Phishing escrito por IA: por qué ya no tiene faltas de ortografía

Durante años, una de las recomendaciones más repetidas para reconocer un correo de phishing fue buscar errores de ortografía, traducciones extrañas o frases mal construidas. En 2026, ese consejo resulta insuficiente. La inteligencia artificial generativa permite crear mensajes impecables, adaptar el tono a cada destinatario y reproducir con facilidad el lenguaje de un banco, un proveedor, un gerente o un compañero de trabajo. El phishing con inteligencia artificial ya no necesariamente parece sospechoso: puede parecer exactamente el correo que esperábamos recibir.

Cómo cambió el phishing con la inteligencia artificial

La IA no solo corrige la redacción. También puede analizar información disponible en LinkedIn, redes sociales, páginas corporativas y otras fuentes públicas para construir mensajes personalizados. Estudios recientes muestran que los modelos generativos pueden producir ataques de spear phishing más contextualizados, persuasivos y difíciles de reconocer, mientras que Microsoft detectó aproximadamente 8.300 millones de amenazas de phishing por correo electrónico solamente durante el primer trimestre de 2026.

Qué señales debe observar ahora su equipo

Por eso, la pregunta ya no debe ser únicamente «¿está bien escrito?», sino «¿esta solicitud tiene sentido?». Un colaborador debe prestar atención a cambios inesperados de procedimiento, pedidos de información sensible, enlaces que conducen a dominios distintos, facturas no previstas, solicitudes urgentes de pago o mensajes que buscan impedir que consulte con otra persona. La urgencia, la autoridad y el miedo siguen siendo herramientas centrales del engaño, aunque ahora estén expresadas con una gramática perfecta.

Cómo verificar una solicitud sospechosa

La defensa más efectiva consiste en verificar la solicitud por un canal independiente. Si un gerente pide una transferencia, un proveedor comunica una nueva cuenta bancaria o un servicio solicita actualizar una contraseña, no se debe responder utilizando los mismos datos incluidos en el mensaje. Es preferible ingresar directamente al sitio oficial, utilizar un número previamente conocido o consultar personalmente con el supuesto remitente. CISA recomienda verificar cualquier comunicación que resulte inusual sin responder, llamar o acceder mediante los enlaces proporcionados por el propio mensaje.

Formación y cultura frente al phishing de 2026

Sin embargo, ninguna lista de señales será suficiente si las personas solo memorizan reglas. La ciberseguridad empresarial requiere desarrollar criterio para reconocer inconsistencias, detener una acción impulsiva y comunicar rápidamente un posible incidente. Esto supone combinar controles tecnológicos —como autenticación multifactor, filtros de correo y protección de identidades— con una cultura de ciberseguridad en la que reportar una sospecha sea sencillo, esperado y valorado, en lugar de convertirse en motivo de vergüenza o sanción.

En el próximo curso de Praetoria Cyber Security abordaremos cómo ha evolucionado el phishing escrito por IA y qué deben observar ahora los equipos de las organizaciones. Mediante casos, decisiones y situaciones cercanas al trabajo cotidiano, los participantes aprenderán a identificar intentos de manipulación, verificar solicitudes y actuar antes de que un mensaje convincente se convierta en una brecha de seguridad. Porque frente al phishing de 2026, proteger a una empresa no depende de encontrar una falta de ortografía: depende de formar personas capaces de detenerse, preguntar y comprobar.