Expertos de BI.ZONE: la IA y los deepfakes hicieron el phishing de 2026 más preciso y peligroso

El phishing ha ganado inteligencia de forma notable en 2026. Los correos masivos no han desaparecido, pero el mayor crecimiento está ahora en ataques personalizados y multietapa con IA y deepfakes. Los expertos de BI.ZONE afirman que la tecnología ha cambiado el envoltorio del fraude, pero no la lógica de la defensa: la verificación, un segundo canal de comunicación y la 2FA siguen resolviendo mucho.

Cómo ha cambiado el phishing

La IA ha abaratado drásticamente la preparación de ataques. Si antes los delincuentes tenían que fabricar correos genéricos, ahora recopilan datos abiertos sobre la persona y adaptan el mensaje a su trabajo, su círculo social y los servicios que usa habitualmente. Los deepfakes refuerzan el efecto: una voz falsificada, un rostro parecido y una forma de hablar familiar ayudan a ganarse la confianza más rápido. Funcionan especialmente bien los escenarios en los que el atacante se hace pasar por un familiar, un colega o un jefe y exige una acción urgente.

Los canales también se han vuelto más precisos. Para el alcance masivo, los estafadores recurren a redes sociales y mensajería, crean chats temáticos, escriben por privado y dejan enlaces en comentarios. Pero para las empresas el correo electrónico sigue siendo un punto de entrada crítico: según BI.ZONE, el 64% de los ataques dirigidos contra empresas de Rusia y la CEI empieza con correos de phishing. Las llamadas telefónicas y las videollamadas añaden lo que le falta al texto —presión, sensación de urgencia e ilusión de contacto personal—, de modo que la víctima toma antes una decisión impulsiva.

Qué esquemas funcionan

Según las observaciones de BI.ZONE, desde octubre de 2025 ha crecido notablemente el interés de los estafadores por las cuentas de mensajería y las áreas personales de los portales de servicios públicos. Al mismo tiempo crece el esquema Ghost invoice: los atacantes registran dominios parecidos a los sitios de grandes empresas, envían ofertas comerciales y cuelan facturas falsas. Para la víctima parece una compra normal; para la empresa suplantada, acaba en un golpe a su reputación.

Estos son los escenarios más eficaces y que más se usan ahora.

• Notificaciones falsas de bancos, agencias tributarias y servicios públicos
• Fake Boss, cuando un «directivo» escribe a un empleado y lo prepara para una llamada de las «fuerzas de seguridad» o del regulador
• Esquemas TOAD, en los que se pide a la víctima que llame ella misma, esquivando el antispam de llamadas
• Códigos QR en lugares concurridos que llevan a formularios falsos
• Aplicaciones móviles de phishing que imitan servicios originales

Otra tendencia es la industrialización del phishing. El Phishing-as-a-Service reduce la barrera de entrada: las plataformas listas para usar ayudan a desplegar páginas falsas, adaptarlas al comportamiento del usuario e incluso sortear parte de los escenarios de MFA. Combinado con la IA generativa, esto convierte el phishing en una cadena de montaje. El número de sitios de phishing cayó en el primer trimestre de 2026 a 12,5 mil frente a 17,5 mil un año antes, pero eso no significa que haya menos amenazas: los estafadores se desplazan hacia ataques de varios pasos más complejos y rentables.

Qué ayuda a protegerse

Para el usuario común, las reglas básicas siguen siendo más eficaces que cualquier recurso exótico. Es importante entrar solo en direcciones oficiales, no abrir adjuntos ni enlaces de mensajes inesperados y volver a comprobar las peticiones urgentes por otro canal. Si llega un mensaje de voz o un vídeo de un conocido pidiendo dinero, hay que buscar incoherencias: gestos extraños, entonación poco natural, mala calidad de la grabación, formulaciones inusuales. Y es mejor activar la autenticación de dos factores mediante una aplicación en lugar de depender solo de los SMS.

«Si algo parece sospechoso, es mejor comprobarlo a través de los

canales oficiales».

Para las empresas, la defensa hace tiempo que no se limita al antispam. Hacen falta canales de comunicación seguros, formación periódica de los empleados y comprobaciones adicionales en los procesos críticos. Funciona bien el principio de la «segunda mano», en el que una transferencia, un cambio de datos bancarios o la concesión de acceso la confirma otro empleado de confianza. Además, se necesitan herramientas para detectar deepfakes, protocolos claros y una respuesta rápida a los incidentes, antes de que el ataque complete todas las fases de la cadena.

Los esquemas multietapa son especialmente peligrosos porque cada paso por separado puede parecer inofensivo. Primero llega una «transferencia errónea», después empieza la intimidación y luego se convence a la víctima de que envíe el dinero a otra cuenta o se lo entregue a un mensajero. Otros escenarios usan el SMS bombing: se inunda a la persona de mensajes y luego la llaman en nombre del banco para proponerle «salvar» urgentemente su cuenta. Este teatro de presión no apunta a una vulnerabilidad técnica, sino al cansancio y la ansiedad.

Qué significa

El phishing en 2026 ya no es solo un correo falso, sino una economía de servicios del fraude, potenciada por la IA, los deepfakes y las plataformas listas para usar. Según la estimación de BI.ZONE, solo en 2025 el daño de estos esquemas superó los 18 000 millones de rublos. Para usuarios y empresas la conclusión es simple: gana no quien tiene más herramientas de moda, sino quien verifica más rápido y mantiene disciplina y un escepticismo sano.