Los ataques de phishing generados por inteligencia artificial ahora producen mensajes sin errores, personalizados y contextualmente coherentes. Varias prácticas de seguridad informática que aún son comunes ya no son suficientes para contrarrestar estas nuevas amenazas. La protección diaria ahora requiere medidas técnicas más granulares que solo una contraseña robusta.
Ingeniería social aumentada por la IA y seguridad informática
Las campañas de phishing clásicas se identificaban gracias a señales burdas: errores ortográficos, logotipos pixelados, sintaxis aproximada. La IA generativa utilizada por los atacantes ha hecho desaparecer la mayoría de estas señales de alerta.
Técnicas complementarias refuerzan la efectividad de estas campañas. El MFA bombing consiste en enviar ráfagas de solicitudes de autenticación multifactor hasta que la víctima valide por agotamiento. El SIM swapping permite desviar los códigos de confirmación enviados por SMS. Kits como Clickfix están diseñados para eludir los reflejos de vigilancia comunes.
El punto en común de estos métodos: explotan la fatiga cognitiva. Un colaborador solicitado al final del día, bajo presión, aprobará más fácilmente una notificación sospechosa. La página dedicada a la seguridad informática en Tech Mafia documenta estos vectores de ataque recientes que apuestan por los hábitos diarios en lugar de las vulnerabilidades de software.
Ransomware y exfiltración de datos: un modelo económico que muta
El perfil de los ataques de ransomware se está transformando. La exfiltración de datos por sí sola reemplaza cada vez más el cifrado de estaciones de trabajo y servidores. Los atacantes copian los archivos sensibles y luego amenazan con publicarlos, sin bloquear nunca el acceso a los sistemas.
La detección se complica. Una estación que funciona normalmente no genera alerta. La intrusión solo se detecta en el momento de la solicitud de rescate o durante la publicación efectiva de los archivos.
Consecuencias prácticas para las empresas
La copia de seguridad regular protege contra el cifrado. Sin embargo, no cubre la exfiltración. Un dato copiado y difundido no se puede restaurar.
El enfoque de la protección se desplaza hacia la segmentación de red y el control de los flujos salientes. Monitorear lo que sale de la red se vuelve tan relevante como filtrar lo que entra. Los informes de campo divergen sobre la capacidad real de las pymes para implementar este tipo de vigilancia sin experiencia dedicada.
Directiva NIS 2 y obligaciones de ciberseguridad en Francia
El marco regulatorio europeo está evolucionando. La directiva NIS 2 amplía el ámbito de las entidades sujetas a obligaciones de ciberseguridad. Su transposición al derecho francés ha enfrentado bloqueos en la Asamblea Nacional, lo que coloca a las empresas ante una zona de incertidumbre sobre el calendario de aplicación.
Los datos disponibles no permiten concluir sobre una fecha definitiva. Esta falta de claridad no impide prepararse. Los requisitos de NIS 2 retoman medidas de higiene digital ya recomendadas por la ANSSI: gestión de autorizaciones, registro de eventos, notificación de incidentes.
Gestión de autorizaciones: un ángulo subestimado
Las contraseñas robustas concentran la atención, pero la gestión precisa de los derechos de acceso pesa tanto en el nivel de protección real. Otorgar a cada usuario únicamente los permisos necesarios para su función reduce la superficie de ataque en caso de compromiso de una cuenta.
- Revisar los derechos de acceso en cada cambio de puesto o salida de un colaborador, no solo al contratar.
- Distinguir las cuentas de administración de las cuentas de uso cotidiano, incluso para los directivos de pequeñas estructuras.
- Documentar las autorizaciones en un registro consultable, lo que el RGPD también fomenta para la protección de datos personales.
Autenticación multifactor: límites de los códigos SMS y alternativas
La autenticación multifactor (MFA) sigue siendo una de las medidas de protección más efectivas. No todos los factores de autenticación son iguales y el mecanismo elegido cambia concretamente el nivel de resistencia obtenido.
El código por SMS, aún muy extendido, es vulnerable al SIM swapping. Un atacante que convenza a un operador telefónico para transferir el número a una nueva tarjeta SIM intercepta todos los códigos de verificación.
- Las aplicaciones de autenticación (tipo TOTP) generan códigos localmente en el dispositivo, sin tránsito de red, y resisten al SIM swapping.
- Las claves físicas de seguridad (FIDO2/WebAuthn) verifican el dominio del sitio antes de activarse, lo que bloquea los intentos de phishing.
- La biometría integrada en los dispositivos (huella, reconocimiento facial) añade una capa, pero su fiabilidad depende del sensor de hardware.
La elección del factor depende del nivel de riesgo y del contexto. Para una cuenta de correo electrónico profesional, una aplicación TOTP representa un compromiso razonable. Para el acceso a sistemas críticos, una clave física FIDO2 sigue siendo el estándar más resistente al phishing.
Monitoreo de flujos salientes: un reflejo aún raro en las pequeñas estructuras
La prevención en la entrada (antivirus, cortafuegos, filtrado de archivos adjuntos) concentra la atención. El monitoreo de lo que sale de la red recibe menos atención, aunque es precisamente el canal utilizado por la exfiltración sin cifrado.
Existen herramientas de detección de anomalías en la red. Su implementación supone una competencia técnica que muchas microempresas y pymes no tienen internamente. Externalizar este monitoreo a un proveedor especializado puede ser una opción, siempre que se verifiquen los compromisos contractuales sobre los plazos de detección y notificación.
El Cyber Resilience Act europeo, que condiciona la comercialización de productos conectados a requisitos de seguridad, podría a largo plazo mejorar la situación al imponer mecanismos de registro integrados. Las modalidades de aplicación están en proceso de finalización.
La mutación del modelo de ransomware hacia la exfiltración pura, la incertidumbre en torno al calendario de NIS 2 y la sofisticación de las campañas de phishing asistidas por IA redefinen las prioridades. Tres palancas concretas refuerzan la postura de una organización, sea cual sea su tamaño: una gestión rigurosa de las autorizaciones, un factor de autenticación resistente al phishing y un monitoreo activo de los flujos salientes.