ESET: 11 estafas con IA que amenazan a tu startup

Por qué la IA cambió las reglas del fraude digital

Los mensajes mal escritos dejaron de ser la señal de alarma. Según el informe "Ringing in Our Fears 2026" de US PIRG Education Fund, los consumidores que reportaron pérdidas por estafas telefónicas en el primer semestre de 2026 perdieron en promedio 3.973 dólares por incidente, casi un 8% más que en el mismo período de 2025. Las pérdidas promedio por mensajes de texto fraudulentos llegaron a 1.960 dólares, un alza de cerca del 35%.

El detalle incómodo: las llamadas no deseadas bajaron, de casi 2.500 millones mensuales en 2025 a unos 2.100 millones en 2026, pero el daño económico por estafa exitosa subió. Menos intentos, más caros.

La razón está en la calidad del engaño. Visa, en su informe Biannual Threats Report de la primavera de 2026, describe las estafas aceleradas por IA como "la fuente de daño al consumidor de más rápido crecimiento" y reportó haber detectado cerca de 1.000 millones de dólares en actividad relacionada con estafas entre julio y diciembre de 2025. En ese período el fraude dejó de girar alrededor del robo de credenciales para concentrarse en la manipulación: convencer a la víctima de que autorice ella misma el pago.

Leíste lo que hace la IA. ¿Y en tu negocio?

Un agente de IA puede quedarse con parte de tu día: ordenar lo pendiente y pedirte el OK antes de actuar. El Kit «tu mano derecha con IA» trae un video de 11 minutos y una ficha para dejar al tuyo trabajando. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

En ese escenario, ESET identificó 11 formas concretas en las que los ciberdelincuentes usan inteligencia artificial generativa para hacer más creíbles sus maniobras.

Las 11 técnicas que identificó ESET

Phishing más convincente: los correos fraudulentos ahora tienen gramática correcta, tono profesional y el lenguaje exacto de bancos y comercios. La ausencia de errores ortográficos ya no prueba nada.
Ataques personalizados: se combinan datos de redes sociales y filtraciones para armar mensajes con nombres, cargos y referencias laborales reales.
Análisis de redes sociales: la IA permite estudiar publicaciones, contactos, rutinas y vínculos familiares para construir una historia creíble antes del primer contacto.
Clonación de voces: con pocos minutos de audio se imita la voz de un familiar o conocido y se pide dinero con una excusa urgente. Es la modalidad conocida como vishing.
Videos falsificados (deepfakes): rostros conocidos promocionan inversiones o productos inexistentes. Ver una cara familiar en un video ya no garantiza autenticidad.
Anuncios falsos con celebridades: publicidades fraudulentas que usan la imagen de figuras públicas para llevar a sitios que capturan dinero o datos sensibles.
Páginas web clonadas: réplicas de bancos y comercios con diseño profesional, pensadas para robar credenciales o cobrar productos que nunca se entregan.
Chatbots que simulan atención al cliente: asistentes automatizados que responden en tiempo real, dan explicaciones y sostienen el engaño durante toda la conversación.
Traducción y adaptación a otros países: la IA traduce y localiza las estafas, eliminando los errores que antes delataban campañas procedentes del exterior.
Reseñas y testimonios falsos: opiniones generadas para inflar la reputación de tiendas y plataformas fraudulentas.
Falsificación de documentos: facturas, identificaciones y comprobantes con apariencia profesional que respaldan otras maniobras de fraude.

Cómo se combinan estas técnicas en una sola estafa

El riesgo real no está en cada técnica por separado, sino en la cadena. Un atacante puede analizar el perfil público de un empleado, redactar un mensaje personalizado que imite a un proveedor, dirigirlo a un sitio clonado y usar un chatbot para responder dudas hasta que la víctima autorice la transferencia.

Cada eslabón aporta credibilidad al siguiente. Eso explica por qué el fraude se corrió del terreno técnico al terreno humano: ya no hace falta vulnerar un sistema, alcanza con convencer a una persona con acceso a él.

El antecedente no es nuevo, pero sí su escala. Ya en enero de 2025, Noticias de Navarra documentaba que a partir de unos pocos minutos de audio los estafadores eran capaces de clonar voces y de superponer un rostro generado por IA sobre el de un timador en videollamadas en tiempo real. Lo que cambió desde entonces es el costo de hacerlo: lo que antes requería conocimiento técnico profundo hoy se ejecuta con un prompt.

Qué significa esto para tu startup

Una startup es un objetivo especialmente cómodo: equipos chicos, procesos de pago informales y founders que autorizan transferencias por WhatsApp porque "es más rápido". Ahí es donde estas técnicas encuentran su mejor terreno.

Viktória Ivanová, vicepresidenta de Usuarios e IoT de ESET, lo resumió así: "La IA se está convirtiendo rápidamente en parte de la vida digital cotidiana, y los ciberdelincuentes ya la están utilizando para crear estafas más convincentes y nuevas vías de ataque".

Dos acciones concretas que puedes implementar esta semana:

Verificación fuera de banda para cualquier pago o cambio de datos bancarios. Si un proveedor, un inversor o un socio pide modificar una cuenta de destino o adelantar un pago, confírmalo por un canal distinto al que llegó el pedido: una llamada a un número que ya tenías registrado, no al que aparece en el mensaje. Reconocer una voz ya no alcanza como prueba de identidad.
Doble aprobación humana en transferencias por encima de un umbral. Define un monto a partir del cual se requiere el visto bueno de dos personas con roles distintos. Es la defensa más barata contra el fraude del CEO, donde un deepfake o un correo clonado empuja a un empleado a pagar sin consultar.

Cómo blindar a tu equipo sin contratar un CISO

No necesitas un departamento de seguridad para reducir el riesgo de forma significativa. Estas medidas cubren la mayoría de los vectores descritos:

Activa autenticación en dos pasos con app o llave física, no por SMS. El SMS es interceptable y varios de los ataques descritos dependen de que la segunda barrera sea débil.
Usa contraseñas distintas por servicio y un gestor de claves para el equipo. Una filtración en un servicio menor no debe abrir la puerta al correo corporativo.
Limita la información pública del equipo. Cargos exactos, herramientas internas, rutinas de viaje y organigramas detallados son materia prima para ataques personalizados. Revisa qué expone tu web de equipo y los perfiles de LinkedIn de quienes manejan finanzas.
Revisa la dirección del sitio antes de ingresar credenciales. Los dominios parecidos a los originales son la base de las páginas clonadas.
Desconfía de la urgencia y de la reputación aparente. Un pedido con presión de tiempo, una página con cientos de reseñas positivas o un anuncio con una cara famosa no son señales de confianza.
Haz un simulacro de phishing trimestral. Diez minutos de ejercicio enseñan más que un manual de políticas que nadie lee.

Vale la pena mirar también las herramientas que están saliendo del lado defensivo. ESET presentó funciones como ESET AI Security, que analiza las URL incluidas en respuestas de asistentes de IA para detectar enlaces de phishing, y Web Control dentro de ESET Small Business Security, que permite administrar el acceso de los empleados a sitios web según políticas internas. Para equipos pequeños, este tipo de capas gestionadas suele ser más realista que montar seguridad propia.

Conclusión

La IA no inventó el fraude: le quitó los errores que lo delataban. Las señales clásicas —mala redacción, traducciones torpes, imágenes de baja calidad— ya no sirven como filtro, y eso obliga a cambiar el criterio de verificación. La regla práctica para un founder es simple: ninguna identidad se da por confirmada por cómo suena, cómo se ve o qué tan bien escribe. Se confirma por un canal que tú controlas.

Para una startup, el costo de implementar verificación fuera de banda y doble aprobación en pagos es de minutos. El costo de no hacerlo es una transferencia irrecuperable y, muchas veces, la confianza del equipo rota.