La IA ya se usa para atacar cuentas: guía práctica para protegerte del nuevo phishing

Problema real: el phishing ya no siempre parece phishing

Durante años, muchas personas aprendieron a detectar correos falsos por señales obvias:

• Mala ortografía.
• Logos mal pegados.
• Mensajes extraños.
• Traducciones raras.
• Enlaces sospechosos.
• Promesas exageradas.

Pero eso está cambiando.

Con inteligencia artificial, un atacante puede crear mensajes mejor escritos, más personalizados y más difíciles de reconocer. También puede generar audios convincentes, respuestas rápidas por chat, páginas falsas mejor diseñadas y campañas más adaptadas a cada víctima.

El nuevo riesgo no es solo “hacer clic en un enlace”. El riesgo es creer que estás hablando con una empresa, banco, compañero de trabajo, familiar o proveedor real.

Esta guía te muestra cómo protegerte de forma práctica.

Por qué este tema importa ahora

La inteligencia artificial ya no solo ayuda a redactar textos o crear imágenes. También puede ser usada por atacantes para:

• Escribir correos de phishing más creíbles.
• Personalizar mensajes con datos públicos.
• Crear páginas falsas mejor diseñadas.
• Generar audios o voces falsas.
• Automatizar respuestas por chat.
• Traducir estafas a varios idiomas.
• Analizar vulnerabilidades.
• Crear campañas masivas con apariencia humana.

Para el usuario común, esto significa algo simple:

Ya no basta con confiar en que “se nota cuando es falso”.

Ahora necesitas un método de verificación.

Qué vas a proteger con esta guía

El objetivo es proteger las cuentas que más daño pueden causar si caen en manos de otra persona:

Paso 1: cambia la regla mental

Antes la pregunta era:

¿Este mensaje se ve falso?

Ahora la pregunta debe ser:

¿Puedo verificar por otro canal que esto es real?

Ejemplo:

La apariencia ya no es suficiente.

Paso 2: protege primero tu correo principal

Tu correo es la llave de muchas cuentas. Si alguien entra a tu correo, puede intentar recuperar contraseñas de bancos, redes, tiendas y servicios.

Configura esto:

1. Contraseña única.
2. Verificación en dos pasos.
3. Correo alternativo actualizado.
4. Teléfono de recuperación actualizado.
5. Códigos de respaldo guardados.
6. Revisión de sesiones abiertas.
7. Alertas de seguridad activadas.

En Google:

https://myaccount.google.com/security

En Microsoft:

https://account.microsoft.com/security

Checklist:

Paso 3: no abras enlaces sensibles desde mensajes

Si recibes un mensaje que dice:

Tu cuenta será suspendida
Verifica tus datos
Tienes una deuda pendiente
Tu paquete fue retenido
Tu tarjeta fue bloqueada
Hay un inicio de sesión sospechoso
Actualiza tu contraseña

No entres desde el enlace.

Haz esto:

1. Cierra el mensaje.
2. Abre el navegador o la app oficial.
3. Escribe tú mismo la dirección o entra desde favoritos.
4. Revisa si existe la alerta dentro de la cuenta real.
5. Si no aparece nada, probablemente era phishing.

Regla práctica:

Para bancos, correos, billeteras y cuentas importantes, nunca entres desde enlaces recibidos por SMS, WhatsApp o correo.

Paso 4: usa passkeys o autenticación fuerte cuando esté disponible

Las passkeys reducen el riesgo de caer en páginas falsas porque están asociadas al sitio real.

Actívalas primero en:

• Google.
• Microsoft.
• Apple.
• Gestor de contraseñas.
• Cuentas de trabajo.
• Servicios que lo permitan.

También usa:

• App autenticadora.
• Llave física de seguridad.
• Códigos de respaldo.
• PIN fuerte en el dispositivo.

Evita depender solo de SMS si tienes alternativas más seguras.

Paso 5: crea una regla para audios y llamadas sospechosas

Con IA, un audio puede sonar convincente. No debes tomar decisiones solo porque “parece su voz”.

Activa una regla familiar o laboral:

Si alguien pide dinero, códigos, claves o urgencia, se verifica por otro canal.

Ejemplos:

Nunca compartas:

• Código SMS.
• Código de WhatsApp.
• Token bancario.
• Código de autenticador.
• Clave de banca.
• Captura de tarjeta.
• Contraseña.

Paso 6: revisa dominios antes de iniciar sesión

Los atacantes pueden crear páginas casi iguales a las reales.

Antes de escribir usuario y contraseña, mira el dominio.

Ejemplo de dominio real:

banco.com
empresa.com
google.com
microsoft.com

Ejemplos sospechosos:

banco-seguridad-clientes.com
google-verificacion-login.net
micros0ft-soporte.com
empresa-pagos-urgente.com

Señales de alerta:

• Letras cambiadas.
• Guiones innecesarios.
• Dominios muy largos.
• Extensiones raras.
• Palabras como seguridad, urgente, verificar, bloqueo.
• Página enviada por SMS o WhatsApp.
• No coincide con la web oficial.

Paso 7: activa alertas de inicio de sesión

Activa alertas en tus cuentas importantes para recibir aviso cuando alguien intente entrar.

Busca opciones como:

Seguridad
Actividad reciente
Alertas de inicio de sesión
Dispositivos conectados
Notificaciones de seguridad

Revisa especialmente:

• Google.
• Microsoft.
• Facebook.
• Instagram.
• TikTok.
• Apple.
• Bancos.
• WhatsApp.
• Telegram.

Si ves un dispositivo que no reconoces:

1. Cierra sesión.
2. Cambia contraseña.
3. Revisa métodos de recuperación.
4. Activa 2FA si no estaba activo.

Paso 8: revisa WhatsApp contra secuestro de cuenta

WhatsApp es una de las cuentas más usadas para estafas.

Configura:

WhatsApp > Ajustes > Cuenta > Verificación en dos pasos

Activa:

• PIN de seis dígitos.
• Correo de recuperación.

También revisa:

WhatsApp > Dispositivos vinculados

Cierra sesiones que no reconozcas.

Regla crítica:

Nadie necesita tu código de verificación de WhatsApp. Ni soporte, ni un familiar, ni un supuesto asesor.

Paso 9: verifica cambios de cuenta bancaria

Una estafa frecuente en empresas y compras es el cambio de cuenta bancaria.

Ejemplo:

Hola, cambiamos de cuenta. Deposita ahora a esta nueva cuenta.

Antes de pagar:

1. Llama al contacto oficial.
2. Usa un número conocido, no el del correo recibido.
3. Verifica razón social.
4. Revisa RUC o datos de empresa.
5. Pide confirmación formal.
6. No pagues si hay presión.

Regla para empresas pequeñas:

Todo cambio de cuenta bancaria debe verificarse por llamada y por un segundo canal.

Paso 10: usa un gestor de contraseñas

Un gestor de contraseñas ayuda porque:

• Evita reutilizar claves.
• Genera contraseñas fuertes.
• Detecta sitios falsos si la URL no coincide.
• Guarda notas seguras.
• Permite revisar contraseñas débiles o filtradas.

Opciones conocidas:

• Bitwarden.
• 1Password.
• KeePassXC.
• Gestor de Google.
• iCloud Keychain.
• Microsoft Authenticator.

La regla básica:

Una cuenta importante = una contraseña única.

Paso 11: audita tus cuentas en 20 minutos

Haz esta revisión rápida:

Minuto 1 al 5: correo principal

• Cambia contraseña si está repetida.
• Activa 2FA.
• Revisa dispositivos conectados.

Minuto 6 al 10: WhatsApp

• Activa verificación en dos pasos.
• Revisa dispositivos vinculados.
• Actualiza correo de recuperación.

Minuto 11 al 15: bancos y billeteras

• Revisa límites.
• Activa notificaciones.
• Actualiza claves.
• Verifica dispositivos autorizados.

Minuto 16 al 20: redes sociales

• Activa 2FA.
• Revisa sesiones.
• Elimina apps conectadas sospechosas.

Caso práctico 1: correo falso del banco

Mensaje:

Su cuenta fue bloqueada. Verifique sus datos en el siguiente enlace.

Qué hacer:

1. No abrir el enlace.
2. Entrar a la app oficial del banco.
3. Revisar notificaciones internas.
4. Llamar al número oficial si hay duda.
5. Reportar el correo como phishing.
6. Eliminar el mensaje.

No ingreses datos en enlaces recibidos.

Caso práctico 2: audio de familiar pidiendo dinero

Mensaje:

Estoy en emergencia, no puedo hablar, transfiere urgente.

Qué hacer:

1. No transferir.
2. Llamar al número conocido.
3. Pedir código familiar.
4. Confirmar con otro familiar.
5. Si no se verifica, no pagar.

La urgencia no reemplaza la verificación.

Caso práctico 3: proveedor cambia cuenta bancaria

Correo:

Estimados, por actualización administrativa, realizar pagos a la nueva cuenta.

Qué hacer:

1. No responder al mismo hilo sin verificar.
2. Llamar al proveedor por número ya registrado.
3. Confirmar con contacto comercial.
4. Pedir documento formal.
5. Revisar razón social de la cuenta.
6. Registrar la validación.

Este tipo de fraude puede afectar a pequeñas empresas, áreas administrativas y compras.

Caso práctico 4: inicio de sesión sospechoso

Recibes una alerta:

Nuevo inicio de sesión desde otro país.

Qué hacer:

1. Entra desde la app o web oficial.
2. Cambia contraseña.
3. Cierra sesiones.
4. Revisa métodos de recuperación.
5. Activa 2FA.
6. Revisa reglas de reenvío en el correo.
7. Revisa apps conectadas.

En correo, revisa también si alguien creó filtros o reenvíos automáticos.

Errores comunes y soluciones

Error 1: confiar porque el mensaje está bien escrito

La IA puede redactar mensajes muy convincentes.

Solución:

Verifica por otro canal.

Error 2: creer que un audio confirma identidad

Una voz puede ser imitada o sacada de contexto.

Solución:

Usa pregunta de verificación o llamada al número conocido.

Error 3: abrir enlaces por urgencia

Solución:

Entra manualmente a la app o web oficial.

Error 4: reutilizar la misma contraseña

Solución:

Usa un gestor de contraseñas y claves únicas.

Error 5: depender solo del SMS

Solución:

Activa app autenticadora, passkeys o llave física si está disponible.

Error 6: no revisar dispositivos conectados

Solución:

Haz revisión mensual de sesiones y dispositivos.

Buenas prácticas

1. No abras enlaces sensibles desde mensajes.

2. Verifica urgencias por otro canal.

3. Protege primero tu correo principal.

4. Activa 2FA en WhatsApp.

5. Usa contraseñas únicas.

6. Activa alertas de inicio de sesión.

7. Desconfía de cambios de cuenta bancaria.

8. No compartas códigos de verificación.

9. Revisa dominios antes de ingresar datos.

10. Haz una auditoría de seguridad mensual.

Frases que deben activar alerta

Si lees o escuchas alguna de estas frases, detente:

No le digas a nadie
Es urgente
Paga ahora
Tu cuenta será bloqueada
Envíame el código
Cambié de número
No puedo hablar
Hazlo por favor rápido
Actualiza tus datos aquí
Usa esta nueva cuenta bancaria

No siempre será estafa, pero siempre debe verificarse.

Checklist final de protección

Idea clave

La inteligencia artificial hace que las estafas sean más creíbles, rápidas y personalizadas. Por eso, la defensa ya no es solo “mirar si parece falso”, sino verificar por otro canal, proteger el correo principal, usar 2FA, revisar sesiones y no compartir códigos. En la nueva etapa del phishing, la confianza debe comprobarse.