ESET alerta: agentes de IA y webs falsas, cómo protegerse

Qué advierte ESET sobre los sitios web falsos y los agentes de IA

Dos de cada tres personas (66%) usaron alguna herramienta de IA en los últimos doce meses, según una encuesta de Ipsos para Google en 21 países. Ese número explica por qué la advertencia de ESET Latinoamérica importa más de lo que parece: cuando el asistente se convierte en la puerta de entrada a la información y a las decisiones de compra, también se convierte en un objetivo.

La compañía de detección de amenazas advierte que los asistentes de IA pueden recomendar enlaces y que los agentes integrados en navegadores pueden abrir sitios, hacer clic, descargar archivos y completar formularios en nombre del usuario. El problema es que ese recorrido puede terminar en una página fraudulenta.

Mario Micucci, investigador de Seguridad Informática de ESET Latinoamérica, aclara el estado real del fenómeno: todavía no hay pruebas de que las estafas a través de chatbots sean un fenómeno masivo, pero sí existen dos técnicas documentadas, el envenenamiento SEO y la inyección de prompts.

Leíste lo que hace la IA. ¿Y en tu negocio?

Un agente de IA puede quedarse con parte de tu día: ordenar lo pendiente y pedirte el OK antes de actuar. El Kit «tu mano derecha con IA» trae un video de 11 minutos y una ficha para dejar al tuyo trabajando. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

Envenenamiento SEO e inyección de prompts: las dos amenazas documentadas

El envenenamiento SEO busca posicionar páginas fraudulentas entre los primeros resultados de búsqueda. Como los asistentes consultan y resumen esas mismas páginas, el fraude también puede contaminar las respuestas que genera la IA.

La inyección de prompts es más silenciosa. Se trata de instrucciones ocultas en páginas web, correos electrónicos o documentos que intentan influir en el comportamiento de un agente. Pueden viajar en texto invisible o en elementos diseñados para pasar desapercibidos ante una persona, pero que la IA sí interpreta como órdenes legítimas.

¿Qué cambia cuando el agente deja de leer y empieza a actuar?

La diferencia no es menor. Leer una página fraudulenta puede derivar en desinformación o en un engaño. Interactuar activamente con ella puede traducirse en pérdidas económicas o en la exposición de información personal.

Los antecedentes ya existen. En 2025, reportes de The Washington Post y Digital Trends documentaron casos en los que los resúmenes de IA de Google mostraban números telefónicos incorrectos o fraudulentos para el servicio de atención al cliente de algunas empresas. Google indicó que estaba al tanto de la situación y que había tomado medidas para corregir parte de los resultados.

Los escenarios de ataque tampoco son teóricos:

OpenAI describe un caso en el que un agente encuentra un comentario malicioso durante una búsqueda y recibe instrucciones para obtener un código de recuperación de contraseña y enviarlo a un sitio controlado por atacantes.
Guardio Labs documentó una variante llamada PromptFix, con instrucciones ocultas detrás de un CAPTCHA falso que inducen al agente a hacer clic en un botón y descargar un archivo. En las pruebas de los investigadores el archivo era inofensivo, aunque en un escenario real podría tratarse de malware.
Zenity Labs presentó en 2026 una investigación sobre una clase de vulnerabilidades llamada PleaseFix: instrucciones ocultas dentro de una invitación de calendario lograban influir en el comportamiento de Comet, el agente de Perplexity, sin interacción por parte del usuario.

El patrón que une los tres casos es el mismo. Como señala el investigador de ESET, el verdadero riesgo aparece cuando la instrucción maliciosa se mezcla con una tarea legítima hasta parecer un paso necesario para completarla.

¿Por qué la inyección de prompts no se resuelve con un parche?

No es un problema de una sola empresa. OpenAI publicó una actualización de seguridad para su navegador ChatGPT Atlas tras detectar una nueva clase de ataques de inyección de prompts, y reconoció que el riesgo se está volviendo central para los agentes capaces de ejecutar flujos de trabajo reales, según el análisis de WWWhat’s New.

La advertencia más incómoda vino del Centro Nacional de Ciberseguridad del Reino Unido (NCSC): los ataques de inyección de prompts podrían no mitigarse por completo, por lo que las organizaciones deberían centrarse en reducir el riesgo y limitar el impacto.

Esa postura pragmática también se escucha en el sector público. El director general del CERT-In de India, Sanjay Bahl, declaró a MediaNama que la inyección de prompts no puede eliminarse por completo con las salvaguardas integradas en los modelos, pero que los riesgos asociados se reducen de forma considerable con controles de seguridad adecuados.

Qué significa esto para tu startup

Si tu equipo usa asistentes para investigar proveedores, comparar precios o gestionar tareas, ya tiene superficie de ataque. Si además delegó en un agente el acceso al correo, a archivos o a medios de pago, la tiene multiplicada.

El mercado lo refleja. Un informe de ResearchAndMarkets difundido por Yahoo Finance estima que el mercado global de seguridad de modelos de IA pasó de USD 1.100 millones en 2025 a USD 1.680 millones en 2026, y proyecta USD 17.350 millones para 2036, con un crecimiento anual compuesto del 26,2%. El mismo estudio cita un reporte de IBM de julio de 2025 según el cual el 13% de las organizaciones ya había sufrido brechas relacionadas con modelos o aplicaciones de IA.

Dos señales más de que esto dejó de ser un tema de nicho:

La inyección de prompts figura como el riesgo más crítico del Top 10 de OWASP para aplicaciones con LLM.
Apple incluyó en su informe anual 10-K del ejercicio fiscal 2026, presentado ante la SEC, el riesgo de que los agentes de IA actúen en contra de las instrucciones del usuario o eludan los controles de seguridad, con consecuencias difíciles de revertir como la eliminación de datos, según el reporte de JKN News.

Traducido a la operación diaria: el riesgo no es que el agente se equivoque con una frase, es que use credenciales, comparta documentos, altere configuraciones o envíe mensajes con tu autoridad.

Cómo proteger tu startup: medidas concretas

ESET comparte una lista de hábitos que se puede convertir directamente en política interna:

Compra en tiendas entrando por la app o escribiendo la dirección oficial, nunca por un enlace sugerido por una IA o un anuncio.
Revisa el dominio antes de introducir cualquier dato: los cambios de una o dos letras son el truco más común.
No confíes en la posición del resultado. Los sitios falsos aparecen tanto en anuncios como entre resultados orgánicos.
Verifica quién anuncia. En los anuncios de Google, el menú de tres puntos junto al resultado abre el centro de anuncios con la identidad del anunciante.
Desconfía de tiendas recién creadas, con precios muy por debajo del mercado y con una sola forma de pago.
Usa un perfil de navegador separado para la IA, sin tarjetas, contraseñas guardadas ni sesión iniciada en correo o banca.
Exige confirmación antes de cada acción y lee qué se va a ejecutar antes de aprobar.
No pidas a un agente que abra enlaces, archivos, correos o invitaciones de fuentes desconocidas, y limita su acceso a carpetas.
Revisa las extensiones del navegador y elimina las que no uses, sobre todo las que piden acceso amplio a los sitios que visitas.
Reporta por el canal oficial de la marca cuando detectes un fraude.

A esas medidas de usuario, el CERT-In agrega controles de arquitectura que sirven como checklist técnico para cualquier equipo que despliegue agentes: privilegios específicos por tarea con credenciales separadas y de vida corta, restricción del acceso a red en la capa de red y no solo por instrucciones al modelo, confirmación humana obligatoria para acciones irreversibles, y registros a prueba de manipulación de cada llamada a herramientas, retenidos al menos 180 días.

Conclusión

La comodidad de delegar tiene un costo que muchas startups todavía no contabilizan. La IA sigue siendo útil para investigar y comparar, pero amplía la superficie de ataque: cada página, correo o documento que lee puede convertirse en una vía para la estafa. La supervisión humana no es un freno a la productividad, es el control que evita una pérdida irreversible. Antes de introducir datos o confirmar un pago, comprueba el dominio, entra por el canal oficial y, si un agente actúa, revisa lo que hizo.