{"id":70127,"date":"2026-09-30T07:45:43","date_gmt":"2026-09-30T07:45:43","guid":{"rendered":"https:\/\/overcentral.com\/es\/?p=70127"},"modified":"2026-09-30T07:45:43","modified_gmt":"2026-09-30T07:45:43","slug":"phishing-con-ia-robo-tokens-acceso-70127","status":"publish","type":"post","link":"https:\/\/overcentral.com\/es\/phishing-con-ia-robo-tokens-acceso-70127\/","title":{"rendered":"El phishing con IA elimina las se\u00f1ales cl\u00e1sicas y roba tokens de acceso"},"content":{"rendered":"

El phishing con IA elimina las se\u00f1ales cl\u00e1sicas y roba tokens de acceso: la prueba est\u00e1 en el empleado financiero que autoriz\u00f3 una transferencia de m\u00e1s de 25<\/a> millones de d\u00f3lares despu\u00e9s de participar en una videollamada en la que sus interlocutores eran versiones deepfake de sus propios jefes. La orden parec\u00eda leg\u00edtima, el contexto era impecable y nadie pidi\u00f3 una contrase\u00f1a. Esa es la nueva anatom\u00eda del enga\u00f1o: una simulaci\u00f3n que se adapta a la rutina de la v\u00edctima.<\/p>\n

Durante a\u00f1os, los manuales de seguridad insistieron en una idea sencilla: el phishing se reconoce por los errores. Remitentes extra\u00f1os, saludos gen\u00e9ricos, urgencias mal redactadas. Esa idea dej\u00f3 de ser \u00fatil. La inteligencia artificial generativa redacta sin faltas, replica el tono de un directivo y ajusta el mensaje a la actualidad de la empresa. Los correos que antes se delataban a s\u00ed mismos ahora parecen copias internas.<\/p>\n

El phishing con IA elimina las se\u00f1ales cl\u00e1sicas y roba tokens de acceso<\/h2>\n

La frase no es una advertencia ret\u00f3rica: describe un cambio estructural en la naturaleza del ataque. El phishing con IA elimina las se\u00f1ales cl\u00e1sicas y roba tokens de acceso porque ha desplazado su objetivo de la contrase\u00f1a a la sesi\u00f3n. En lugar de capturar credenciales, captura el elemento que permite entrar sin volver a identificarse. Y como ese elemento vive dentro de la propia sesi\u00f3n leg\u00edtima, ninguna advertencia de contrase\u00f1a aparece en el camino.<\/p>\n

La econom\u00eda del cibercrimen como servicio aceler\u00f3 esta transici\u00f3n. Quien quiera lanzar una campa\u00f1a de phishing ya no necesita escribir c\u00f3digo ni alojar una p\u00e1gina: compra un kit que incluye la infraestructura para capturar credenciales, imitar portales de acceso y recoger los datos robados. La inteligencia artificial ha llevado ese mercado a escala industrial.<\/p>\n

\u00bfQu\u00e9 es el robo de tokens de acceso en el phishing con IA?<\/h2>\n

El robo de tokens de acceso es una t\u00e9cnica en la que el atacante intercepta la credencial de sesi\u00f3n que mantiene autenticado al usuario en una aplicaci\u00f3n o servicio, sin necesidad de conocer su contrase\u00f1a. En el phishing con IA, el atacante enga\u00f1a al usuario para que entregue la URL de su propio inicio de sesi\u00f3n a trav\u00e9s de una p\u00e1gina falsa, y con ella captura el c\u00f3digo de autorizaci\u00f3n necesario para obtener tokens de acceso. De esta manera se elude la autenticaci\u00f3n multifactor y se compromete la cuenta con el aspecto de una operaci\u00f3n leg\u00edtima.<\/p>\n

La secuencia suele seguir estos pasos:<\/p>\n

    \n
  1. La v\u00edctima recibe un correo que simula una alerta de seguridad de su proveedor de identidad.<\/li>\n
  2. Al hacer clic, se abre una p\u00e1gina que replica el portal corporativo.<\/li>\n
  3. La p\u00e1gina pide al usuario que abra una nueva pesta\u00f1a, copie la URL de su proveedor leg\u00edtimo y la pegue en el campo indicado.<\/li>\n
  4. El atacante captura la URL, extrae el c\u00f3digo de autorizaci\u00f3n y lo intercambia por tokens de acceso.<\/li>\n
  5. Como la sesi\u00f3n ya estaba activa, no se solicita contrase\u00f1a ni verificaci\u00f3n adicional.<\/li>\n<\/ol>\n

    Los c\u00f3digos QR: una se\u00f1al que ya no puede leerse<\/h2>\n

    Los c\u00f3digos QR representan el caso m\u00e1s visible de esta desaparici\u00f3n de las se\u00f1ales cl\u00e1sicas. Una URL escondida dentro de un c\u00f3digo no puede inspeccionarse al pasar el rat\u00f3n por encima. El escaneo se realiza con el tel\u00e9fono m\u00f3vil, lo que saca la navegaci\u00f3n del entorno controlado por la empresa y despista a las pasarelas de seguridad. El resultado es que un empleado puede abrir la puerta a un atacante sin escribir una sola direcci\u00f3n.<\/p>\n

    La magnitud del problema es reciente y medible. En el primer semestre de 2026<\/a>, uno de cada nueve correos de phishing detectados por la telemetr\u00eda de ESET<\/a> empleaba c\u00f3digos QR. Microsoft<\/a> ya identifica los c\u00f3digos QR como el vector de ataque de m\u00e1s r\u00e1pido crecimiento en el correo electr\u00f3nico.<\/p>\n

    Deepfakes: cuando la confianza tambi\u00e9n se falsifica<\/h2>\n

    El caso de la videollamada con directivos falsos no es una an\u00e9cdota aislada, sino una pista sobre el futuro de la verificaci\u00f3n. La imitaci\u00f3n no necesitaba ser perfecta; el contexto de una reuni\u00f3n interna y la urgencia de una orden de pago bastaron para que la v\u00edctima la aceptara como real. La IA generativa ha llevado la ingenier\u00eda social a un terreno en el que el juicio humano, bajo presi\u00f3n, se convierte en el \u00faltimo filtro.<\/p>\n

    Cuando el atacante usa la voz y el rostro de un directivo, el correo electr\u00f3nico deja de ser el vector principal. La confianza que las organizaciones depositan en la comunicaci\u00f3n verbal se convierte en el eslab\u00f3n explotable.<\/p>\n

    ClickFix: cuando la v\u00edctima ejecuta el ataque<\/h2>\n

    Otra familia de ataques en crecimiento es ClickFix, un m\u00e9todo que pide al usuario que pegue un comando en su propia terminal. El mensaje se presenta como una soluci\u00f3n a un problema t\u00e9cnico: una actualizaci\u00f3n pendiente, un error de conectividad o una verificaci\u00f3n de seguridad. La v\u00edctima, convencida de que est\u00e1 colaborando con el equipo de TI, ejecuta sin saberlo un comando que descarga malware o modifica ajustes del sistema. Las detecciones de este tipo de ataque no dejan de crecer.<\/p>\n

    Empleados que reconocen el fraude y no lo reportan<\/h2>\n

    Los datos de los servicios de detecci\u00f3n y respuesta gestionada apuntan a un eslab\u00f3n especialmente d\u00e9bil: el momento en que el empleado sospecha y decide no informar. El informe de ESET MDR del primer trimestre de 2026 muestra que los empleados suelen reconocer el phishing cuando lo tienen delante, pero no siempre lo reportan. Cada ataque no notificado es una oportunidad perdida para que otros aprendan a reconocer la t\u00e1ctica y para que el equipo de seguridad recoja indicadores de compromiso.<\/p>\n

    La verg\u00fcenza, el miedo a las represalias o la simple falta de un canal claro de denuncia explican en parte este silencio. La consecuencia es que el atacante dispone de m\u00e1s tiempo para moverse lateralmente, porque nadie ha encendido la alarma.<\/p>\n

    La desalineaci\u00f3n de prioridades en las pymes<\/h2>\n

    El SMB Cyber Readiness Index de ESET, basado en 4,400 tomadores de decisiones de peque\u00f1as y medianas empresas, revela una desalineaci\u00f3n inc\u00f3moda. Las organizaciones dicen preocuparse sobre todo por el malware impulsado por IA, pero los incidentes reales siguen teniendo or\u00edgenes mucho m\u00e1s convencionales: phishing, software sin parchear, brechas de supervisi\u00f3n y contrase\u00f1as d\u00e9biles. La preocupaci\u00f3n por la IA, comprensible, puede estar desviando la atenci\u00f3n de las bases que a\u00fan no se cuidan.<\/p>\n

    La tecnolog\u00eda de protecci\u00f3n con IA es necesaria, pero no suficiente si las pr\u00e1cticas b\u00e1sicas de higiene digital siguen siendo deficientes. La pr\u00f3xima campa\u00f1a no necesita ser la m\u00e1s sofisticada; necesita encontrar la puerta que sigue abierta.<\/p>\n

    La velocidad de detecci\u00f3n lo cambia todo<\/h2>\n

    La diferencia entre un incidente y una crisis no est\u00e1 en el clic, sino en lo que ocurre despu\u00e9s. Los datos de ESET MDR indican que casi el 70% de los incidentes de seguridad se producen durante el horario laboral t\u00edpico, cuando el atacante puede camuflarse entre las operaciones diarias. La misma telemetr\u00eda se\u00f1ala que el 41% de las investigaciones se completan en un plazo de dos semanas; el resto se alarga durante semanas o meses.<\/p>\n

    En este escenario, la detecci\u00f3n gestionada se convierte en una pieza estrat\u00e9gica. Los sensores automatizados recopilan se\u00f1ales de la red, las cuentas y los dispositivos; los analistas las agrupan y determinan si responden a un ataque en curso. La IA ayuda a gestionar el volumen y la velocidad de los datos, mientras que los analistas humanos aportan el criterio necesario para decidir la respuesta.<\/p>\n

    Cerrar la brecha: capas, verificaci\u00f3n y contexto<\/h2>\n

    Para una peque\u00f1a o mediana empresa, la carga es desproporcionada. Una compa\u00f1\u00eda de cien empleados utiliza los mismos sistemas de nube, identidad, pagos y colaboraci\u00f3n que una multinacional, pero dispone de una fracci\u00f3n del personal para vigilarlos. La externalizaci\u00f3n del monitoreo es la \u00fanica v\u00eda realista para cerrar la brecha entre la superficie de ataque y la capacidad de respuesta.<\/p>\n

    Las capas preventivas siguen siendo la base:<\/p>\n

      \n
    • Autenticaci\u00f3n resistente al phishing<\/li>\n
    • Controles de sesi\u00f3n que limiten la duraci\u00f3n de los tokens<\/li>\n
    • Confirmaci\u00f3n de acciones de alto riesgo a trav\u00e9s de canales previamente acordados<\/li>\n
    • Supervisi\u00f3n continua con respuesta gestionada<\/li>\n<\/ul>\n

      Las solicitudes de pago y otras operaciones sensibles exigen cada vez m\u00e1s la verificaci\u00f3n por un segundo canal y la intervenci\u00f3n de un segundo aprobador. Ninguna de estas capas es infalible, pero todas juntas reducen la superficie de ataque y, sobre todo, ganan tiempo.<\/p>\n

      Cuando cualquier mensaje puede ser falso, la verificaci\u00f3n fuera de banda se convierte en el \u00fanico lenguaje com\u00fan de la confianza. El phishing con IA elimina las se\u00f1ales cl\u00e1sicas y roba tokens de acceso sin dejar rastro; la respuesta no puede ser una intuici\u00f3n mejor, sino una cultura que convierta la duda en acci\u00f3n y la acci\u00f3n en aprendizaje.<\/p>\n","protected":false},"excerpt":{"rendered":"

      El phishing con IA elimina las se\u00f1ales cl\u00e1sicas y roba tokens de acceso: la prueba est\u00e1 en el empleado financiero que autoriz\u00f3 una transferencia de m\u00e1s de 25 millones de d\u00f3lares despu\u00e9s de participar en una videollamada en la que sus interlocutores eran versiones deepfake de sus propios jefes. La orden parec\u00eda leg\u00edtima, el contexto […]<\/p>\n","protected":false},"author":2,"featured_media":70130,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/es\/70127.png","fifu_image_alt":"El phishing con IA elimina las se\u00f1ales cl\u00e1sicas y roba tokens de","footnotes":""},"categories":[5],"tags":[],"class_list":["post-70127","post","type-post","status-publish","format-standard","has-post-thumbnail","category-tecnologia"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/es\/70127.png","fifu_image_alt":"El phishing con IA elimina las se\u00f1ales cl\u00e1sicas y roba tokens de","_links":{"self":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/70127","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/comments?post=70127"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/70127\/revisions"}],"predecessor-version":[{"id":70128,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/70127\/revisions\/70128"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/media\/70130"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/media?parent=70127"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/categories?post=70127"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/tags?post=70127"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}