Ciberestafas: evolución, técnicas actuales y cómo detectarlas

iPhone World » General » Ciberestafas: evolución, técnicas actuales y cómo detectarlas

Esta transformación afecta por igual a personas, empresas de todos los tamaños y administraciones públicas. Los delincuentes mezclan técnicas psicológicas, IA generativa, deepfakes de voz y vídeo, y fallos de seguridad para robar dinero, datos o directamente controlar sistemas críticos. Entender cómo han evolucionado estas estafas y, sobre todo, cómo detectarlas a tiempo, ya no es opcional: es una necesidad básica de supervivencia digital.

De los correos cutres al phishing 2.0 impulsado por IA

Hace años el phishing clásico se basaba en correos enviados a millones de personas, con textos mal traducidos y logos borrosos. Eran molestos, pero relativamente fáciles de detectar. Hoy los delincuentes utilizan modelos de lenguaje y herramientas de IA para redactar mensajes perfectos, sin faltas y adaptados al tono de cada marca, imitan dominios casi idénticos (cambios mínimos de letras, uso de caracteres parecidos) y montan webs clonadas con HTTPS y certificados válidos que dan una falsa sensación de seguridad.

Además del correo, ha explotado el smishing, el phishing por SMS. Mensajes que avisan de un paquete retenido, una cuenta bloqueada, un cobro sospechoso o un supuesto problema con la Agencia Tributaria. El enlace lleva a una página que replica a la perfección la de la entidad real, donde el usuario introduce sus credenciales o datos de tarjeta sin sospechar nada.

El fenómeno no se queda ahí: el spear phishing (dirigido a personas concretas) se nutre ahora de redes sociales, documentos públicos y bases de datos filtradas. Con esos datos, la IA puede elaborar correos hiperpersonalizados que mencionan operaciones recientes, compañeros de trabajo, cargos o proyectos, multiplicando la tasa de éxito. Estudios recientes señalan que los phishing generados con IA consiguen tasas de clics hasta 4,5 veces superiores a los tradicionales.

Para rematar, empiezan a verse campañas en las que ni siquiera hace falta hacer clic: la simple apertura del mensaje en sistemas desactualizados puede explotar vulnerabilidades del navegador o del cliente de correo para instalar malware en segundo plano.

Vishing, clonación de voz y videollamadas deepfake

Las llamadas telefónicas fraudulentas, o vishing, han pasado de ser una molestia puntual a convertirse en uno de los vectores de ataque más peligrosos. El salto cualitativo viene de la mano de la clonación de voz y los deepfakes en tiempo real.

Con apenas unos segundos de audio robado de un vídeo, una nota de voz o una entrevista, los delincuentes pueden entrenar modelos que reproducen con gran fidelidad la voz de una persona. Investigaciones recientes apuntan a precisiones cercanas al 85 % y, lo más preocupante, que el oído humano ya no es capaz de distinguir de forma fiable una voz clonada de la real.

Esta tecnología se usa tanto en estafas a particulares como en ataques a empresas. En el plano personal, se han disparado los casos del “hijo en apuros”: un supuesto familiar (normalmente hijo o hija) escribe por WhatsApp o llama diciendo que ha perdido el móvil, que usa el de un amigo o de un desconocido y que necesita con urgencia una transferencia para salir de un problema grave. La presión emocional y la sensación de urgencia hacen que muchas víctimas ni siquiera verifiquen la historia. Este tipo de engaños se ha documentado en artículos específicos sobre la estafa del “vota por mi hijo” y otros fraudes similares.

En la empresa, el equivalente es el fraude del CEO o del directivo. Los atacantes suplantan la identidad de un alto cargo por correo, teléfono o incluso videollamada, y ordenan a un empleado que realice una transferencia “confidencial y urgente”. El caso más mediático fue el de una gran ingeniería internacional a la que un empleado de finanzas transfirió alrededor de 25,6 millones de dólares tras una videollamada en la que todos los participantes, incluido el director financiero, eran deepfakes generados a partir de grabaciones públicas.

Este tipo de ataques dejan claro que ya no podemos confiar ciegamente en lo que vemos u oímos en una pantalla. Los controles de seguridad no pueden basarse solo en “reconocer la cara” o “reconocer la voz”, sino que deben incorporar verificaciones adicionales fuera de banda y reglas internas de doble o triple aprobación para operaciones sensibles.

Ingeniería social: psicología al servicio del delito

Por debajo de la tecnología siempre hay un denominador común: la manipulación psicológica. Las ciberestafas modernas se apoyan en técnicas de ingeniería social muy estudiadas que explotan emociones básicas como el miedo, la codicia, la urgencia, la compasión o el sentimiento de obligación.

Los ciberdelincuentes utilizan distintos “guiones” según el contexto: el aviso de actividad sospechosa en la cuenta bancaria, el mensaje de la empresa de mensajería sobre un paquete retenido, la llamada de un falso técnico que detecta un problema en el ordenador, o el correo del “abogado” que tramita una herencia millonaria a cambio de adelantar unas tasas. Aunque los escenarios cambian, el patrón se repite: crear una situación de presión en la que la víctima actúa antes de pensar.

Entre los casos más comunes están:

• Fraude del hijo en apuros: mensaje o llamada suplantando a un hijo o hija, con móvil “nuevo” o “prestado”, que pide dinero urgente para pagar una fianza, arreglar un coche o solucionar un problema médico.
• Fraude del CEO: comunicación que parece venir de la alta dirección exigiendo una transferencia inmediata por un asunto confidencial (compra estratégica, pago inminente para cerrar un trato, etc.).
• Timo de las cartas nigerianas y herencias falsas: correos o cartas físicas que prometen herencias o premios multimillonarios si se adelantan ciertas tasas o gastos.
• Estafas en el domicilio: falsos técnicos del gas, fontaneros o lampistas de urgencias que inflan facturas, cobran por servicios inexistentes o aprovechan el acceso a la vivienda para robar dinero y objetos de valor.

Los perfiles más afectados suelen ser personas mayores, usuarios con poca formación digital o personas en situación de vulnerabilidad económica o emocional. Pero ningún colectivo está a salvo: las estadísticas muestran que más de la mitad de la población ha sufrido alguna estafa o intento de estafa online y que el fraude ya supera al ransomware como principal preocupación de muchos directivos.

Del fraude informático clásico a la estafa con IA: cifras que asustan

El fraude informático engloba desde el robo de datos y suplantación de identidad hasta el sabotaje de sistemas y la falsificación de documentos digitales. Se apoya en ordenadores, redes y servicios en la nube para obtener beneficios económicos, espiar o causar daño reputacional y operativo.

Las técnicas tradicionales siguen muy vigentes: phishing, malware, ransomware, carding, fraude en e-commerce, click fraud, fraude de afiliados o fraude contable continúan generando pérdidas millonarias. Casos como el ataque a la cadena de suministro de SolarWinds, que permitió a un grupo de atacantes permanecer meses dentro de sistemas sensibles de empresas y organismos públicos sin ser detectados, evidencian el alcance potencial de estas operaciones.

Lo que ha cambiado es la escala y velocidad gracias a la IA. Herramientas gratuitas o de bajo coste permiten hoy generar textos, voces y vídeos falsos, automatizar campañas de phishing, gestionar chats que imitan a un soporte técnico real o crear “expertos” sintéticos que recomiendan falsas inversiones en criptomonedas. Se han documentado crecimientos de más del 1.000 % en fraude habilitado por IA en un solo año y pérdidas globales que ya se cuentan en cientos de miles de millones de dólares si se suman los incidentes no denunciados.

Los informes de organismos oficiales y consultoras de ciberseguridad coinciden: más del 70 % de las organizaciones ya ha sufrido fraude cibernético en los últimos años, el 82 % de los correos de phishing incluyen contenido generado con IA y el número de deepfakes detectados en internet se multiplica casi por diez año tras año.

Estafas de IA que apuntan directamente a las empresas

En el ámbito corporativo, las ciberestafas han pasado de ser un problema de “algún empleado despistado” a una amenaza estratégica de primer nivel. Los delincuentes atacan donde más duele: cadenas de pago, procesos de contratación, flujos de autorización interna o canales de atención a clientes.

Algunos vectores especialmente críticos son:

• Deepfakes de directivos: suplantación de ejecutivos en videollamadas para ordenar transferencias, aprobar operaciones de alto riesgo o presionar por cambios contractuales.
• Candidatos falsos a puestos de trabajo: perfiles técnicos que usan identidades falsas y deepfakes en entrevistas para conseguir acceso a redes corporativas, ayudas públicas o proyectos sensibles.
• BEC avanzado (Business Email Compromise): ataques de correo empresarial donde se imitan estilos de comunicación internos, se secuestran hilos legítimos y se dirigen pagos hacia cuentas controladas por los estafadores.
• Estafas de inversión y criptomonedas: operaciones tipo “Truman Show” donde se montan ecosistemas completos (apps, chats, webs) para simular mercados bursátiles o cripto que en realidad están manipulados por los atacantes.

Todo esto se apoya en una economía del cibercrimen madura: kits de identidad sintética por pocos dólares, suscripciones a modelos de lenguaje “oscuros”, servicios de clonación de voz bajo demanda y redes de mulas que lavan el dinero mediante transferencias, criptomonedas y plataformas de inversión fraudulentas.

Cómo se desarrolla una ciberestafa paso a paso

Aunque hay mil variantes, muchas ciberestafas siguen una cadena de ataque bastante parecida que combina ingeniería social, tecnología e infraestructura criminal.

Un esquema típico podría ser este:

1. Reconocimiento: recopilación de datos públicos y privados sobre la víctima (redes sociales, bases de datos filtradas, documentos corporativos, grabaciones, etc.).
2. Generación de contenido fraudulento: creación con IA de correos, SMS, mensajes de mensajería, voces clonadas o vídeos deepfake adaptados al contexto. (más sobre IA y seguridad móvil)
3. Entrega: envío del contenido por el canal escogido (correo, llamada, videollamada, redes sociales, app de mensajería…).
4. Explotación: la víctima hace clic, introduce datos, instala una app o aprueba una operación creyendo que está actuando de forma segura.
5. Monetización: se ejecutan transferencias, compras, desvíos de fondos o se venden los datos robados y accesos a otros grupos criminales.

En estafas bancarias masivas, el momento clave suele ser la petición del código de verificación por SMS. Mientras la víctima cree que está validando una operación para bloquear un fraude, en realidad está autorizando la transferencia que el atacante ha preparado en segundo plano desde la sesión robada.

En fraudes telefónicos, la secuencia habitual arranca con una llamada de un supuesto técnico o agente bancario que informa de un problema urgente. Poco a poco, va guiando a la víctima para que instale software de control remoto, dicte los códigos que recibe o facilite datos de acceso con la excusa de “verificar la identidad” o “bloquear la operación sospechosa”.

Cómo detectar una ciberestafa antes de caer

Por muy pulidos que estén los ataques, casi siempre dejan señales de alerta. El reto es entrenar el ojo (y el oído) para identificarlas a tiempo, tanto a nivel individual como dentro de las organizaciones.

Algunas banderas rojas clave:

• Urgencia extrema: mensajes que exigen actuar “ya” o “en los próximos minutos” bajo amenaza de bloqueo de cuenta, multa, pérdida de una oferta o problema legal.
• Solicitudes inusuales: pedir códigos de verificación, contraseñas, fotos del DNI por ambas caras, credenciales de acceso remoto o pagos por canales no habituales.
• Canales inesperados: un banco, Hacienda o la policía que se comunican solo por SMS o mensajería instantánea sin respaldo en la web oficial.
• Ofertas demasiado buenas: inversiones con rentabilidades imposibles, premios o reembolsos de sorteos o rifas en los que nunca participaste.
• Detalles que no encajan: número de teléfono raro, acento extraño para el supuesto origen de la llamada, URL ligeramente distinta, factura con conceptos confusos o sin desglose.

A nivel técnico, conviene usar herramientas como antivirus y navegadores actualizados, filtros antiphishing, gestores de contraseñas y autenticación multifactor, además de comprobar enlaces sospechosos con servicios de análisis de URLs. Pero la mejor defensa sigue siendo una mezcla de desconfianza sana y verificación por canales oficiales: ante la duda, no hagas clic ni pagues nada y contacta tú mismo con la entidad por el número o web que ya conoces.

Qué hacer si ya has sido víctima de una ciberestafa

Cuando uno se da cuenta de que ha caído en la trampa, es normal sentir vergüenza, rabia y miedo. Precisamente por eso muchos afectados no denuncian, y ese silencio juega a favor de los delincuentes. Lo importante es actuar rápido y de forma ordenada.

Los pasos básicos son:

• Contactar inmediatamente con el banco para bloquear tarjetas, claves y cuentas afectadas, e intentar detener o revertir transferencias.
• Cambiar contraseñas de los servicios comprometidos y de cualquier otro que pudiera estar reutilizando las mismas credenciales.
• Guardar todas las pruebas: capturas de pantalla, correos, SMS, números de teléfono, enlaces, justificantes de pago…
• Presentar denuncia ante Policía Nacional o Guardia Civil, aportando toda la información recopilada.
• Si es necesario, recurrir a organismos especializados en ciberseguridad y fraude (por ejemplo, INCIBE u oficinas de consumo) o a servicios de asesoría técnica y legal.

En España, la normativa de pagos (PSD2) obliga a las entidades financieras a investigar las operaciones no autorizadas. Si el banco no puede demostrar que el cliente validó conscientemente el pago, tiene que devolver el dinero, y existe un plazo amplio (hasta 13 meses en muchos casos) para reclamar cargos extraños. En estafas donde la víctima autoriza el pago bajo engaño (como el “hijo en apuros”), el escenario es más complejo, pero sigue siendo posible reclamar alegando fallos en los sistemas de detección de operaciones anómalas.

Medidas clave para prevenir las ciberestafas

La prevención efectiva combina tecnología, procesos y cultura. No basta con instalar un antivirus y cruzar los dedos: hay que construir una defensa en capas que reduzca al máximo la probabilidad de éxito de un engaño y limite sus efectos si finalmente se produce.

Entre las medidas más recomendables están:

• Formación continua: sesiones periódicas para aprender a identificar fraudes, con ejemplos reales de phishing, vishing, smishing, estafas telefónicas y deepfakes.
• Software siempre actualizado: sistemas operativos, navegadores, aplicaciones y firmware con los últimos parches de seguridad.
• Autenticación multifactor robusta: especialmente con métodos resistentes al phishing (tokens físicos, llaves FIDO2, apps que no se basen solo en SMS).
• Buenas políticas de contraseñas: claves largas y únicas para cada servicio, gestionadas con un gestor de contraseñas fiable.
• Monitorización y alertas: revisión frecuente de movimientos bancarios, accesos a cuentas y actividad inusual en redes y sistemas.

En entornos empresariales, es aconsejable desplegar soluciones avanzadas de detección y respuesta en red (NDR), protección del correo electrónico con IA, detección de amenazas de identidad (ITDR) y herramientas específicas para analizar comportamientos anómalos. Cada vez más organizaciones asumen la filosofía de “asumir compromiso”: aceptar que algún ataque de ingeniería social tendrá éxito y centrarse en detectar cuanto antes la actividad maliciosa una vez dentro.

Las normativas internacionales empiezan también a apretar: marcos como el perfil de IA cibernética del NIST, las iniciativas regulatorias en Estados Unidos o las leyes europeas sobre IA y protección de datos obligan a las empresas a gestionar de forma proactiva los riesgos asociados a sistemas de inteligencia artificial y a las estafas que los utilizan.

Mirando el panorama completo, las ciberestafas han pasado de ser historias casi caricaturescas de “príncipes nigerianos” a ataques masivos y quirúrgicos que combinan IA, ingeniería social y fallos humanos. La buena noticia es que hay mucho margen para reducir su impacto si aprendemos a reconocer sus señales, reforzamos la seguridad técnica y, sobre todo, normalizamos hablar de ello y denunciar cuando ocurre. Solo así se puede poner freno a un fenómeno que, si lo dejamos correr, seguirá creciendo a un ritmo vertiginoso.