La inteligencia artificial avanza a un ritmo imparable, transformando la comunicación, el trabajo y el acceso a la información. Pero esa misma tecnología que facilita la productividad también está perfeccionando las herramientas de los ciberdelincuentes. Hoy, un correo de phishing ya no se distingue por faltas de ortografía, una voz clonada suena idéntica a la original y un vídeo generado por IA puede mostrar a un directivo autorizando una transferencia. En este nuevo escenario, la alfabetización digital ha dado un giro fundamental: ya no basta con saber usar el ordenador o navegar por internet; la competencia esencial del siglo XXI es aprender a verificar la información antes de actuar. ESET, compañía líder en ciberseguridad, y Ontinet.com, su distribuidor oficial en España, recuerdan con motivo del Día Internacional de la Alfabetización que la capacidad de cuestionar, contrastar y confirmar el origen de cada mensaje se ha convertido en la primera línea de defensa frente al fraude.
El nuevo paradigma de la alfabetización digital en la era de la IA
El 8 de septiembre se celebra el Día Internacional de la Alfabetización, una fecha que este 2026 adquiere un significado especialmente relevante. La UNESCO, en el 60.º aniversario de esta conmemoración, ha elegido el lema «Alfabetización para las personas, el planeta y la prosperidad», subrayando la necesidad de adaptar las competencias básicas a un mundo en rápida transformación donde la inteligencia artificial ya forma parte del día a día. Para ESET y Ontinet.com, esta reflexión no puede eludir la ciberseguridad: la alfabetización digital ya no consiste únicamente en saber utilizar la tecnología, sino en desarrollar la capacidad de cuestionar la información, verificar su origen y reconocer cuándo una comunicación aparentemente legítima puede esconder un intento de engaño.
La advertencia de INCIBE en junio de 2026 refuerza esta tesis. Según el instituto español de ciberseguridad, los modelos de IA avanzada pueden facilitar la creación de campañas de phishing más convincentes, el desarrollo de malware, el descubrimiento de vulnerabilidades y la automatización de ataques complejos. La tecnología que antes funcionaba como un aliado ahora se ha puesto al servicio de los atacantes, haciendo que las señales tradicionales de fraude —errores gramaticales, traducciones deficientes, imágenes de baja calidad— desaparezcan prácticamente por completo.
ESET Threat Report H1 2026: 900.000 AI skills y el malware PromptSpy
La investigación propia de ESET confirma de forma contundente esta tendencia. En el ESET Threat Report H1 2026, los investigadores analizaron cerca de 900.000 AI skills, componentes funcionales utilizados por agentes de inteligencia artificial. De ellos, detectaron decenas de miles de instancias sospechosas y miles de ellas fueron consideradas directamente maliciosas. El informe también recoge la identificación de PromptSpy, un malware para Android que utiliza inteligencia artificial generativa dentro de su flujo de ejecución.
Estos datos ponen de manifiesto que los ciberdelincuentes ya no se limitan a usar IA para redactar correos más realistas, sino que están integrando la inteligencia artificial en el propio código malicioso. PromptSpy, por ejemplo, emplea modelos generativos para adaptar su comportamiento, evadir detecciones y personalizar los engaños en tiempo real. La sofisticación ha alcanzado un nivel en el que el ataque no solo parece legítimo, sino que es capaz de aprender de las respuestas de la víctima para perfeccionar el siguiente paso.
Para el usuario medio, esta evolución supone un desafío inmenso. Si antes bastaba con desconfiar de un correo mal redactado, ahora cualquier comunicación puede ser perfecta en forma y fondo. La defensa, por tanto, no puede basarse en la apariencia, sino en el proceso de verificación.
¿Cómo funciona PromptSpy?
PromptSpy es un malware para Android que integra inteligencia artificial generativa en su cadena de ejecución. Esto significa que el propio código malicioso es capaz de generar contenido dinámico, adaptar sus mensajes y modificar su comportamiento para eludir las barreras de seguridad tradicionales. Al utilizar modelos de lenguaje, puede engañar a la víctima con diálogos naturales, imitar aplicaciones legítimas e incluso responder a preguntas del usuario para mantener la confianza. Este tipo de malware representa un salto cualitativo respecto a las variantes estáticas del pasado, y exige que tanto los sistemas de protección como la formación de los usuarios evolucionen al mismo ritmo.
Por qué la ingeniería social es el objetivo principal de la IA maliciosa
La razón por la que la inteligencia artificial se ha convertido en un arma tan efectiva para los ciberdelincuentes es que el eslabón más débil de la cadena de seguridad sigue siendo la persona. La mayoría de los ataques no explotan vulnerabilidades técnicas complejas, sino que buscan que un usuario confíe en una comunicación aparentemente legítima y actúe en consecuencia. Esto es lo que se conoce como ingeniería social, y la IA la ha llevado a un nivel de precisión quirúrgica.
Josep Albors, responsable de Investigación y Concienciación de ESET España, lo explica con claridad: «Durante años hemos enseñado a los usuarios a desconfiar de mensajes con faltas de ortografía, traducciones deficientes o expresiones poco naturales. La inteligencia artificial está reduciendo muchas de esas señales, por lo que hoy la mejor defensa ya no consiste únicamente en detectar errores, sino en aprender a verificar la información antes de actuar. Debemos dejar de confiar en la apariencia de un mensaje para empezar a confiar en las comprobaciones que hacemos sobre él».
Esta afirmación resume el cambio de paradigma: la alfabetización digital ya no es una habilidad técnica, sino una competencia crítica. Saber navegar por una web o utilizar una aplicación ya no es suficiente. Lo que realmente protege a una persona es su capacidad para detenerse, preguntarse quién está al otro lado y confirmar los datos antes de hacer clic, descargar un archivo o facilitar información confidencial.
Cinco preguntas antes de confiar en un mensaje
Ante un contenido que podría haber sido generado o manipulado con inteligencia artificial, los expertos de ESET y Ontinet.com recomiendan incorporar estas cinco preguntas a la rutina diaria. Son sencillas, pero funcionan como un filtro mental que puede marcar la diferencia entre un engaño exitoso y una comunicación segura.
- ¿Quién me está contactando realmente? Comprueba el remitente, el dominio, el número de teléfono o el perfil desde el que recibes la comunicación. No te fíes solo del nombre visible; verifica la dirección completa y compárala con contactos anteriores.
- ¿Qué me están pidiendo? Desconfía especialmente si solicitan credenciales, transferencias, cambios de cuentas bancarias o información confidencial. Ninguna entidad legítima te pedirá datos sensibles por correo electrónico o mensaje de texto.
- ¿Existe una urgencia injustificada? La presión para actuar con rapidez sigue siendo uno de los recursos más utilizados por los ciberdelincuentes. Si el mensaje te insta a responder «inmediatamente» o te amenaza con consecuencias graves, es muy probable que sea un fraude.
- ¿Puedo comprobar esta información por otro canal? Ante cualquier solicitud de información confidencial, confirma la petición utilizando un medio de contacto conocido y no los datos incluidos en el propio mensaje. Llama por teléfono al número oficial de la empresa, visita su web directamente o consulta con un compañero.
- ¿Estoy confiando en la apariencia en lugar de en la evidencia? Que un correo esté perfectamente redactado, una voz resulte familiar o un vídeo parezca auténtico no demuestra por sí mismo que la comunicación sea legítima. La perfección técnica ya no es garantía de autenticidad.
Estas cinco preguntas no requieren conocimientos técnicos avanzados. Cualquier persona, desde un usuario doméstico hasta un empleado de una gran corporación, puede incorporarlas como un hábito diario. La clave está en la constancia y en entender que la verificación no es opcional, sino una parte esencial de la interacción digital.
La necesidad de una cultura de seguridad basada en la verificación
El cambio que propone ESET y Ontinet.com va más allá de consejos prácticos. Implica un replanteamiento profundo de cómo las organizaciones y los individuos entienden la seguridad. Durante décadas, la formación en ciberseguridad se ha centrado en enseñar a los usuarios a identificar señales de peligro: enlaces sospechosos, archivos adjuntos extraños, errores de escritura. Pero la IA está eliminando precisamente esas señales. Por tanto, la educación debe pivotar hacia un modelo que enseñe a verificar en lugar de solo a detectar.
Esta aproximación encaja con el llamado de la UNESCO a repensar la alfabetización para el siglo XXI. La capacidad de leer y escribir ya no basta; la alfabetización digital del futuro exige pensamiento crítico, escepticismo metodológico y hábitos de confirmación. En un entorno donde cualquier contenido puede ser sintético, la confianza no puede depositarse en la forma, sino en la trazabilidad y en la verificación multicanal.
Para las empresas, esta reflexión es especialmente urgente. Los ataques de ingeniería social asistidos por IA pueden eludir los filtros técnicos más avanzados porque no atacan al sistema, sino a la persona. Un empleado bien formado que aplica las cinco preguntas antes de actuar es una defensa más eficaz que cualquier software de seguridad por sí solo. La formación continua, los simulacros de phishing y la creación de una cultura donde preguntar antes de hacer clic sea la norma son inversiones tan necesarias como los firewalls y los antivirus.
¿Cuál es la mejor defensa frente a un mensaje generado por IA?
La mejor defensa no es intentar determinar si un contenido ha sido generado por inteligencia artificial, sino incorporar hábitos de verificación que sigan siendo eficaces incluso cuando el mensaje sea prácticamente indistinguible de uno auténtico. Esto significa que, ante cualquier comunicación que solicite datos sensibles o acciones urgentes, el usuario debe detenerse, aplicar las cinco preguntas de verificación y confirmar por un canal independiente la legitimidad de la petición. La tecnología puede engañar a los sentidos, pero un proceso estructurado de verificación es mucho más difícil de burlar.
El rol de la inteligencia artificial en la alfabetización digital del futuro
Paradójicamente, la misma tecnología que está facilitando los engaños también puede ser una aliada en la alfabetización digital. Herramientas de IA pueden ayudar a detectar patrones de fraude, analizar metadatos de correos electrónicos o identificar deepfakes. Sin embargo, delegar toda la seguridad en la tecnología sería un error. La alfabetización digital del futuro debe ser una combinación de formación humana y herramientas técnicas, donde la persona mantenga el control último sobre las decisiones críticas.
El Día Internacional de la Alfabetización 2026, bajo el lema de la UNESCO, invita a reflexionar sobre cómo adaptar las competencias básicas a un mundo donde la inteligencia artificial ya es ubicua. Para ESET y Ontinet.com, la respuesta pasa por integrar la verificación como un hábito tan natural como leer un correo: preguntar, dudar, confirmar. Solo así podremos navegar por el entorno digital con la seguridad de que no somos víctimas de un engaño, por muy perfecto que parezca.
Albors lo resume con una idea que debería convertirse en mantra de la ciberseguridad moderna: «Más que enseñar a las personas a reconocer un contenido generado por inteligencia artificial, debemos enseñarles a verificar la información y a no tomar decisiones que puedan poner en riesgo información confidencial basándose únicamente en lo que ven, leen o escuchan. Esa capacidad debe formar parte de la cultura de seguridad tanto de los usuarios como de las organizaciones».
La alfabetización digital ha evolucionado. Ya no se trata de dominar herramientas, sino de dominar el escepticismo constructivo. En un mundo donde la IA puede imitar cualquier voz, cualquier rostro y cualquier texto, la pregunta más importante que podemos hacernos no es «¿es esto real?», sino «¿cómo puedo comprobarlo?». Responder a esa pregunta con método y constancia es, hoy por hoy, la habilidad más valiosa para protegerse en el entorno digital.
