Phishing impulsado por IA: cómo afecta en Chile y qué deben hacer las empresas
El panorama de ciberamenazas en 2025 muestra un salto preocupante en campañas de phishing dirigidas a computadores, potenciado por herramientas de inteligencia artificial que automatizan y perfeccionan el engaño. En Chile el aumento fue especialmente marcado, mientras que las técnicas de deepfake (video y voz) comenzaron a utilizarse en llamadas por WhatsApp para suplantar directivos y ejecutar fraudes dirigidos. Este artículo explica los hallazgos clave, cómo funcionan estos ataques, su impacto sectorial (especialmente financiero) y qué medidas concretas —técnicas y organizacionales— deben priorizar los líderes en TI.
Cifras y tendencias que hay que conocer
Dentro de las nuevas tendencias del phishing potenciado por inteligencia artificial, el último informe de Kaspersky advierte un crecimiento acelerado en la región: en Chile los ataques dirigidos a computadores aumentaron un 72%, mientras que en Latinoamérica el alza llegó al 85%. Este salto se explica por el uso de tecnologías generativas, capaces de producir correos en “perfecto español” y campañas masivas altamente convincentes. A esto se suma un fenómeno emergente y especialmente riesgoso: los deepfakes en videollamadas, donde mediante face-swap y clonación de voz, los atacantes se hacen pasar por ejecutivos —como un CEO o CFO— para instruir transferencias o solicitar información sensible. Existen ya casos internacionales que han generado pérdidas multimillonarias por este vector. Paralelamente, el informe registra un incremento de ransomware (+15,7%) y de troyanos bancarios, con un alza significativa en intentos detectados, mientras que en el lado positivo se observa una caída de incidentes en móviles (-75%) y malware (-42,6%) en Chile, efecto atribuido al marco regulatorio y a la obligación de reporte que ha fortalecido la capacidad de prevención.
¿Por qué la IA potencia el phishing?
La IA acelera tres aspectos críticos del ataque de phishing:
- Calidad lingüística y personalización automática: modelos generativos redactan correos y mensajes en “perfecto español” y adaptados al contexto del receptor, eliminando la barrera idiomática y la necesidad de colaboradores locales para pulir el engaño. Esto eleva la tasa de éxito de mensajes dirigidos a empleados y áreas específicas.
- Escala y automatización: la IA permite generar variantes masivas de un mismo mensaje (A/B testing automatizado), combinar datos públicos y privados para hiper-personalizar y orquestar campañas a gran escala con poco costo incremental.
- Integración con otras técnicas (multivector): la IA se combina con deepfakes (voz + video) y herramientas de automatización (granjas de dispositivos, envíos masivos SMS/WhatsApp), creando ataques que mezclan correo, mensajería instantánea y llamadas —lo que dificulta la detección clásica.
Deepfakes en videollamadas: el nuevo “vishing” dirigido
Los atacantes hoy utilizan videollamadas en tiempo real o grabadas con técnicas de face-swap y clonación de voz para hacerse pasar por altos ejecutivos. De esta forma, logran persuadir a empleados con atribuciones financieras para ejecutar transferencias, modificar datos de proveedores o autorizar pagos urgentes. Los casos documentados en 2023 y 2024 dejaron en evidencia pérdidas millonarias en distintas organizaciones, y en Latinoamérica esta técnica comienza a expandirse rápidamente como un vector especialmente eficaz contra áreas de tesorería y finanzas.
Quishing: el phishing camuflado en códigos QR
Otra variante en crecimiento es el quishing, donde los atacantes insertan códigos QR maliciosos en correos electrónicos, documentos o incluso afiches físicos, invitando a la víctima a escanearlos con su teléfono. Al hacerlo, el usuario es redirigido a sitios falsos que roban credenciales o instalan malware de forma silenciosa. Su peligrosidad radica en la confianza que generan los QR en entornos corporativos —desde restaurantes hasta accesos a aplicaciones internas— y en que evaden con facilidad los filtros tradicionales de seguridad de correo. Cada vez más empresas en la región reportan incidentes asociados a esta modalidad, lo que refuerza la necesidad de capacitación y políticas claras sobre el uso seguro de códigos QR.
¿Quiénes están detrás de estas campañas?
El origen varía según la modalidad: Kaspersky reporta que muchas campañas que afectan a Chile tienen orígenes en países asiáticos (China, Tailandia, Vietnam) y que troyanos bancarios detectados aumentaron con origen en Brasil en algunos casos. También hay actores organizados que operan “as-a-service” (phishing-as-a-service, ransomware-as-a-service), lo que facilita la entrada de grupos criminales con poca infraestructura técnica propia.
Impacto sectorial: el rubro financiero como blanco principal
El sector financiero se ha convertido en un blanco prioritario porque concentra, en un solo punto, lo que los atacantes buscan: dinero en movimiento. Los equipos financieros son quienes autorizan transferencias y pagos, lo que convierte cada engaño exitoso en un retorno inmediato y elevado para el criminal. A esto se suma la estructura compartida de los bancos con presencia regional, como los que operan simultáneamente en Chile y Brasil, lo que facilita campañas transfronterizas cuando las entidades replican proveedores o infraestructuras similares. Y el panorama se vuelve aún más complejo con la transición hacia el open banking, donde las interfaces API, si no están diseñadas y protegidas con rigor desde el inicio, pueden abrir puertas críticas a abusos que, según advierten expertos como Kaspersky, podrían escalar incluso hasta comprometer la estabilidad de bancos centrales.
Marco regulatorio y efecto en reducción de algunos ataques
La Ley Marco de Ciberseguridad en Chile (Ley N°21.663 y sus resoluciones) y las obligaciones de reporte han mejorado la concientización y la capacidad de bloqueo/reportes por parte de telecomunicaciones, lo que se asocia con la caída de ataques móviles (phishing por SMS) y algunos tipos de malware en el país. Pero la ley no elimina nuevos vectores como phishing con IA o deepfakes: exige preparación y controles adicionales.
Recomendaciones
Para reducir la superficie de riesgo frente a ciberamenazas impulsadas por inteligencia artificial, las organizaciones deben combinar medidas técnicas, procesos sólidos y una cultura de verificación. En el plano técnico, resulta clave implementar autenticación fuerte y multifactor en accesos administrativos y financieros, reforzar la protección de endpoints con EDR apoyado en IA, desplegar filtrado avanzado de correo con protocolos como DMARC, DKIM y SPF, y endurecer la seguridad de las APIs en esquemas de open banking mediante pruebas específicas, control de sesiones y límites de tasa. En el ámbito organizacional, conviene establecer doble autorización y separación de funciones en operaciones sensibles, aplicar protocolos de verificación fuera de canal para confirmar instrucciones recibidas por correo o videollamada, y disponer de plantillas y playbooks de respuesta para incidentes de phishing y deepfakes. A esto se suma la necesidad de fomentar conciencia mediante simulacros periódicos de phishing y vishing, capacitar en la detección de señales propias de deepfakes, y ejercitar equipos red y blue en escenarios multicanal con IA. A nivel estratégico, el directorio debe impulsar evaluaciones de riesgo integrales sobre procesos financieros críticos, fortalecer planes de continuidad con métricas claras, y promover la cooperación sectorial para compartir indicadores de compromiso con reguladores y CSIRT regionales. Finalmente, es recomendable invertir en tecnologías emergentes como sistemas de detección de deepfakes, motores antifraude que activen revisiones manuales ante anomalías y plataformas de IA defensiva para analizar patrones conversacionales y reputación de remitentes, siempre bajo un marco de gobernanza que evite la dependencia ciega de la automatización.
Checklist para revisar en tu empresa
✔ Implementar MFA en accesos críticos y acceso privilegiado.
✔ Activar o reforzar filtrado de correo con detección de lenguaje generado por IA.
✔ Establecer doble control en pagos superiores a un umbral y verificación fuera de canal.
✔ Ejecutar ejercicios de phishing / deepfake trimestrales y actualizar playbooks de IR.
✔ Revisar y auditar APIs e implementación de open banking antes de producción.
Conclusión: la ventaja es la preparación
La IA beneficia tanto a atacantes como a defensores. Mientras los ciberdelincuentes la usan para poner a prueba la confianza humana a escala, las organizaciones que combinen controles técnicos sólidos, procesos rigurosos y una cultura de verificación tendrán la mejor probabilidad de reducir el riesgo. En Chile, la regulación y la acción de las compañías han demostrado que la política pública y la cooperación efectiva ayudan a bajar ciertos vectores; ahora el desafío es adaptar esa cooperación a amenazas más sofisticadas como phishing impulsado por IA y deepfakes. Da el siguiente paso en tu estrategia de seguridad digital: completa el formulario y recibe asesoría personalizada.
