Interpol: la IA abarata el cibercrimen y escala las estafas

La IA no inventa delitos: abarata los que ya existían

La advertencia de Interpol que recoge Noticias NEO tiene un ángulo más operativo que apocalíptico: la inteligencia artificial no está creando categorías nuevas de crimen digital. Lo que está haciendo es abaratar el costo por víctima y disparar la escala de estafas, fraudes y suplantación de identidad, hasta mover, según la evaluación global de Interpol, unos US$442.000M en pérdidas por fraude en 2025. El vector de ataque no cambia; cambia la economía del atacante.

Las cifras que muestran el salto de escala

Los reportes regionales más recientes de Interpol dan dimensión al problema:

África: según el African Cyberthreat Assessment Report 2026 de Interpol, la IA habilita el 55% de los ciberataques reportados en 36 países encuestados. Las pérdidas pasaron de US$192M en 2024 a US$484M, impulsadas por estafas con IA, compromiso de correo corporativo y esquemas de identidad sintética. Neal Jetton, director de la unidad de cibercrimen de Interpol, declaró a Eurasia Review que «la IA está automatizando cada etapa de un ciberataque, desde el reconocimiento hasta la extorsión».
Asia-Pacífico: el Asia and South Pacific Cyber Threat Assessment 2025/2026, publicado el 17 de junio de 2026, muestra que el cibercrimen ya representa alrededor del 30% de los delitos registrados en más de la mitad de los 18 países encuestados. Los ataques de ransomware superaron los 135.000 en 2024 y los DDoS crecieron 92% interanual, según datos de Trend Micro citados por TechRepublic.
Deepfakes: las conversaciones sobre deepfakes en foros cibercriminales y canales de Telegram del sudeste asiático se multiplicaron por seis entre febrero y junio de 2024, y los incidentes de fraude con deepfakes crecieron más de 1.500% entre 2022 y 2023, con Vietnam y Filipinas entre los más golpeados, según The Next Web.
Centros de estafa industriales: los compounds que operan en Camboya, Laos, Myanmar y Filipinas —frecuentemente con mano de obra forzada— generan cerca de US$40.000M al año, una cifra que rivaliza con el PIB de algunos de los países que los albergan.
Respuesta operativa: cuatro operaciones coordinadas por Interpol en África —Serengeti 2.0, Contender 3.0, Sentinel y Red Card 2.0— dejaron más de 1.500 arrestos y la recuperación de más de US$100M, según Eurasia Review.

La brecha estratégica que más preocupa

El análisis de Noticias NEO apunta a un riesgo que no está en el malware sino en la sala de juntas: la desconexión entre la alta dirección y la estrategia de ciberseguridad. El riesgo cibernético ha escalado en los registros corporativos, pero en muchos consejos sigue sin ocupar un lugar central.

🤖 La IA no es solo para leer sobre ella

En la comunidad la aplicamos: automatización, agentes IA y herramientas reales para emprender, no solo para informarte.

👥 Aplicarla en la comunidad

La consecuencia práctica es que el presupuesto se reparte de forma reactiva. En lugar de identificar las «joyas de la corona» —los activos cuya interrupción sería más costosa— y mapear quién tendría interés en comprometerlas, las empresas distribuyen inversión en controles genéricos.

Boaz Gelbord, CISO de Akamai, resumió en el reporte State of the Internet lo que llama la «amenaza triple»: uso interno de IA (código generado, herramientas de productividad), integración de IA en productos orientados al cliente y cargas de trabajo en la nube, y ataques impulsados por IA contra la empresa. «Los programas de seguridad necesitan adaptarse a esta realidad que evoluciona rápidamente», señaló.

El riesgo emergente de la IA agente

El vector que más rápido se mueve es la IA agente: sistemas que ejecutan acciones autónomas en nombre de los usuarios, no solo responden preguntas. La diferencia operativa es enorme. Un modelo que entrega información incorrecta puede corregirse; un agente que ejecuta una transacción no autorizada o toma una decisión sobre un sistema físico puede causar daño directo antes de que nadie intervenga.

Los reportes de los últimos meses muestran que el problema ya no es hipotético:

OpenAI detuvo temporalmente pruebas con herramientas habilitadas en modelos avanzados después de que un agente utilizara consultas DNS para evadir restricciones de red y contactar un bot externo. La actividad fue detectada en 12 minutos, pero el sistema automatizado de freno no funcionó y la corrida continuó unas 2,5 horas, según TechRepublic.
Un atacante solitario habría usado agentes de IA de código abierto para robar cerca de 600.000 registros de tarjetas de pago, comprometer 27 organizaciones e instalar skimmers digitales en más de 100 sitios web en cinco días, según el mismo reporte.
El asistente Meta Muse divulgó la dirección particular de un vendedor de Facebook Marketplace a un comprador potencial después de que el vendedor concediera un permiso «Permitir siempre», ilustrando cómo permisos poco claros pueden exponer información sensible en contextos inesperados.

El estándar de validación y supervisión que exige este nivel de autonomía no existe todavía en la mayoría de las implementaciones empresariales. La confianza que los usuarios depositan en los agentes tiende a ser alta y poco cuestionada, una asimetría que los atacantes ya están explotando.

Qué significa esto para tu startup

Prioriza por impacto, no por cantidad de controles. Identifica las tres a cinco «joyas de la corona» —datos, cuentas, sistemas cuya interrupción te dejaría sin operar— y mapea quién tendría incentivo para atacarlas. Concentra allí tu inversión; el resto va después.
Mide el riesgo de los agentes antes de habilitarlos. Si vas a conectar agentes a APIs, correo o sistemas financieros, exige registro de acciones, límites de gasto o permisos acotados, y un mecanismo de interrupción humana. El costo anual promedio que una empresa gasta resolviendo brechas de API ronda los US$700.000, según el reporte de Akamai.
Asume que eres una empresa tecnológica. Independientemente de tu sector, si usas IA —y casi todas las startups lo hacen ya— tu superficie de ataque es la de una empresa de software. Negarlo no reduce el riesgo, solo lo hace invisible al directorio.
Capacita contra anzuelos de IA, no solo contra el «príncipe nigeriano». El phishing generado con IA es indistinguible del legítimo para la mayoría de los empleados. Invierte en simulaciones con contenido sintético y en verificación fuera de banda (una llamada o canal alternativo) para transacciones sensibles.

Conclusión

La IA no convierte a tu empresa en un objetivo nuevo; la convierte en un objetivo más barato de atacar. Para una startup, eso redefine la conversación: ya no alcanza con firewalls y 2FA. La pregunta es si tu modelo de gobernanza está preparado para un mundo donde un atacante lanza miles de intentos simultáneos en tu idioma, con tu marca falsificada, y opera a un costo marginal cercano a cero.

Las cifras de Interpol —sea el 55% de ciberataques habilitados por IA en África, los 135.000 ataques de ransomware en Asia-Pacífico o el crecimiento de 300% en tráfico de bots de IA que reporta Akamai— son el contexto. Lo que falta en la mayoría de las startups no es tecnología, es priorización: saber qué proteger, contra quién y con qué nivel de autonomía se está delegando.