Ingeniería social potenciada por LLM
Cómo los LLM hacen más convincentes el phishing y el spear phishing (sin faltas, con contexto y tono reales), cómo se combinan con filtraciones y OSINT, y por qué la defensa pasa del «detecta el fallo» a la verificación por proceso.
La ingeniería social ataca a las personas, no a las máquinas. Durante años, mucha gente se defendía con una heurística sencilla: «el mensaje está mal escrito». Faltas, giros extraños, saludos genéricos, urgencia exagerada, enlaces raros. Un LLM destruye esa heurística: redacta correos impecables, en cualquier idioma, imitando un estilo, y a un coste casi nulo.
El efecto no es solo cuantitativo. Hace posible el spear phishingSpear phishingPhishing personalizado a una víctima concreta, con contexto y tono reales; con LLM se produce a escala y sin las faltas que antes delataban los correos fraudulentos. a escala: mensajes personalizados que antes exigían horas de trabajo humano por víctima.
Qué cambia con los LLM#
| Señal clásica de phishing | Por qué ya no es fiable | Qué mirar ahora |
|---|---|---|
| Faltas de ortografía y gramática | El modelo escribe sin errores, en el idioma y registro de la víctima | El proceso: ¿esta petición es normal por este canal? |
| Saludo y plantilla genéricos | Se personaliza con nombre, cargo y contexto reales | ¿Esta persona suele pedirme esto, así? |
| Urgencia exagerada | El modelo la dosifica: un plazo plausible, un motivo creíble | La presión por saltarse pasos es la señal, no el tono |
| Enlaces o dominios obvios | Dominios muy parecidos y páginas clónicas generadas en minutos | Autenticidad del remitente (SPF/DKIM/DMARC) y destino real |
| Petición fuera de contexto | Se alimenta de contexto real (proyectos, clientes, hilos) | Verificación por un canal independiente |
Del OSINT al correo indistinguible#
El ataque no depende solo del LLM, sino de lo que se le da de comer:
Paso 1 de 6OSINT
El atacante recopila fuentes abiertas sobre un directivo y su equipo: LinkedIn, prensa, conferencias, estilo de escritura. Material que ya es público.
- OSINT (inteligencia de fuentes abiertas). Perfiles de LinkedIn, notas de prensa, charlas, redes, organigramas, ofertas de empleo que revelan tecnologías. Es público y el LLM lo procesa en segundos.
- Datos internos filtrados. Aquí se combinan los ataques de esta sección: un LLM interno comprometido, o una extracción de datos de entrenamiento, puede revelar nombres de proyectos, clientes, importes y jerga interna, información que solo conoce gente de dentro y que hace el correo perfectamente creíble.
- Generación. El LLM imita el estilo de escritura del directivo (a partir de correos, artículos o publicaciones) y compone un mensaje con contexto real y un motivo plausible.
- Entrega y acción. Un correo, un mensaje de chat, o una llamada con voz clonada. La víctima actúa: transfiere dinero, comparte credenciales, abre un adjunto.
Fíjate en cómo se componen los riesgos. Cada uno por separado es grave; juntos producen un ataque con casi cero señales de alarma. Por eso la seguridad de los LLM tiene que cubrir toda la superficie: lo que filtra un modelo interno es munición para el siguiente ataque.
Dos correos, uno solo es evidente#
Vulnerable
Seguro
Asunto: URGENTE!!! Transferencia inmediataEstimado cliente: Su cuenta sera bloqueada en 24 horas.Realize el pago en el siguiente enlace:http://pagos-segur0.example/loginAsunto: Re: Cierre del proyecto Atlas — factura proveedorHola Marta, estoy en el aeropuerto y sin acceso al portal.Necesito que adelantes hoy el pago de la 2ª fase a Logística Norte(los 48.300 € que vimos con Pablo el martes) a la cuenta nuevaque te adjunto. Te lo confirmo cuando aterrice. Gracias, Álvaro.El segundo no tiene faltas, cita un proyecto real, una cifra real y a una persona real, y da un motivo (viaje) que impide la verificación habitual. Esa última cláusula es la clave: los atacantes escriben la excusa que bloquea el control.
Más allá del correo#
- Voz clonada (vishing). Con unos segundos de audio se imita una voz. Llamadas «del director» pidiendo una transferencia urgente.
- Videollamada falsa (deepfake). En 2024 se reportó el caso de una empresa en Hong Kong cuyo empleado transfirió unos 25 millones de dólares tras una videoconferencia en la que los «directivos» eran falsificaciones generadas por IA.
- Chatbots maliciosos. Un LLM que mantiene una conversación larga y empática (estafas románticas, «soporte técnico») sin cansarse y en el idioma de cada víctima.
- Páginas y marcas clónicas. Sitios y documentos generados en minutos, con la identidad visual de la empresa.
La investigación respalda la intuición: estudios que probaron correos de spear phishing totalmente automáticos con LLM encontraron tasas de clic comparables a las de expertos humanos y muy superiores a las del phishing genérico (en torno al 50 % frente a un 12 % de referencia, en el estudio de Heiding et al., 2024).
Defensa: del «detecta el fallo» al proceso#
Si el texto ya no delata al atacante, hay que apoyarse en lo que el atacante no puede falsificar con facilidad: procesos, canales y criptografía.
- Verificación fuera de banda para pagos, cambios de cuenta bancaria, restablecimiento de credenciales y accesos privilegiados: llama a un número que ya tuvieras, no al que viene en el mensaje.
- Doble aprobación (four-eyes) para transferencias y cambios sensibles, de modo que un solo correo convincente no baste.
- Palabras clave o preguntas de verificación acordadas de antemano para peticiones urgentes del directivo.
- Que ningún proceso dependa de la urgencia. Una norma explícita: las prisas nunca justifican saltarse un paso.
- SPF, DKIM y DMARC con política estricta, para dificultar la suplantación del dominio propio.
- MFA resistente al phishing (FIDO2/passkeys): aunque la víctima entregue la contraseña, el segundo factor no se puede reenviar.
- Detección por comportamiento en la pasarela de correo: remitente nuevo, cambio de cuenta bancaria, hilo suplantado, petición financiera inusual, en vez de buscar faltas.
- Aislamiento y revisión de adjuntos y enlaces (navegación aislada, reescritura de URL).
- Botón de reporte de un clic y respuesta rápida: cuanto antes se reporte, antes se bloquea el mismo mensaje para el resto.
- Protege los LLM internos. Mínimo privilegio sobre los datos con que se entrenan o consultan, control de acceso, DLP y las defensas de extracción de datos y de memoria. Lo que un modelo interno no filtra no se puede usar para la estafa.
- Minimiza el OSINT que te rodea. Cuánto detalle de proyectos, tecnologías y organigramas es realmente necesario publicar.
- Formación realista. Simulaciones con la calidad que ya tienen los ataques actuales, centradas en el procedimiento («¿qué verifico y cómo?») y no en cazar errores.
Un ejemplo del control más barato y eficaz, expresado como regla de proceso (puede vivir en tu herramienta de pagos o en el flujo de aprobación):
pagos: cambio_de_cuenta_bancaria: requiere: - verificacion_fuera_de_banda: true # llamada a número ya registrado - doble_aprobacion: true transferencia_superior_a_10000: requiere: - doble_aprobacion: true - validacion_con_el_solicitante_por_canal_independiente: true excepciones_por_urgencia: false # la urgencia no es motivoTu turno
Evalúa tu propia resistencia
- Pide a un compañero que redacte, con un LLM y solo con información pública, un correo falso de un directivo de tu organización (en un entorno de prueba y con autorización).
- Pídele a alguien que no sepa que es una prueba que lo lea. ¿Qué lo habría delatado? ¿Pasó por tus filtros?
- Escribe, para cada acción crítica de tu organización (pagos, credenciales, accesos), qué comprobación no depende de que el mensaje parezca sospechoso.
- ¿Qué datos internos podría revelar un LLM de tu empresa que hicieran creíble un correo falso? ¿Quién puede consultarlo?
Solo con autorización explícita y en un marco de formación o prueba controlado.
Reto
Nuestro filtro de correo detecta el texto generado por IA. ¿Nos protege?
▸Mostrar solución
Poco, y de forma frágil. Los detectores de texto generado por IA son poco fiables: tienen muchos falsos positivos y falsos negativos, y un atacante puede reescribir o editar el mensaje. Además, muchos mensajes legítimos también los redacta una IA. El control robusto es el que no depende de quién escribió el texto: autenticación del remitente, comportamiento anómalo y, sobre todo, verificación por un canal independiente antes de actuar.
Reto
¿Por qué importa que un LLM interno filtre datos si ‘solo’ son nombres de proyectos?
▸Mostrar solución
Porque esos datos son lo que convierte un correo sospechoso en uno creíble. Un proyecto real, una cifra y un nombre interno son justo la información que la víctima usa para decidir que el mensaje es legítimo. Para un atacante son munición de alta calidad, y por eso se protegen igual que los secretos: mínimo privilegio y control de acceso sobre lo que el modelo puede decir.
En resumen#
- Los LLM eliminan las señales clásicas del phishing (faltas, plantillas, tono) y hacen posible el spear phishing a escala.
- Se combinan con OSINT y con datos internos filtrados (por un LLM interno comprometido, por ejemplo) para producir mensajes casi indistinguibles de los reales.
- Más allá del correo: voz clonada, videollamadas falsas, chatbots de estafa y páginas clónicas.
- La señal que sigue valiendo es la presión por saltarse un paso, no la calidad de la redacción.
- Defensa: verificación fuera de banda y doble aprobación, SPF/DKIM/DMARC, MFA resistente al phishing, detección por comportamiento y protección de los LLM internos.