El ecosistema de la ciberseguridad global ha recibido en febrero de 2026 una señal de alerta de dimensiones considerables: más de 600 dispositivos FortiGate, distribuidos en 55 países, fueron comprometidos por actores de amenaza que aprovecharon herramientas comerciales de inteligencia artificial generativa. Este incidente, documentado por Amazon Threat Intelligence, no explotó vulnerabilidades de día cero ni fallos de software complejos, sino que se apoyó en dos debilidades tan antiguas como la propia red: puertos de gestión expuestos y credenciales débiles sin autenticación de dos factores. La combinación de IA generativa con vectores de ataque clásicos ha abierto un nuevo capítulo en la guerra cibernética, donde la automatización inteligente permite escalar operaciones que antes requerían un esfuerzo manual significativo.
Más de 600 dispositivos FortiGate en 55 países: el ataque que redefinió el riesgo de exposición
El informe de Amazon Threat Intelligence, publicado a finales de febrero de 2026, revela que los atacantes utilizaron herramientas de IA generativa comerciales para identificar, seleccionar y comprometer dispositivos FortiGate en todo el mundo. La operación no se dirigió contra una vulnerabilidad específica del firmware o del hardware de Fortinet, sino que se centró en la explotación sistemática de interfaces de gestión administrativa que permanecían accesibles desde internet. Los atacantes emplearon modelos de lenguaje de gran escala (LLM) para automatizar la fase de reconocimiento, generando scripts de ataque personalizados y adaptando sus tácticas en tiempo real según las respuestas de los sistemas objetivo.
La escala del ataque es impactante: 600 dispositivos comprometidos en 55 países implican una capacidad de despliegue masivo que solo es posible cuando la inteligencia artificial acelera cada fase del ciclo de ataque. Desde la enumeración de direcciones IP hasta la prueba de credenciales por defecto o débiles, los atacantes pudieron operar a una velocidad y con una cobertura geográfica que habría sido inviable con métodos puramente manuales. La ausencia de autenticación de dos factores en los puertos de gestión fue el factor crítico que permitió que credenciales comprometidas —muchas de ellas aún con contraseñas predeterminadas o fácilmente adivinables— otorgaran acceso completo a los firewalls.
¿Por qué los atacantes eligieron FortiGate? Estos dispositivos son omnipresentes en infraestructuras de red corporativas, gubernamentales y de proveedores de servicios. Un firewall comprometido no solo expone la red interna, sino que puede ser utilizado como punto de pivote para ataques laterales, exfiltración de datos o despliegue de ransomware. La combinación de IA generativa con objetivos de alto valor como los FortiGate multiplica el riesgo: donde antes un atacante necesitaba días para cartografiar y explotar una red de dispositivos, ahora puede hacerlo en horas con la ayuda de modelos de IA que escriben, prueban y refinan código de ataque de forma autónoma.
Cómo la IA generativa transformó un ataque clásico en una operación a escala industrial
Para comprender la gravedad del incidente, es necesario analizar el papel específico que jugó la IA generativa. Según el reporte de Amazon Threat Intelligence, los actores de amenaza utilizaron asistentes de IA comerciales —posiblemente versiones de ChatGPT, Gemini o Claude, aunque el informe no nombra proveedores concretos— para generar scripts de ataque en múltiples lenguajes de programación, redactar comandos de explotación y simurar respuestas de los sistemas objetivo. La IA no solo aceleró la escritura de código, sino que permitió a los atacantes iterar rápidamente: si un intento de autenticación fallaba, el modelo podía sugerir variaciones de credenciales o técnicas de evasión.
Este enfoque representa un salto cualitativo respecto a los ataques automatizados tradicionales. Mientras que herramientas como los escáneres de vulnerabilidades o los frameworks de post-explotación ya existían, la IA generativa introduce una capa de adaptabilidad contextual. Por ejemplo, si un FortiGate mostraba una página de inicio de sesión personalizada, el modelo podía generar un payload de phishing específico para esa interfaz. Si el sistema detectaba un intento de fuerza bruta y bloqueaba una IP, la IA podía sugerir el uso de proxies rotativos o técnicas de evasión de rate limiting.
La lección central es que la seguridad de los dispositivos de red ya no puede depender únicamente de parchear vulnerabilidades. La exposición de puertos de gestión a internet, combinada con credenciales débiles, se convierte en una puerta abierta que la IA generativa puede explotar con una eficiencia aterradora. Cualquier organización que mantenga interfaces administrativas accesibles desde internet sin autenticación multifactor está, en esencia, invitando a este tipo de ataques.
PromptSpy: el primer malware Android que abusa de la IA generativa para manipular la interfaz de usuario
La misma semana en que se conoció el ataque a FortiGate, los investigadores de ESET publicaron el descubrimiento de PromptSpy, el primer caso documentado de malware para Android que utiliza inteligencia artificial generativa para manipular la interfaz de usuario de manera consciente del contexto. Esta amenaza, identificada por el equipo de investigación de ESET, representa un nuevo paradigma en el malware móvil: en lugar de limitarse a robar credenciales mediante superposiciones estáticas, PromptSpy emplea modelos de lenguaje para analizar el contenido de la pantalla y generar interacciones falsas que engañan al usuario de forma mucho más convincente.
El funcionamiento de PromptSpy es revelador. Una vez instalado en el dispositivo —generalmente mediante técnicas de sideloading o a través de tiendas de aplicaciones no oficiales—, el malware solicita permisos de accesibilidad. A partir de ahí, monitoriza la interfaz de usuario en tiempo real. Cuando detecta que el usuario abre una aplicación bancaria o de pagos, el malware utiliza un modelo de IA generativa local o remoto para interpretar el contexto de la pantalla: qué campos hay, qué botones están visibles, qué texto aparece. Luego genera superposiciones dinámicas que imitan perfectamente la interfaz legítima, pero que redirigen las credenciales ingresadas a los atacantes.
La diferencia con técnicas anteriores de overlay banking es fundamental. Los troyanos bancarios clásicos usaban plantillas predefinidas que podían ser detectadas por su falta de adaptación. PromptSpy, al emplear IA generativa, puede crear superposiciones personalizadas para cualquier aplicación, en cualquier idioma y con cualquier diseño. Esto eleva la sofisticación del fraude móvil a un nivel donde la detección basada en firmas o en comportamientos predecibles se vuelve insuficiente.
¿Qué implicaciones tiene PromptSpy para la seguridad móvil en España y América Latina? Ambas regiones tienen altas tasas de penetración de smartphones Android y un uso intensivo de banca móvil. La capacidad de este malware para adaptarse a cualquier aplicación bancaria regional lo convierte en una amenaza particularmente relevante. Las instituciones financieras deberán considerar no solo la protección tradicional contra malware, sino también mecanismos de detección de anomalías en la interfaz de usuario y en las interacciones con el sistema operativo.
El FBI alerta sobre un resurgimiento de los ataques jackpotting a cajeros automáticos en Estados Unidos
En otro frente de la seguridad, el FBI emitió una advertencia durante febrero de 2026 sobre un incremento significativo de los ataques de jackpotting en cajeros automáticos en territorio estadounidense. Estos asaltos, impulsados por malware especializado, permiten a los criminales engañar a las máquinas expendedoras de efectivo para que dispensen grandes cantidades de billetes sin una transacción legítima. La técnica, que combina acceso físico al cajero con la inyección de código malicioso, ha experimentado un repunte que las autoridades atribuyen a la disponibilidad de herramientas de ataque en foros clandestinos y a la creciente sofisticación de los grupos criminales.
El modus operandi típico implica que los atacantes obtengan acceso a la parte interna del cajero —ya sea forzando la cerradura o utilizando llaves maestras— y luego conecten un dispositivo, generalmente un miniordenador o un smartphone, al puerto de diagnóstico del ATM. A través de este dispositivo, despliegan un malware que anula los controles de dispensación de efectivo. En cuestión de minutos, el cajero puede vaciarse de todo su contenido, que en algunos casos asciende a decenas de miles de dólares.
La alerta del FBI subraya que los ataques jackpotting no son nuevos, pero su frecuencia y la velocidad con la que se ejecutan han aumentado. La combinación de malware más eficiente y la disponibilidad de instrucciones detalladas en la dark web facilitan que grupos menos experimentados puedan llevar a cabo estos robos. Para los operadores de cajeros automáticos —bancos, empresas de servicios financieros y retailers—, la recomendación es clara: reforzar la seguridad física de las máquinas, actualizar el firmware para bloquear puertos de diagnóstico no utilizados e implementar sistemas de detección de anomalías en tiempo real.
Polonia CERT revela ataques a más de 30 organizaciones de infraestructuras críticas: el wiper Dynowiper bajo análisis
A finales de enero de 2026, el equipo de respuesta a incidentes de seguridad informática de Polonia (CERT Polonia) publicó un informe exhaustivo sobre una oleada de ciberataques dirigidos a más de 30 organizaciones que operan en sectores de infraestructuras críticas. El reporte, que ha sido ampliamente analizado por la comunidad de seguridad durante febrero, detalla intrusiones que afectaron a empresas energéticas, de transporte y de suministro de agua. ESET, como parte de su labor de investigación, analizó técnicamente un wiper —un tipo de malware diseñado para destruir datos de forma irreversible— denominado Dynowiper, que fue utilizado en uno de los incidentes contra una compañía energética.
El análisis de ESET sobre Dynowiper revela características técnicas que lo vinculan con campañas anteriores de actores de amenaza vinculados a estados-nación. El wiper no solo elimina archivos y sobrescribe sectores de disco, sino que también intenta corromper copias de seguridad y volúmenes de sistema, maximizando el daño operativo. En el caso del ataque a la empresa energética polaca, los atacantes lograron acceso inicial mediante phishing dirigido, se movieron lateralmente por la red y finalmente desplegaron el wiper en sistemas críticos de control industrial.
La publicación del informe de CERT Polonia y el análisis técnico de ESET ofrecen lecciones cruciales para las organizaciones de infraestructuras críticas en todo el mundo, incluyendo las de España y América Latina. La segmentación de redes, la autenticación multifactor para accesos remotos y la monitorización constante de tráfico hacia sistemas de control industrial son medidas que pueden marcar la diferencia entre un incidente contenido y una interrupción catastrófica. El hecho de que los atacantes utilizaran un wiper indica una intencionalidad destructiva, más allá del robo de datos o la extorsión mediante ransomware.
Lecciones estratégicas para empresas: más allá del parche, la gestión de la exposición
Los cuatro incidentes destacados en febrero de 2026 comparten un hilo conductor: la explotación de configuraciones deficientes y la falta de medidas de seguridad básicas, amplificada por el uso de inteligencia artificial generativa. En el caso de los FortiGate, no se trató de una vulnerabilidad zero-day, sino de puertos de gestión abiertos y credenciales débiles. En PromptSpy, el malware aprovecha permisos de accesibilidad que raramente son auditados. En los ataques jackpotting, la seguridad física de los cajeros resultó insuficiente. En los incidentes de infraestructuras críticas en Polonia, el acceso inicial llegó mediante phishing, un vector que las organizaciones conocen pero que a menudo no logran mitigar por completo.
La inteligencia artificial generativa actúa como un multiplicador de fuerza para los atacantes, pero no crea vectores de ataque nuevos; los existentes los vuelve más rápidos, más adaptativos y más difíciles de detectar. La respuesta de las organizaciones debe ser igualmente estratégica: no se trata solo de parchear sistemas, sino de reducir la superficie de exposición. Cerrar puertos de gestión que no sean estrictamente necesarios, implementar autenticación multifactor en todos los accesos administrativos, auditar periódicamente los permisos de aplicaciones móviles y reforzar la seguridad física de los dispositivos son pasos concretos que cualquier empresa puede adoptar hoy.
Además, la colaboración entre equipos de seguridad y la inteligencia compartida son fundamentales. Tanto Amazon Threat Intelligence como ESET y CERT Polonia publicaron sus hallazgos de manera abierta, permitiendo que la comunidad global de ciberseguridad pudiera aprender y prepararse. En un entorno donde los atacantes utilizan IA generativa para escalar sus operaciones, la defensa también debe apoyarse en el análisis automatizado, la compartición de indicadores de compromiso y la adopción de marcos de seguridad como Zero Trust.
Para las empresas en España y América Latina, donde la digitalización avanza rápidamente pero la madurez en ciberseguridad es heterogénea, estos incidentes deben servir como un llamado a la acción. No se necesita ser un objetivo de alto perfil para sufrir un ataque de este tipo; los 600 dispositivos FortiGate comprometidos incluían organizaciones de todos los tamaños y sectores. La pregunta que cada responsable de seguridad debe hacerse no es si su organización será atacada, sino si está preparada para resistir un asalto que combina lo mejor —o lo peor— de la inteligencia artificial con las debilidades más humanas: contraseñas fáciles, configuraciones descuidadas y falta de conciencia.
El mes de febrero de 2026 quedará registrado como el momento en que la IA generativa dejó de ser una promesa de futuro para convertirse en una herramienta real y peligrosa en manos de los atacantes. La industria de la seguridad tiene ahora la responsabilidad de responder con la misma velocidad e inteligencia que sus adversarios.
