Las respuestas fraudulentas de la búsqueda con IA ponen en riesgo la confianza de los usuarios
Google ha convertido Search en un motor de respuestas, pero los datos de contacto fraudulentos están dejando al descubierto una peligrosa debilidad en esa transformación. Una noticia de Google News que destaca la advertencia de Panda Security vuelve a poner el problema en el foco. El cuadro de respuesta puede parecer fiable incluso cuando la información que lo sustenta merece un mayor escrutinio.
La preocupación no es que todos los AI Overviews contengan información fraudulenta. Google afirma que sus defensas bloquean cada día cientos de millones de resultados relacionados con estafas. El conflicto comienza cuando una respuesta sintetizada aparece en pantalla antes de que los usuarios examinen sus fuentes.
La búsqueda tradicional pide a las personas que elijan entre enlaces. La búsqueda con IA toma esa decisión por ellas y presenta después una respuesta concisa en la conocida interfaz de Google. Cuando la respuesta incluye un número de teléfono, una instrucción de pago o un procedimiento de recuperación, un solo dato erróneo puede llevar al usuario directamente a una estafa.
Esto cambia la cuestión de seguridad. Los usuarios ya no solo deben evaluar si un sitio web desconocido parece legítimo. También deben decidir si el propio cuadro de respuesta de Google representa fielmente fuentes fiables.
La estafa entra en el cuadro de respuesta
El cambio central es sencillo: la información fraudulenta ya no necesita ganar el clic final si un resumen de IA la repite primero.
Los estafadores llevan tiempo manipulando los rankings de búsqueda, comprando anuncios engañosos, clonando páginas de soporte e insertando números de teléfono falsos. Estas tácticas normalmente dependían de convencer a alguien para que visitara un destino fraudulento. Las respuestas generadas por IA introducen una vía más corta.
Un atacante puede publicar un número falso de atención al cliente junto al nombre de un banco, una aerolínea, un servicio de entregas o una empresa tecnológica. A continuación, afirmaciones similares pueden aparecer en foros, directorios de baja calidad, páginas comprometidas o sitios web desechables.
Un sistema de búsqueda con IA recupera información de la web y sintetiza lo que parece relevante. La generación aumentada por recuperación, o RAG, permite a un modelo utilizar material recuperado recientemente al producir una respuesta. Ese proceso aporta información actual al modelo, pero también crea una vía para el contenido manipulado.
La respuesta resultante no tiene por qué parecer un anuncio ni un resultado de búsqueda sospechoso. Aparece dentro de un resumen cuidado en la parte superior de una página conocida de Google. Los enlaces a las fuentes pueden situarse junto a la respuesta principal o debajo de ella, mientras que el dato solicitado aparece de inmediato.
Los informes sobre números de soporte falsos demuestran por qué ese diseño importa. Una persona que busca ayuda tras un vuelo cancelado, una cuenta bloqueada, un pago fallido o una entrega extraviada quiere una solución rápida. La urgencia reduce la probabilidad de que examine varias fuentes.
El atacante solo necesita que la víctima llame. La persona que responde puede hacerse pasar por un empleado, solicitar datos de la cuenta, exigir una transferencia o impulsar la instalación de software de acceso remoto. Las solicitudes para compartir pantalla y los avisos de pago pueden hacer que el encuentro sea especialmente peligroso.
No se trata simplemente de una alucinación de IA, en la que un modelo inventa información sin respaldo. El sistema puede reproducir con precisión una afirmación falsa que un atacante colocó deliberadamente en Internet. En ese caso, la respuesta se basa en material recuperado, pero el propio material está contaminado.
Esta distinción importa porque añadir más citas no resuelve automáticamente el problema. Varias páginas de baja calidad pueden repetir el mismo número insertado. La aparente coincidencia entre fuentes puede reflejar una manipulación coordinada en lugar de una confirmación independiente.
Una respuesta sintetizada también puede eliminar señales de alerta. Un nombre de dominio extraño, un diseño deficiente de la página, ventanas emergentes agresivas y una autoría cuestionable podrían alertar a un visitante cuidadoso. El cuadro de respuesta puede extraer una línea mientras oculta ese contexto poco fiable.
Google News no creó este patrón de ataque. Sin embargo, la interfaz más amplia de Google ayuda a consolidar la confianza que hace efectivo el patrón. Los usuarios pueden pasar de una noticia o una búsqueda convencional a una respuesta generada por IA sin sentir que han entrado en un entorno de riesgo.
Por tanto, el cambio es tanto conductual como técnico. Antes, la búsqueda mostraba pruebas para que los usuarios las evaluaran. El cuadro de respuesta entrega cada vez más una conclusión antes de que esa evaluación comience.
Google News y Search ahora asumen una mayor carga de confianza
Cuando Google redacta la respuesta visible, los usuarios atribuyen naturalmente a Google una mayor responsabilidad por la precisión de cada dato accionable.
Google describe AI Overviews como parte de Search, respaldados por sus sistemas de ranking y calidad. La empresa también coloca enlaces junto a los resúmenes generados para que los usuarios puedan explorar las páginas web de apoyo.
Ese diseño crea una división de responsabilidades compleja. Google puede argumentar que la información procede de sitios web independientes. Los usuarios pueden responder razonablemente que Google la seleccionó, resumió y mostró de forma destacada.
La tensión se intensifica cuando una respuesta contiene una acción en lugar de información general. Un resumen de un acontecimiento histórico conlleva un nivel de riesgo. Un número de teléfono, una ruta de acceso, una instrucción médica o un procedimiento de pago conlleva otro.
Los propios consejos de seguridad de Google reconocen la sensibilidad de los datos de contacto. Su guía indica que los usuarios que busquen atención al cliente deben consultar el sitio web oficial de la empresa. También advierte que algunas organizaciones no ofrecen soporte telefónico en absoluto.
Esa recomendación limita discretamente lo que debería fomentar un cuadro de respuesta. Si el sitio web oficial sigue siendo la fuente más segura, un número de teléfono generado por IA no puede funcionar por sí solo como un destino de confianza. Solo debería actuar como una pista sin verificar.
Google afirma que sus sistemas están mejorando. En un informe de 2025 sobre sus defensas contra estafas, la empresa afirmó que la IA le ayudó a detectar 20 veces más páginas fraudulentas. También dijo que Search bloquea cada día cientos de millones de resultados relacionados con estafas.
Estas cifras muestran la escala de la operación defensiva de Google. No demuestran que cada respuesta generada sea segura. Un sistema puede eliminar enormes cantidades de abuso y aun así pasar por alto un pequeño número de detalles con consecuencias graves.
La distinción entre tasa e impacto es importante. Una descripción incorrecta y poco frecuente de un restaurante es molesta. Un número bancario fraudulento, aunque sea raro, puede exponer credenciales, dinero, documentos de identidad o un dispositivo.
Google recibe presión desde dos direcciones. Quiere que las respuestas de IA parezcan inmediatas y completas. También necesita que los usuarios entiendan cuándo la respuesta exige una verificación externa.
Más advertencias pueden reducir la comodidad del producto. Menos advertencias pueden fomentar una confianza inapropiada. Esa es la carga de confianza que se crea cuando un motor de búsqueda empieza a hablar con una única voz elaborada.
Otros proveedores de búsqueda con IA afrontan la misma presión estructural. Microsoft Copilot, Perplexity, ChatGPT search y otros motores de respuesta recuperan material en línea antes de generar respuestas concisas. Sus interfaces difieren, pero cada sistema condensa varias fuentes en una conclusión aparentemente única.
Google se enfrenta a un escrutinio mayor por el alcance y el papel conocido de Search. Muchos usuarios han pasado años tratando su primera página como el punto de partida más seguro. AI Overviews aprovecha esa confianza acumulada antes de que los usuarios hayan aprendido sus nuevos modos de fallo.
Google News añade otra capa de legitimidad percibida. Un titular encontrado a través de una superficie de noticias reconocida puede llevar a los lectores a asumir que el entorno informativo circundante ha sido plenamente verificado. Sin embargo, la agregación, el ranking y la generación de respuestas son procesos distintos.
Un resultado de noticias puede identificar correctamente a un editor real mientras una respuesta de IA adyacente sigue manejando mal una afirmación concreta. La confianza en una superficie de Google no debería transferirse automáticamente a cada detalle generado en otra.
La comodidad gana antes de que comience la verificación
El cuadro de respuesta cambia el comportamiento de los usuarios porque elimina la pausa en la que antes se evaluaban las fuentes.
Investigadores de Pew examinaron 68.879 búsquedas de Google realizadas por adultos estadounidenses durante marzo de 2025. Su estudio sobre el comportamiento de clic descubrió que el 18 por ciento de esas búsquedas produjo un resumen de IA.
Los usuarios hicieron clic en un resultado tradicional en el 8 por ciento de las visitas que contenían un resumen de IA. Lo hicieron en el 15 por ciento de las visitas sin uno. Solo el 1 por ciento de las visitas con un resumen llevó a un enlace citado dentro de ese resumen.
El estudio no mide la exposición a estafas. Sí muestra que muchos usuarios aceptan la página de resultados sin abrir las pruebas que la sustentan. Ese comportamiento aumenta la importancia de cada detalle que Google coloca en la respuesta generada.
Pew también descubrió que el 26 por ciento de las visitas con un resumen terminó la sesión de navegación. La tasa comparable para páginas sin resumen fue del 16 por ciento. Para muchas búsquedas, el resumen se convirtió de hecho en el destino final.
Ese resultado explica por qué los enlaces a las fuentes solo ofrecen una defensa parcial. Una cita tiene un valor protector limitado cuando casi nadie la abre. El texto generado sigue siendo la experiencia principal del producto.
El riesgo más elevado aparece cuando los usuarios plantean preguntas concretas y transaccionales. “¿Qué es esta empresa?” invita a obtener información general. “¿A qué número debo llamar?” pide al sistema que elija un canal de comunicación de confianza.
Una consulta de atención al cliente suele combinar urgencia con contexto limitado. El usuario puede estar ante una puerta de embarque, respondiendo a una alerta de fraude o intentando recuperar una cuenta bloqueada. Es menos probable que realice una auditoría de fuentes bajo presión.
Los estafadores diseñan sus siguientes pasos en torno a ese estado emocional. Un supuesto agente de soporte puede exigir una acción inmediata, afirmar que una cuenta está comprometida o decir que un reembolso vence pronto. La respuesta de IA proporciona el contacto y luego toma el control la ingeniería social.
La interfaz aporta su propia autoridad. Un AI Overview utiliza tipografía coherente, espaciado limpio y la marca de Google. No hereda el desorden visual de las páginas de las que procedía una afirmación cuestionable.
Este proceso puede blanquear la credibilidad sin demostrar la verdad. El sistema convierte texto web fragmentado en una afirmación segura. Los lectores perciben esa seguridad, mientras la incertidumbre en la recuperación y la selección de fuentes permanece oculta.
El problema también va más allá de los números de teléfono. Los atacantes pueden insertar instrucciones falsas para descargar software, direcciones de billeteras de criptomonedas, pasos de recuperación, códigos de cupón o enlaces a páginas diseñadas para robar credenciales.
El riesgo aumenta siempre que una respuesta provoque una acción externa. Llamar a un número, instalar una aplicación, compartir una pantalla, enviar dinero o introducir credenciales debería activar un estándar de verificación más alto.
Ese estándar no puede depender solo de una redacción fluida. Los modelos de lenguaje están diseñados para generar texto coherente. La coherencia dice poco a los usuarios sobre si un número de teléfono pertenece a la organización mencionada junto a él.
Un problema similar afecta a la investigación en el trabajo. Los empleados copian cada vez más respuestas generadas en tickets, informes e hilos de chat internos. Un detalle sin respaldo puede desplazarse por una organización después de perder el contexto de su fuente original.
Los equipos necesitan un rastro de evidencia visible para decisiones relacionadas con seguridad, finanzas, clientes o cumplimiento normativo. Una base de conocimiento de IA con capacidad de búsqueda puede conservar documentos aprobados y su contexto. Aun así, requiere una selección de fuentes fiable.
El modelo mental útil no es “las respuestas de la IA son falsas”. Es “las respuestas de la IA son resúmenes con una calidad de evidencia variable”. Este enfoque conserva su conveniencia sin otorgarles autoridad automática.
Más fuentes no siempre producen una respuesta más segura
La búsqueda con IA puede fallar incluso al citar páginas web reales, porque la calidad de la recuperación y la independencia de las fuentes siguen siendo problemas distintos.
Un motor de búsqueda convencional clasifica documentos. Un motor de búsqueda impulsado por IA clasifica documentos y luego los interpreta. Cada etapa adicional introduce decisiones sobre relevancia, autoridad, consenso y presentación.
El modelo puede recuperar una página maliciosa porque coincide estrechamente con la redacción de la consulta. Después puede citar esa página con precisión. La respuesta final se vuelve perjudicial sin que el modelo tenga que inventar nada.
Investigadores presentaron una amplia prueba de este problema en el USENIX Security Symposium de 2025. Su estudio sobre búsqueda con IA evaluó siete motores de búsqueda con IA en producción utilizando material malicioso de varias bases de datos de amenazas.
Los investigadores informaron de que el 47 por ciento de las respuestas evaluadas resultaban riesgosas según su marco de evaluación. También descubrieron que el 34 por ciento citaba directamente contenido dañino en la respuesta.
Estos porcentajes no deben interpretarse como la tasa cotidiana de fallos de Google Search. El experimento utilizó deliberadamente entradas maliciosas y probó varios productos. Mide la vulnerabilidad en condiciones adversariales, no el tráfico habitual de consumidores.
Su mecanismo sigue siendo relevante. Los investigadores demostraron que los sistemas de búsqueda con IA pueden reconocer sitios web de phishing como sitios oficiales legítimos. También mostraron cómo la suplantación de documentos en línea puede inducir a error a las respuestas generadas.
El estudio comparó la búsqueda con IA con la búsqueda tradicional y concluyó que los sistemas impulsados por IA funcionaban mejor en conjunto tanto en utilidad como en seguridad. Este hallazgo impide llegar a la conclusión simplista de que las listas de enlaces siempre son más seguras.
La verdadera disyuntiva es más precisa. La síntesis mediante IA puede mejorar la relevancia y reducir la exposición a algunas páginas maliciosas. También puede convertir una falsedad recuperada en una recomendación directa.
Los resultados tradicionales muestran nombres de dominio, fragmentos, enlaces alternativos y diferencias de clasificación. Estas señales pueden ayudar a una persona atenta a detectar incertidumbre. La síntesis mediante IA reduce esa fricción al resolver el desacuerdo en nombre del usuario.
Los atacantes también pueden explotar la repetición. Si varias páginas contienen el mismo número falso, un sistema de recuperación puede interpretar el patrón como corroboración. Sin embargo, las páginas pueden copiarse entre sí o pertenecer a una misma campaña.
Por tanto, la diversidad de fuentes debe significar algo más que contar URL. Un sistema fiable debería identificar propiedad común, texto copiado, sitios comprometidos, cambios recientes de dominio y conflictos con los canales oficiales de una organización.
La actualidad plantea otro reto. Una página recién creada puede contener palabras clave actualizadas que coinciden mejor con una consulta urgente que una página oficial de soporte más antigua. La frescura de la búsqueda puede jugar en contra de la autoridad de la fuente.
Los sitios web legítimos comprometidos son especialmente difíciles. Un dominio de confianza puede alojar contenido inyectado sin que su propietario lo sepa. La reputación consolidada del dominio pasa entonces a formar parte del disfraz del atacante.
Google lleva mucho tiempo operando Safe Browsing, clasificadores de spam, protecciones de clasificación y canales de denuncia manual. Estas capas hacen que Search sea más seguro a una escala enorme. Las respuestas de IA siguen requiriendo controles diseñados para acciones generadas, no solo para destinos peligrosos.
Un clasificador de URL puede advertir antes de que una persona visite una página de phishing. No puede proteger plenamente a alguien que llama a un número fraudulento ya copiado en una respuesta. La carga riesgosa ya ha salido de la página web.
Por ello, los campos de alto riesgo necesitan validación especializada. Un número de teléfono debería compararse con una página de contacto oficial. Una dirección de billetera no debería sintetizarse a partir de resultados web generales. Las descargas de software deberían dirigirse a canales verificados del editor.
El sistema también debería conservar el desacuerdo. Si las fuentes entran en conflicto, la salida más segura puede ser indicar que no se encontró ningún contacto verificado. Negarse a proporcionar un detalle conveniente puede ser mejor que elegir la respuesta más repetida.
La afirmación de seguridad y la promesa del producto se separan
Las defensas de Google pueden mejorar de forma sustancial, mientras que la interfaz centrada en respuestas sigue fomentando más confianza de la que la evidencia respalda.
La postura de Google cuenta con un sólido respaldo factual. La empresa opera sistemas contra abusos a una escala que pocas organizaciones pueden igualar. Afirma que la IA ayuda a identificar campañas coordinadas de estafas y amenazas emergentes entre enormes cantidades de contenido web.
Sus funciones de respuesta también proporcionan enlaces a las fuentes. Google ha ajustado AI Overviews desde su amplio lanzamiento en Estados Unidos, incluidos cambios destinados a reducir respuestas absurdas o satíricas.
Estas medidas cuestionan la idea de que Google esté ignorando el problema. Los equipos de búsqueda saben que los adversarios manipulan las clasificaciones y el contenido. La empresa lleva décadas respondiendo al spam, el malware, los anuncios engañosos y los sitios web hackeados.
Sin embargo, la promesa del producto ya no se limita a encontrar páginas relevantes. Un cuadro de respuesta ofrece una contestación sintetizada sobre la que los usuarios pueden actuar de inmediato. Eso eleva el estándar, de la calidad del descubrimiento a la calidad de la conclusión.
Google puede afirmar con precisión que la mayoría de los AI Overviews son útiles, mientras que los críticos pueden identificar con precisión casos límite graves. La utilidad promedio y los fallos de alto impacto pueden coexistir.
La advertencia de Panda Security se sitúa en esa brecha. La conclusión útil no es que Google News o AI Overviews deban abandonarse. Es que la autoridad de la interfaz supera la certeza de algunas afirmaciones subyacentes.
La cobertura de medios de seguridad ha descrito números de soporte fraudulentos que aparecen en AI Overviews. Estos informes siguen siendo casos individuales, no una medición completa de la prevalencia.
Esta limitación importa. Las anécdotas públicas no pueden establecer con qué frecuencia aparecen detalles fraudulentos. Las capturas de pantalla pueden quedar desactualizadas, los resultados varían según la ubicación y Google puede eliminar rápidamente una mala respuesta.
Los investigadores también tienen dificultades para reproducir resultados de búsqueda personalizados o que cambian rápidamente. Una consulta probada hoy puede devolver una vista general distinta mañana. Las cuentas, la redacción, la geografía y el contexto de navegación pueden influir en la página.
Por ello, las afirmaciones de que AI Overviews son ampliamente inseguras irían más allá de la evidencia disponible. Las afirmaciones de que el problema está resuelto también irían demasiado lejos.
La conclusión defendible es más limitada. Las respuestas generadas crean una superficie de ataque creíble para material de fuentes maliciosas. Los informes del mundo real muestran que detalles de contacto perjudiciales pueden eludir las defensas existentes.
Los usuarios deberían aplicar una regla de verificación basada en el riesgo. Las explicaciones generales pueden servir como puntos de partida. Los detalles accionables requieren confirmación de una fuente autorizada.
Para atención al cliente, abra el sitio web o la aplicación oficial de la organización. No confíe en un número de teléfono únicamente porque aparece en un resumen de IA, un foro, un anuncio o un directorio.
Para servicios financieros, utilice el número impreso en la tarjeta o mostrado dentro de la aplicación autenticada. Nunca comparta un código de un solo uso, una contraseña o credenciales completas de pago con una persona que llama.
Para software, use el canal de distribución verificado del desarrollador. Evite instaladores recomendados a través de dominios desconocidos, incluso cuando una respuesta los describa como oficiales.
Para recuperar una cuenta, navegue directamente al servicio. Un representante legítimo no debería exigir control remoto, compartir pantalla, tarjetas regalo, criptomonedas ni una transferencia inmediata.
Google ofrece una guía similar sobre estafas. Aconseja a los usuarios que se tomen su tiempo, verifiquen la fuente y utilicen canales oficiales para obtener información de atención al cliente.
Esta guía devuelve parte de la carga al usuario. Es un consejo sensato, pero también pone de manifiesto la contradicción. El cuadro de respuesta ahorra tiempo solo hasta que se vuelve necesaria la verificación.
La solución a largo plazo no puede ser únicamente la sospecha permanente del usuario. Google controla la recuperación, la clasificación, la presentación y el diseño de advertencias. Puede hacer visible la incertidumbre antes de que ocurra una acción peligrosa.
Qué deberían vigilar a continuación los lectores de Google News
La próxima fase se juzgará por tres señales: validación a nivel de acción, informes transparentes de incidentes y pruebas de seguridad independientes.
La primera señal es si Google trata los datos de contacto y las instrucciones de transacción como una clase de riesgo especial. La clasificación ordinaria por relevancia no basta para información que mueve dinero o abre una cuenta.
Un número de teléfono verificado podría requerir coincidencia con el dominio oficial de la organización o con un perfil empresarial autenticado. Si Google introduce una validación más sólida, respaldaría la afirmación de que los cuadros de respuesta pueden gestionar consultas transaccionales de forma segura.
La ausencia de tales controles mantendría la contradicción actual. Google seguiría ofreciendo respuestas directas mientras aconseja a los usuarios verificar esas respuestas en otro lugar.
La segunda señal es una mejor transparencia sobre incidentes. Google publica cifras generales sobre páginas de estafas bloqueadas, pero los usuarios también necesitan información sobre detalles perjudiciales que aparecieron dentro de respuestas generadas.
Los informes útiles distinguirían entre enlaces maliciosos, números falsos de soporte, dominios comprometidos e instrucciones fabricadas. También explicarían el tiempo de detección, el tiempo de eliminación y la recurrencia.
Estas mediciones no deberían revelar métodos defensivos que los atacantes puedan eludir fácilmente. Deberían mostrar si los incidentes a nivel de respuesta están disminuyendo a medida que Google amplía la búsqueda con IA.
Una tasa de incidentes a la baja reforzaría el argumento de seguridad de Google. Los totales generales de eliminaciones sin evidencia específica de las respuestas dejarían sin resolver la cuestión central.
La tercera señal son pruebas independientes y repetibles. Los investigadores de seguridad necesitan formas estables de evaluar la calidad de las fuentes, la fidelidad de las citas y las acciones de alto riesgo en los productos de búsqueda con IA.
Las pruebas deberían separar los errores factuales ordinarios de la manipulación adversarial. También deberían distinguir entre una cita perjudicial y una instrucción perjudicial entregada directamente en la respuesta.
Los investigadores deben publicar conjuntos de consultas, fechas, regiones y reglas de evaluación siempre que sea posible. Los resultados generados cambian rápidamente, por lo que los métodos transparentes importan más que las capturas de pantalla aisladas.
Las pruebas independientes también pueden comparar Google con Microsoft, OpenAI, Perplexity y otros proveedores. Esta comparación mostrará si un producto tiene una debilidad distintiva o si todo el modelo de motores de respuesta la comparte.
Para los usuarios, la regla operativa ya está clara. Trate un AI Overview como un resumen rápido, no como una autoridad verificada. Abra la fuente siempre que la respuesta contenga un detalle que pueda mover dinero, exponer una cuenta o cambiar un dispositivo.
Google News puede mostrar reportajes valiosos sobre estos riesgos, mientras que Google Search puede seguir generando la interfaz riesgosa que se está analizando. Ese contraste resume la tensión más amplia en torno a la búsqueda con IA.
El cuadro de respuesta es útil porque elimina esfuerzo. La verificación es necesaria porque parte de ese esfuerzo eliminado antes incluía juicio. Hasta que Google pueda restaurar de forma fiable ese juicio dentro del producto, la respuesta más segura es una comprobación adicional.
Antes de llamar, pagar, instalar o compartir, haga una pregunta: ¿confirma el propio canal verificado de la organización este detalle? Si la respuesta no está clara, deténgase. El resumen de Google puede iniciar la búsqueda, pero no debería terminar la decisión.
