El phishing está cambiando. 

Con la llegada de la inteligencia artificial, los atacantes pueden generar miles de correos únicos, hiper-personalizados e indistinguibles de los mensajes legítimos. 

Esta nueva generación de amenazas, conocida como phishing polimórfico, emplea modelos de lenguaje para adaptar remitentes, líneas de asunto, tono, contenido e incluso metadatos de entrega en cada instancia. En consecuencia, los sistemas tradicionales basados en firmas fijas quedan obsoletos. 

Según recientes estudios, más del 70% de los correos de phishing usados en 2024 incluyen componentes de IA, y en los ataques claramente polimórficos esa cifra asciende a más del 90%.

En este contexto donde la automatización beneficia tanto a defensores como a atacantes, capacitar a equipos sobre cómo la IA está transformando el phishing se ha vuelto clave para proteger a las organizaciones.

¿Qué es el phishing polimórfico?

Hasta hace poco, los intentos de phishing se basaban en plantillas relativamente sencillas: el mismo texto, los mismos enlaces y patrones de error repetidos que los filtros aprendían a bloquear. 

Sin embargo, el panorama es distinto hoy en día. El phishing polimórfico representa una evolución donde los mensajes se generan, adaptan y distribuyen de forma dinámica, brindando al atacante la capacidad de modificar cada correo según la víctima, reduciendo así la probabilidad de detección.

El mecanismo se apoya en varias capacidades específicas de IA: la adquisición de datos sobre la víctima (perfil laboral, estructura corporativa, contexto de proyecto), generación de texto natural que imita el estilo corporativo real, y finalmente enrutamiento automatizado de correos con dominios, firmas y archivos adjuntos rotativos. 

Esta técnica convierte cada mensaje en un elemento aparentemente genuino, lo que dificulta que un filtro o un analista reconozca patrón alguno.

Para comprender mejor la magnitud del riesgo, conviene examinar el proceso típico de un ataque de phishing potenciado por IA:

• Recopilación de datos: los atacantes usan modelos de scraping o brechas previas para obtener información de empleados, estructura organizacional, proveedores o incluso estilo de lenguaje interno.
  
• Generación personalizada: la IA produce correos o mensajes con tono, contexto y variables únicos para cada víctima, por ejemplo solicitando acción urgente de parte de un colega relevante.
  
• Optimización automática: mediante análisis de métricas de apertura y respuesta, el sistema ajusta automáticamente asuntos, cuerpos de texto o tiempos de envío.
  
• Evasión de detección: dominios rotativos, metadatos cambiantes, enlaces únicos y estilos distintos en cada envío; todo con el fin de evitar firmas y heurísticas conocidas.

Este enfoque no es solo teórico. Por ejemplo, recientes investigaciones muestran que la efectividad de campañas de phishing generadas por IA ha superado a la de equipos rojos humanos, lo que demuestra que los defensores tienen un nuevo adversario con capacidad de aprendizaje y adaptación real.

Impacto del phishing en organizaciones

Cuando los correos de phishing adoptan esta capacidad de adaptación, el impacto es doble: mayor tasa de éxito y mayor dificultad para detectarlo tempranamente. 

Se estima que el phishing es el vector inicial en una proporción significativa de brechas de datos, y que los mensajes con IA pueden obtener tasas de apertura 2-3 veces superiores a los correos tradicionales.

El riesgo va más allá del simple clic: una credencial obtenida mediante phishing puede facilitar movimiento lateral, acceso a entornos en la nube, exfiltración de datos o instalación de malware, todo sin disparar alertas tradicionales. 

Para sectores críticos (finanzas, salud, cadena de suministro) este tipo de amenaza se está convirtiendo en una prioridad estratégica.

Estrategias para defenderse del phishing polimórfico

Aunque no exista una solución mágica que lo detenga todo, una estrategia integrada que combine tecnología avanzada y conciencia humana será siempre la más eficaz.

A nivel técnico, las organizaciones deberían considerar:

• Soluciones de detección basadas en comportamiento, que analicen patrones de envío, contexto, lenguaje y métricas en lugar de depender únicamente de firmas estáticas.
  
• Autenticación multifactor resistente al phishing (como tokens físicos o biometría) que limite el impacto de credenciales comprometidas.
  
• Inteligencia de amenazas en tiempo real, incluyendo detección de movimientos laterales que podrían resultar de un acceso inicial por phishing.

A nivel humano, algunas prácticas recomendadas incluyen:

• Programas de capacitación que expongan a los usuarios a las nuevas tácticas de phishing generadas por IA y los entrenen en reconocer señales más sutiles.
  
• Políticas de verificación interna para solicitudes críticas: confirmar mediante canales distintos o doble autenticación ante transferencias, accesos o cambios de configuración sensibles.
  
• Una cultura organizacional que fomente la pausa crítica ante correos inesperados: detenerse, pensar, validar. La tecnología puede filtrar mucho, pero la persona sigue siendo un eslabón clave.

La conciencia de cada individuo puede marcar la diferencia entre un acceso no autorizado y una organización protegida. 

Lo que inviertas en entrenamiento y cultura de seguridad hoy, repercute mañana en la resistencia de la empresa frente a amenazas cada vez más inteligentes.