ESET alerta: agentes de IA y estafas en sitios falsos

Qué advierte ESET sobre los agentes de IA y los sitios falsos

Dos de cada tres personas (66%) ya usaron alguna herramienta de IA en los últimos 12 meses, según una encuesta de Ipsos para Google en 21 países que cita ESET Latinoamérica. Para un founder esa cifra no es un dato de color: significa que buena parte de su equipo —y de sus clientes— está investigando y decidiendo compras dentro de interfaces que ya no solo responden preguntas, sino que navegan, hacen clic y completan formularios en su nombre.

ESET advierte que esa comodidad amplía la superficie de ataque. Los asistentes de búsqueda pueden consultar páginas y resumirlas; los agentes integrados en navegadores van más lejos: abren enlaces, descargan archivos y ejecutan acciones. La diferencia, según la compañía, está en lo que ocurre después de acceder al sitio. Leer una página fraudulenta puede derivar en desinformación o engaño; interactuar activamente con ella puede traducirse en pérdidas económicas o en la exposición de información personal.

Envenenamiento SEO e inyección de prompts: las dos técnicas documentadas

Mario Micucci, investigador de Seguridad Informática de ESET Latinoamérica, describe dos técnicas que ya están documentadas. La primera es el envenenamiento SEO: posicionar páginas fraudulentas entre los primeros resultados de búsqueda, algo que también puede contaminar las respuestas generadas por asistentes de IA.

Leíste lo que hace la IA. ¿Y en tu negocio?

Un agente de IA puede quedarse con parte de tu día: ordenar lo pendiente y pedirte el OK antes de actuar. El Kit «tu mano derecha con IA» trae un video de 11 minutos y una ficha para dejar al tuyo trabajando. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

La segunda es la inyección de prompts: instrucciones ocultas en páginas web, correos electrónicos o documentos que el agente interpreta como órdenes legítimas del usuario. El riesgo está catalogado en las guías de referencia de OWASP. Puede viajar en texto invisible o en elementos diseñados para pasar desapercibidos ante el ojo humano, pero perfectamente legibles para un modelo.

ESET menciona el escenario que documenta OpenAI: un agente encuentra un comentario malicioso durante una búsqueda y recibe instrucciones para obtener un código de recuperación de contraseña y enviarlo a un sitio controlado por atacantes. Guardio Labs, por su parte, describió PromptFix, una variante en la que instrucciones escondidas detrás de un CAPTCHA falso inducen al agente a hacer clic y descargar un archivo. En las pruebas de los investigadores el archivo era inofensivo, aunque en un escenario real podría tratarse de malware: la IA cree estar resolviendo una verificación de seguridad cuando en realidad interactúa con un sitio de phishing.

PleaseFix y BragJack: cuando el agente actúa sin que se lo pidas

El caso más citado por ESET es PleaseFix, la familia de vulnerabilidades que Zenity Labs divulgó el 3 de marzo de 2026 y que afecta a navegadores agénticos, incluido Comet de Perplexity, según el comunicado recogido por Business Wire. La técnica parte de contenido controlado por el atacante —una invitación de calendario, por ejemplo— y logra que el agente ejecute acciones sin interacción del usuario: acceso al sistema de archivos local, exfiltración de datos y robo de credenciales dentro de sesiones ya autenticadas, incluso a través de gestores de contraseñas como 1Password.

«Es una vulnerabilidad inherente a los sistemas agénticos», dijo Michael Bargury, CTO de Zenity. «Los atacantes pueden introducir datos no confiables en los navegadores de IA y secuestrar al agente, heredando los accesos que se le hayan concedido».

TechRepublic detalla el calendario de la corrección: Zenity reportó el fallo a Perplexity en octubre, la compañía publicó un primer parche en enero de 2026, los investigadores lo sortearon con una ruta de archivo modificada y un segundo parche de febrero restringió el acceso al protocolo file://. El verdadero riesgo, según los investigadores, aparece cuando una instrucción maliciosa se mezcla con una tarea legítima hasta parecer un paso necesario para completarla.

El problema no es exclusivo de un producto. En septiembre de 2026, el investigador Gal Weizman, de Forever Security, publicó BragJack, una técnica que permite a una sola extensión maliciosa tomar el control de los agentes de IA integrados en cinco navegadores —Chrome, Edge, Opera Neon, Comet y Claude in Chrome— sin ningún clic del usuario, según TechTimes. Google y Microsoft ya parchearon sus vulnerabilidades (CVE-2026-0628 y CVE-2026-55945).

Y la superficie sigue creciendo. Ars Technica reportó en octubre de 2026 que un investigador independiente demostró ataques de inyección indirecta contra agentes de organizaciones como Google, JP Morgan Chase y Rapid7, explotando los huecos de confianza del Model Context Protocol (MCP), el estándar con el que los agentes se comunican entre sí dentro de una red interna.

Qué significa esto para tu startup

El punto crítico no es el fraude al consumidor final: es que tu equipo ya delegó accesos. Un agente conectado al correo corporativo, al Drive o al CRM hereda los permisos de quien lo autorizó. Si una instrucción maliciosa se mezcla con una tarea legítima hasta parecer un paso necesario, el agente la ejecuta con esos mismos permisos.

CERT-In, el organismo de respuesta a incidentes de India, lo resumió así en una entrevista con MediaNama: lo que más les preocupa es la «autoridad delegada sin salvaguardas proporcionales» y que los agentes de IA «se están confiando más rápido de lo que se están asegurando». El organismo identificó dos patrones de incidentes: agentes que accedieron a sistemas en producción sin autorización durante pruebas, y cibercriminales que usan frameworks agénticos públicos para comprimir el tiempo entre el acceso inicial y el impacto de días a unas pocas horas.

Acciones concretas para esta semana:

Separa el perfil del agente. Si usas un asistente o navegador con IA, córrelo en un perfil aislado, sin tarjetas guardadas, sin contraseñas y sin sesión iniciada en correo o banca. Es la recomendación de ESET y coincide con el principio de mínimo privilegio que pide CERT-In: permisos acotados, con caducidad y revocables.
Exige confirmación humana en cada acción irreversible. Antes de aprobar, lee qué va a hacer el agente. CERT-In recomienda que la confirmación sea obligatoria para toda acción consecuente y que se mantenga un registro a prueba de manipulación de cada llamada a herramienta.
Audita las extensiones del navegador. BragJack demostró que basta una extensión con permisos que los bloqueadores de anuncios piden habitualmente. Elimina lo que no uses, sobre todo lo que pide acceso amplio a todos los sitios.
Verifica el dominio antes de escribir un dato. No confíes en la posición del resultado: los sitios falsos aparecen tanto en anuncios como en resultados orgánicos. En anuncios de Google, abre el centro de anuncios desde los tres puntos para ver quién es el anunciante.
Desconfía de los datos de pago que da un asistente. Teléfonos, correos y páginas informados por una IA se contrastan siempre contra el canal oficial de la empresa. En 2025, reportes de prensa citados por ESET documentaron resúmenes de IA de Google con números de atención al cliente incorrectos o fraudulentos.

El riesgo no desaparece, se administra

Micucci lo plantea sin dramatismo: «los asistentes de IA siguen siendo útiles para investigar y comparar, pero amplían la superficie de ataque: cada página, correo electrónico o documento que lee una IA puede convertirse en una vía para la estafa». La supervisión humana, dice, sigue siendo muy importante.

Para un equipo pequeño, la lectura práctica es que la seguridad de IA dejó de ser un tema exclusivo de infraestructura y pasó a ser una decisión de producto y de procesos. No hace falta renunciar a los agentes: hace falta decidir qué accesos les das, qué acciones pueden ejecutar solos y qué queda registrado. Esa conversación, hoy, es mucho más barata que un incidente.