciento en el phishing mediante códigos de dispositivo durante los primeros cuatro meses de 2026. La comparación abarcó la segunda mitad de 2025, según hallazgos sobre automatización de ataques publicados por Axios.
Ese aumento no debe interpretarse como la tasa de crecimiento de todo el phishing. Se refiere a un tipo de ataque observado dentro de la telemetría de una empresa. Aun así, demuestra con qué rapidez puede escalar un flujo de trabajo cuando las herramientas se vuelven más fáciles de operar.
El mismo principio se aplica a la personalización. Un atacante puede recopilar un anuncio empresarial, un cargo, una relación con un proveedor y el nombre de un ejecutivo a partir de fuentes públicas. Un modelo puede convertir esos fragmentos en un mensaje que coincida con un acontecimiento empresarial creíble.
Pensemos en un empleado de finanzas que gestiona regularmente cambios en las cuentas bancarias de proveedores. Un delincuente no necesita una suplantación perfecta del director financiero. Necesita una solicitud plausible entregada cuando el empleado espera ese tipo de trabajo.
El mensaje podría mencionar a un proveedor real y usar una expresión interna consolidada. Podría llegar desde un buzón comprometido, eliminando otra señal de alerta habitual. El criterio del empleado se pone entonces a prueba frente a un contexto de apariencia legítima.
La generación de voz añade otro canal. Una llamada de seguimiento puede reforzar el correo electrónico, mientras que un mensaje de texto puede crear urgencia fuera de los dispositivos corporativos gestionados. El atacante puede mover al objetivo entre canales antes de que los defensores conecten la actividad.
Aquí es donde el phishing con IA de Google se convierte en un problema de identidad más que de redacción. La calidad del lenguaje inicia la interacción. La fase decisiva implica autenticación, autorización y control de una cuenta o transacción.
Por tanto, los defensores deben examinar la secuencia completa. Deben correlacionar el remitente, el destino, el dispositivo, la solicitud de inicio de sesión, el comportamiento de la sesión y la acción financiera. Un filtro de mensajes solo ve una parte de esa secuencia.
Una regla estática también puede tener dificultades cuando los atacantes rotan dominios, archivos adjuntos y métodos de entrega. La automatización permite a los operadores probar variaciones rápidamente y abandonar la infraestructura después de que los defensores la identifiquen.
La ventaja de productividad no es ilimitada. Los modelos pueden producir detalles inexactos, revelar errores operativos o activar salvaguardas del proveedor. Los atacantes aún necesitan acceso, infraestructura y una forma de convertir las credenciales robadas en un control útil.
Sin embargo, la eficiencia importa incluso sin perfección. Una campaña no necesita que todos los objetivos cumplan. Necesita suficientes interacciones creíbles para que la operación merezca la pena.
El antiguo modelo de detección humana se está rompiendo
Formar a las personas para reconocer una redacción deficiente no puede protegerlas frente a mensajes diseñados para parecer profesionalmente normales.
Durante años, los materiales de concienciación sobre seguridad destacaron errores ortográficos, saludos extraños, urgencia sospechosa e identidad visual incoherente. Estas señales siguen siendo útiles, pero los atacantes ya no necesitan mantenerlas.
La IA generativa puede corregir la gramática al instante. Puede reescribir una solicitud con el estilo de un equipo de compras o de una mesa de soporte técnico. También puede eliminar errores culturales y lingüísticos que antes delataban campañas transfronterizas.
El mensaje resultante no necesita ser excepcional. Debe parecerse al flujo de solicitudes ordinarias que ya compiten por la atención. Un empleado apresurado puede procesarlo con los mismos hábitos que usa para el trabajo legítimo.
La encuesta europea de ISACA de junio de 2026 reveló que el 71 por ciento de los encuestados consideraba más difícil detectar el phishing y la ingeniería social impulsados por IA. Otro 58 por ciento afirmó que la IA dificultaba autenticar la información digital, según la encuesta sobre seguridad de IA.
La encuesta también encontró un beneficio defensivo. El 43 por ciento afirmó que la IA mejoró la capacidad de su organización para detectar y responder a ciberamenazas. Ese resultado refleja con mayor precisión la competencia emergente que una simple historia de atacantes contra humanos.
La IA puede ayudar a los defensores a clasificar el lenguaje, conectar señales de comportamiento y resumir actividad sospechosa. Puede identificar patrones entre mensajes que ningún empleado individual puede ver.
Sin embargo, los modelos defensivos se enfrentan a una difícil asimetría. Un atacante puede probar muchas variaciones y tener éxito ocasionalmente. Un control corporativo debe bloquear la actividad maliciosa sin interrumpir grandes volúmenes de comunicación legítima.
Los falsos positivos importan porque el correo empresarial contiene solicitudes inusuales pero válidas. Un proveedor nuevo puede cambiar sus datos de pago. Un ejecutivo puede contactar a un empleado inesperadamente. Un cliente puede enviar un documento desconocido.
Un filtro que bloquea toda anomalía perjudica el trabajo. Un filtro que confía en todo mensaje pulido pasa por alto ataques. La decisión útil depende de un contexto que va más allá de las palabras.
Ese contexto incluye si el remitente suele contactar al destinatario, si el dominio se ha observado recientemente y si la acción solicitada coincide con comportamientos anteriores. También incluye el dispositivo y la ubicación utilizados tras el envío de credenciales.
Los reportes humanos siguen aportando información valiosa. Un empleado puede reconocer que una solicitud contradice una conversación fuera de línea. Otro puede advertir que el proceso de un proveedor ha cambiado sin explicación.
Los equipos de seguridad deberían facilitar esos reportes y no castigarlos. Un botón para reportar oculto tras varios menús desperdicia el momento de duda del empleado. Castigar los reportes erróneos enseña a las personas a guardar silencio.
La formación también debe pasar de detectar indicios a verificar acciones. La pregunta no es simplemente: «¿Este correo parece extraño?». Es: «¿Qué autoridad me pide conceder este mensaje?».
Una solicitud para revisar un documento público conlleva un riesgo distinto de una solicitud para aprobar el inicio de sesión de un dispositivo. Cambiar datos bancarios exige una verificación más sólida que confirmar la hora de una reunión.
Este enfoque basado en el riesgo ofrece a los empleados una regla duradera incluso cuando el lenguaje se vuelve impecable. Las acciones sensibles necesitan una vía de confirmación independiente. La confirmación no debe reutilizar los datos de contacto suministrados en el mensaje sospechoso.
Para los cambios financieros, el empleado puede llamar a un número conocido que ya figure en el registro del proveedor. Para la recuperación de una cuenta, el usuario puede acceder directamente al servicio en lugar de seguir el enlace del mensaje.
Explicado desde esta perspectiva, el phishing con IA resulta menos misterioso. El contenido ha mejorado, pero el atacante sigue buscando una acción relevante. Los defensores ganan margen de maniobra al controlar cómo se aprueba esa acción.
Los atacantes también diseñan ataques para eludir las defensas automatizadas
Las campañas modernas de phishing ocultan destinos maliciosos detrás de imágenes, redirecciones, páginas CAPTCHA y flujos de autenticación legítimos.
Los datos de correo electrónico de Microsoft del primer trimestre de 2026 ilustran por qué la calidad del mensaje es solo una parte del problema. La empresa observó que el phishing mediante códigos QR pasó de 7,6 millones de ataques en enero a 18,7 millones en marzo.
Eso representó un aumento del 146 por ciento durante el trimestre. Microsoft también detectó que los códigos QR incrustados directamente en el cuerpo de los correos aumentaron un 336 por ciento en marzo, aunque seguían representando el 5 por ciento del volumen observado.
Un señuelo mediante código QR desplaza el destino fuera del texto habitual. A menudo dirige al objetivo hacia un teléfono personal, donde los controles corporativos del navegador y la supervisión de endpoints pueden tener menos visibilidad.
Los archivos adjuntos PDF representaron el 70 por ciento de las entregas mediante códigos QR en marzo dentro del conjunto de datos de Microsoft. Los atacantes no dependían solo de la prosa. Empaquetaban enlaces dentro de formatos que complican la inspección automatizada.
El phishing protegido por CAPTCHA también aumentó con fuerza. Un CAPTCHA es un desafío destinado a distinguir a usuarios humanos de sistemas automatizados. Los atacantes utilizan desafíos falsos o de apariencia real para retrasar a los escáneres y hacer que una página maliciosa parezca legítima.
Microsoft registró 11,9 millones de ataques protegidos por CAPTCHA en marzo, más del doble que el mes anterior. Su análisis de amenazas por correo electrónico describe una rápida rotación entre métodos de entrega mediante PDF, HTML, SVG, documentos y enlaces incrustados.
Estas cifras proceden de la visibilidad de Microsoft y no deben considerarse una medición completa del phishing global. Sí muestran que los atacantes experimentan con distintos formatos a una escala considerable.
Google ha documentado otra variante denominada ClickFix. La técnica persuade a un usuario para que copie y ejecute un comando malicioso mientras finge resolver un problema del navegador, un documento o una verificación.
En una campaña observada, actores de amenazas abusaron de funciones públicas para compartir contenido en servicios de IA generativa con el fin de alojar contenido engañoso. El servicio de confianza proporcionaba la superficie, mientras las instrucciones empujaban al objetivo a ejecutar malware.
Estos métodos presionan a los filtros de correo porque el componente peligroso puede permanecer oculto hasta después de la entrega. Un escáner puede ver un PDF, una imagen QR, una página compartida o un servicio de autenticación legítimo, en lugar de un ejecutable malicioso evidente.
El tiempo también juega a favor del atacante. Un destino puede comportarse de forma segura durante la inspección automatizada y cambiar después de la entrega. Las cadenas de redirección pueden variar según la ubicación, el dispositivo o el navegador.
Esto crea una frontera cambiante entre la seguridad del correo electrónico y la seguridad de identidad. Un mensaje puede llegar a la bandeja de entrada sin una carga útil detectable. El patrón de inicio de sesión posterior revela el ataque.
Los defensores necesitan controles que continúen después de la entrega del mensaje. Pueden eliminar un mensaje recién identificado de múltiples bandejas de entrada, revocar sesiones sospechosas y bloquear destinos conforme cambia la inteligencia.
Los sistemas de identidad también deberían evaluar concesiones de consentimiento inusuales, solicitudes de código de dispositivo, inicios de sesión desconocidos y el comportamiento de las sesiones. La autenticación multifactor sigue siendo importante, pero los atacantes diseñan cada vez más flujos que engañan a los usuarios para que concedan acceso autenticado.
La autenticación resistente al phishing reduce esta oportunidad. Las passkeys y las credenciales respaldadas por hardware vinculan la autenticación más estrechamente al servicio legítimo, reduciendo la exposición a páginas de inicio de sesión falsas.
No resuelven todos los escenarios de ingeniería social. Un empleado aún puede aprobar un pago fraudulento o divulgar información sensible durante una conversación convincente. Los controles técnicos deben corresponderse con la acción solicitada.
Los bancos afrontan una versión especialmente difícil de este problema. Los clientes esperan alertas de fraude, verificaciones de identidad y mensajes urgentes sobre sus cuentas. Los atacantes imitan esas mismas comunicaciones porque la urgencia parece creíble en un contexto financiero.
La recomendación más segura sigue siendo deliberadamente incómoda. Los clientes deberían abrir la aplicación conocida del banco o escribir directamente su dirección establecida. Deberían contactar a la institución mediante un número de un extracto existente o de la tarjeta de pago.
Ese consejo aborda el canal de la transacción, no la calidad del mensaje. Sigue siendo útil tanto si el contenido procede de un modelo, de un redactor criminal o de un buzón bancario comprometido.
Lo que la narrativa sobre el phishing con IA aún no puede demostrar
La evidencia de seguridad muestra un uso creciente de IA, pero no demuestra que la IA haya hecho que todas las campañas de phishing sean indistinguibles de las comunicaciones legítimas.
Las afirmaciones sobre detección merecen escrutinio porque identificar texto generado por IA sigue siendo poco fiable. Un correo pulido no prueba el uso de un modelo. Un correo torpe no prueba la autoría humana.
Los investigadores y los proveedores suelen medir cosas distintas. Un conjunto de datos puede contar mensajes maliciosos, mientras otro cuenta incidentes, dominios, usuarios o solicitudes bloqueadas. Los porcentajes de crecimiento pueden variar drásticamente según el periodo de comparación.
Las cifras de Microsoft describen ataques visibles dentro del ecosistema de Microsoft. El porcentaje de Huntress abarca el phishing de código de dispositivo observado por Huntress. ISACA informa de percepciones profesionales obtenidas mediante una encuesta.
En conjunto, estas fuentes muestran una dirección coherente. No constituyen una estimación global única de la prevalencia o el éxito del phishing con IA.
Los hallazgos de Google aportan otra cautela necesaria. Sus investigadores de amenazas observaron ganancias de productividad y uso indebido en el mundo real, pero no vieron que actores avanzados bajo seguimiento lograran un avance fundamental a finales de 2025.
Esa conclusión contradice la versión más contundente de la narrativa de los titulares. La IA ha cambiado el coste, la velocidad y la presentación. No ha eliminado los errores operativos ni ha vuelto obsoleta toda defensa.
Los atacantes pueden alucinar hechos, usar el cargo equivocado o inventar un proyecto. Pueden elegir un lenguaje inadecuado para la relación. Una campaña generada a escala aún puede revelar patrones entre los destinatarios.
Los proveedores de modelos también conservan puntos de intervención. Google afirma que desactiva activos maliciosos y mejora los clasificadores cuando las investigaciones identifican usos indebidos. OpenAI afirma que detecta e interrumpe cuentas relacionadas con operaciones dañinas.
Estas salvaguardas generan fricción, pero los actores de amenazas pueden cambiar de modelo, utilizar sistemas abiertos o repartir tareas entre servicios. OpenAI señala que las operaciones dañinas rara vez se limitan a una sola plataforma.
La IA defensiva conlleva su propia incertidumbre. Un sistema puede asignar una alta confianza a la interpretación equivocada. Puede pasar por alto una táctica nueva o reaccionar en exceso ante un mensaje legítimo inusual.
Las organizaciones deberían evitar sustituir una intuición humana débil por una intuición automatizada opaca. Una puntuación de IA debería convertirse en una señal dentro de un proceso de respuesta documentado.
Un sistema útil puede explicar por qué se escaló un evento. Podría identificar una relación desconocida con el remitente, un dominio nuevo, una solicitud de autenticación inusual y una acción sensible.
Esa evidencia proporciona al analista algo concreto que investigar. Una etiqueta genérica como «probablemente generado por IA» ofrece menos valor operativo, porque la autoría no determina si un mensaje es malicioso.
La privacidad introduce otra disyuntiva. La detección contextual funciona mejor cuando los sistemas pueden analizar comunicaciones, registros de identidad e historiales de comportamiento. Esa visibilidad puede exponer información sensible de empleados y clientes.
Los equipos de seguridad necesitan límites de retención, controles de acceso y una gobernanza clara para esos conjuntos de datos. De lo contrario, un programa antiphishing crea otra fuente concentrada de riesgo.
El enfoque de Google News es más útil cuando dirige la atención hacia la verificación. Resulta menos útil cuando trata la IA como una explicación mágica para cada estafa exitosa.
El estándar práctico debería seguir siendo la evidencia de intención maliciosa, infraestructura o acción solicitada. La participación de la IA cambia la priorización y la escala. No elimina la necesidad de un análisis cuidadoso de incidentes.
Lo que los equipos de seguridad deberían vigilar a continuación
La próxima fase se medirá mediante el abuso automatizado de identidad, la calidad de la respuesta defensiva y la adopción de controles resistentes al phishing.
La primera señal es el crecimiento del phishing basado en códigos de dispositivo y sesiones. Estos ataques importan porque se dirigen a flujos de autenticación legítimos en lugar de a simples formularios de contraseña.
Los equipos de seguridad deberían seguir la frecuencia con la que los usuarios reciben códigos de dispositivo inesperados, aprueban sesiones desconocidas o conceden acceso mediante flujos inusuales. Un aumento sostenido reforzaría la tesis de que los atacantes están automatizando más allá de la creación de mensajes.
Una disminución tras controles más sólidos debilitaría el argumento de que la técnica puede escalar sin resistencia. También mostraría que la telemetría de identidad puede interrumpir ataques después de que un correo llegue a la bandeja de entrada.
La segunda señal es si los sistemas defensivos reducen el tiempo de respuesta sin saturar a los analistas. Las herramientas asistidas por IA pueden conectar señales de mensajes, identidad, endpoints y transacciones, pero solo si las organizaciones las integran de forma coherente.
Los equipos deberían medir el tiempo desde el primer reporte de un usuario hasta la eliminación del mensaje, la revocación de la sesión y la identificación de los usuarios afectados. También deberían supervisar los falsos positivos y las anulaciones repetidas por parte de analistas.
Una contención más rápida con tasas de error estables respaldaría el caso defensivo de la IA. Una acumulación creciente de alertas demostraría que la clasificación por sí sola no resuelve el problema operativo.
La tercera señal es la adopción de autenticación resistente al phishing y de verificación independiente de transacciones. Estos controles trasladan la protección desde la capacidad del usuario para juzgar el estilo de redacción.
Google, Microsoft, los bancos y los proveedores de identidad empresarial influyen en esa transición. Las organizaciones deberían vigilar la inscripción en passkeys, la cobertura de autenticación respaldada por hardware y las excepciones que mantienen rutas de inicio de sesión más débiles.
También deberían medir cuántas acciones financieras o administrativas sensibles requieren una confirmación fuera de banda. Una comprobación fuera de banda utiliza un canal separado y previamente confiable, en lugar de los datos proporcionados por quien realiza la solicitud.
Una adopción más amplia reduciría el valor de los señuelos sofisticados. Una adopción lenta dejaría a los empleados responsables de distinguir diferencias que los sistemas generativos están diseñados cada vez más para difuminar.
Por tanto, la disputa a corto plazo no es entre un atacante con IA y un lector humano. Es entre la persuasión automatizada y la verificación por capas.
Una buena defensa parte de la premisa de que algunos mensajes maliciosos parecerán normales y llegarán a sus objetivos. Limita lo que un solo mensaje, un clic o una aprobación pueden lograr.
Las organizaciones pueden empezar con una revisión focalizada. Identifiquen las acciones que generan las mayores pérdidas, incluidos los cambios de pago, la recuperación de contraseñas, la aprobación de tokens y el acceso administrativo.
Después, analicen cómo recibe autorización cada acción. Si un correo electrónico creíble puede desencadenarla por sí solo, el proceso tiene una debilidad que una mejor capacitación en concienciación no puede reparar.
Google News seguirá mostrando ejemplos alarmantes porque la amenaza es visible, cercana y cambia rápidamente. Los lectores deberían tomar esos informes como estímulos para verificar, no como prueba de que la detección se ha vuelto imposible.
Para los responsables de seguridad, la pregunta inmediata es concreta: ¿Qué acción sensible sigue dependiendo de que un empleado decida si un mensaje sofisticado “parece correcto”? Sustituyan ese punto de juicio por una comprobación fiable, midan el resultado y prueben el proceso antes de que lo haga un atacante.
