Ciberseguridad en la era de la inteligencia artificial
Escuchar este artículo
Audio completo disponible.
0%
La inteligencia artificial está cambiando la manera de trabajar, estudiar, comunicarse y tomar decisiones. También está modificando el panorama de la ciberseguridad.
Las mismas herramientas que ayudan a analizar información, escribir código o automatizar tareas pueden utilizarse para preparar campañas de engaño, estudiar objetivos y acelerar determinadas fases de un ataque informático.
Sin embargo, la inteligencia artificial no ha eliminado los problemas de siempre. Contraseñas débiles, servidores expuestos, sistemas sin actualizar y permisos excesivos continúan siendo algunas de las principales puertas de entrada.
La IA acelera amenazas conocidas y abre riesgos propios. Por eso la defensa exige controles técnicos, formación y reglas claras para usar estas herramientas.
La IA acelera amenazas que ya existían
Durante mucho tiempo, los ciberdelincuentes necesitaron invertir bastante tiempo en preparar mensajes, estudiar posibles víctimas y adaptar sus ataques. La inteligencia artificial puede reducir parte de ese trabajo.
Un atacante puede utilizar sistemas generativos para crear textos más naturales, traducir comunicaciones, adaptar el tono de un mensaje o simular una conversación profesional. La herramienta no tiene que ser perfecta para resultar peligrosa: incluso un mensaje imperfecto puede facilitar un engaño eficaz si coincide con una solicitud esperada.
El Instituto Nacional de Estándares y Tecnología de Estados Unidos, NIST, advierte que la inteligencia artificial plantea riesgos nuevos, aunque muchos de ellos están relacionados con problemas conocidos de seguridad, privacidad, software y control de datos.
Phishing y suplantaciones más convincentes
El phishing continúa siendo uno de los métodos más utilizados para obtener contraseñas, instalar programas maliciosos o inducir a una persona a realizar una transferencia.
ENISA identificó el phishing como el principal vector de intrusión en su panorama de amenazas de 2025, con aproximadamente el 60 % de los casos analizados. La explotación de vulnerabilidades representó el 21,3 % de los accesos iniciales estudiados.
La inteligencia artificial puede ayudar a redactar correos que imitan el lenguaje de una empresa, preparar respuestas automáticas y fabricar páginas de inicio de sesión visualmente parecidas a las legítimas.
También puede utilizarse para generar imágenes, audios o vídeos falsos. Eso no significa que todo contenido creado artificialmente sea fraudulento, pero sí obliga a verificar con mayor cuidado las solicitudes urgentes, los cambios de cuenta bancaria y cualquier mensaje que pida información confidencial.
Una llamada inesperada de un supuesto jefe, proveedor o familiar no debe confirmarse únicamente por la voz. La solicitud debe comprobarse por otro canal.
Reconocimiento más rápido de objetivos
Antes de intentar entrar en un sistema, un atacante necesita identificar la organización y su superficie digital. Puede buscar dominios, subdominios, servicios expuestos, tecnologías utilizadas y datos publicados en internet.
La inteligencia artificial puede facilitar el análisis de grandes volúmenes de información pública y ayudar a organizar datos dispersos. Por eso resulta esencial saber qué información publica una empresa, qué servicios expone y qué cuentas tienen permisos administrativos.
Las vulnerabilidades que siguen poniendo sistemas en riesgo
La IA ocupa buena parte de la conversación actual, pero muchos incidentes continúan comenzando por fallos básicos.
Software sin actualizar
Las actualizaciones corrigen errores, mejoran el funcionamiento y, en numerosos casos, cierran vulnerabilidades de seguridad.
El informe de Verizon de 2025 registró un aumento del 34 % en la explotación de vulnerabilidades como vía de acceso inicial frente al año anterior. El mismo informe señaló que la participación de terceros en las brechas se duplicó hasta llegar al 30 % de los casos analizados.
Cuando una actualización no puede aplicarse de inmediato, el sistema debe quedar identificado, priorizado y vigilado. También deben evaluarse medidas temporales, como restringir el acceso, desactivar una función vulnerable o colocar el servicio detrás de controles adicionales.
Servidores expuestos
Un servidor conectado a internet puede ser localizado y evaluado desde cualquier lugar. Si además tiene una configuración deficiente, aumenta el riesgo de acceso no autorizado.
- Paneles de administración accesibles desde internet.
- Puertos y servicios que no son necesarios.
- Contraseñas débiles o compartidas.
- Permisos excesivos.
- Falta de registros de actividad.
- Copias de seguridad conectadas permanentemente.
- Sistemas operativos y aplicaciones obsoletos.
La exposición no siempre representa una vulnerabilidad. El problema aparece cuando la organización desconoce qué tiene publicado o no controla adecuadamente quién puede acceder.
Credenciales robadas
Las contraseñas reutilizadas siguen siendo un riesgo importante. Si una cuenta se filtra en un servicio, los atacantes pueden intentar utilizar las mismas credenciales en el correo, las redes sociales, las plataformas de trabajo o los servicios bancarios.
La autenticación multifactor añade una capa de protección porque exige más de una prueba de identidad. CISA recomienda priorizar la autenticación multifactor resistente al phishing, especialmente en el correo electrónico, el acceso remoto y los servicios expuestos a internet.
No todas las formas de autenticación multifactor ofrecen la misma resistencia frente al phishing. Cuando sea posible, las organizaciones deben priorizar métodos diseñados para impedir que un atacante capture o reutilice los códigos de acceso.
También es necesario revisar las cuentas periódicamente. Las cuentas antiguas, los accesos compartidos y los usuarios que ya no trabajan en una institución pueden permanecer activos durante meses si nadie los comprueba.
Proveedores y herramientas de terceros
Una organización puede proteger razonablemente sus servidores y aun así verse afectada por un proveedor, una aplicación externa, una extensión del navegador o una biblioteca de código comprometida.
Los servicios digitales dependen de múltiples componentes y proveedores. Cada uno puede tener permisos, acceso a información o capacidad para comunicarse con otros sistemas.
Antes de incorporar una herramienta conviene conocer:
- Qué datos recopila.
- Dónde se almacenan.
- Qué permisos solicita.
- Cómo gestiona las vulnerabilidades.
- Qué ocurre si deja de funcionar.
- Cómo se revoca el acceso.
La seguridad de una empresa ya no depende únicamente de sus propios sistemas. También está relacionada con la seguridad de la cadena de suministro digital.
La IA también puede convertirse en un riesgo
Las herramientas de inteligencia artificial pueden procesar información muy sensible. Un empleado podría copiar en un servicio externo un contrato, una base de datos, código privado o datos de clientes sin comprender las consecuencias.
El problema no se limita a la privacidad. Si una herramienta de IA está conectada a documentos internos, aplicaciones o servicios automatizados, una cuenta comprometida podría permitir acciones que antes requerían intervención humana.
NIST señala que los sistemas de IA necesitan controles específicos relacionados con sus datos, componentes, desarrollo, despliegue y uso.
Por eso, cada organización debería establecer reglas sencillas:
- Qué información puede introducirse en una herramienta de IA.
- Qué plataformas están autorizadas.
- Qué usuarios pueden conectarlas a sistemas internos.
- Qué acciones requieren aprobación humana.
- Cómo se registran las consultas y operaciones importantes.
- Cómo se revocan los permisos cuando dejan de ser necesarios.
También deben revisarse los programas que se presentan como herramientas de inteligencia artificial. Una aplicación falsa, una extensión maliciosa o un paquete de software alterado puede utilizar el interés por la IA como mecanismo de engaño.
Cómo proteger sistemas y organizaciones
Ninguna medida elimina el riesgo. Estas reducen la superficie de ataque y ayudan a limitar el impacto de un incidente.
Inventario y actualizaciones
La organización debe saber qué equipos, servidores, aplicaciones, cuentas y servicios utiliza. Sin un inventario actualizado, es difícil identificar qué necesita protección o qué componente está olvidado.
- Mantener actualizado el software.
- Eliminar servicios innecesarios.
- Revisar periódicamente las configuraciones.
- Controlar los dispositivos conectados.
- Proteger las copias de seguridad.
- Vigilar los sistemas expuestos a internet.
Control de accesos
Cada usuario debería tener únicamente los permisos necesarios para realizar su trabajo. Las cuentas administrativas deben utilizarse de manera limitada y estar protegidas con autenticación multifactor.
La segmentación también resulta importante. Si un equipo queda comprometido, el atacante no debería poder desplazarse automáticamente hacia todos los servidores, cuentas y bases de datos.
Formación y respuesta ante incidentes
La tecnología no puede sustituir el criterio de las personas. Los empleados deben saber reconocer solicitudes inusuales, comprobar cambios de cuentas, evitar enlaces sospechosos y reportar incidentes con rapidez.
Además, toda organización necesita un plan de respuesta. Ese plan debe indicar:
- Quién debe ser avisado.
- Qué sistemas pueden desconectarse.
- Cómo se preservan los registros.
- Cómo se restauran las copias de seguridad.
- Cómo se informa a clientes y usuarios.
- Qué medidas se aplican para evitar una repetición.
Las copias de seguridad solo son útiles si pueden restaurarse. Por eso deben probarse periódicamente y mantenerse separadas del entorno principal.
El hacking ético como herramienta de prevención
El hacking ético consiste en evaluar sistemas, aplicaciones y redes con autorización expresa de sus propietarios. Su finalidad es encontrar debilidades antes de que sean aprovechadas por un atacante.
Una prueba profesional debe tener un alcance definido, reglas claras y límites para evitar daños o interrupciones. El objetivo no es demostrar que alguien puede entrar, sino ayudar a corregir el problema y mejorar la capacidad de defensa.
Quienes desean familiarizarse con esta disciplina pueden consultar la guía de hacking ético para principiantes de IberoStudio, presentada como un recurso introductorio para entender los conceptos básicos del tema.
La práctica debe realizarse siempre en laboratorios autorizados, máquinas virtuales o plataformas creadas para el aprendizaje. Probar sistemas ajenos sin permiso puede ser ilegal y provocar daños reales.
El hacking ético obliga a formular preguntas importantes: ¿qué podría ver un intruso?, ¿qué permisos conseguiría?, ¿cuánto tardaría la organización en detectarlo?, ¿podría recuperarse de la intrusión?
La seguridad exige vigilancia permanente
La inteligencia artificial seguirá transformando la tecnología y también las amenazas digitales. Aparecerán nuevas herramientas, nuevos servicios y nuevas formas de automatizar tareas.
Pero la defensa no depende de una solución milagrosa. Depende de conocer los sistemas, limitar los accesos, actualizar el software, proteger los datos, formar a las personas y responder con rapidez.
La IA puede acelerar un ataque, pero las causas siguen siendo conocidas: sistemas desactualizados, accesos excesivos, credenciales expuestas y falta de preparación. En muchos casos, la diferencia entre un sistema vulnerable y uno más resistente no está en utilizar la tecnología más sofisticada, sino en atender de manera constante los fundamentos de la seguridad informática.
Preguntas frecuentes
¿La inteligencia artificial hace más peligrosos los ciberataques?
Puede aumentar la velocidad y el nivel de personalización de algunas campañas. Sin embargo, muchos ataques siguen aprovechando problemas conocidos, como contraseñas robadas, sistemas sin actualizar y servidores mal configurados.
¿Qué es una vulnerabilidad de seguridad?
Es una debilidad en un sistema, aplicación, dispositivo o configuración que puede ser aprovechada para acceder sin autorización, robar información o interrumpir un servicio.
¿Qué diferencia hay entre hacking ético y hacking malicioso?
El hacking ético se realiza con autorización y busca mejorar la seguridad. El hacking malicioso se lleva a cabo sin permiso y puede tener como objetivo robar información, causar daños o interrumpir servicios.
¿Basta con instalar un antivirus?
No. Un antivirus es una capa de protección, pero debe combinarse con actualizaciones, autenticación multifactor, copias de seguridad, control de accesos, formación y un plan de respuesta ante incidentes.
