La IA también trabaja para los atacantes: cómo proteger la aplicación de tu negocio

Un lunes, la encargada de administración de una distribuidora recibe un correo de uno de sus proveedores de siempre. Mismo nombre, mismo tono, la firma de siempre. Le avisan que cambiaron de banco y le piden que el pago de esta semana vaya a la cuenta nueva. El correo no tiene una sola falta de ortografía y menciona el número de pedido correcto.

Ese mismo fin de semana, el sistema de pedidos de la empresa registró miles de intentos de inicio de sesión desde distintos lugares. Nadie se dio cuenta, porque nadie revisa eso.

Hace unos años, los correos fraudulentos se reconocían por la mala redacción, y atacar el sistema de una empresa mediana requería tiempo y alguien con conocimiento. Hoy, la inteligencia artificial ayuda a escribir el correo perfecto, a imitar la voz de una persona y a automatizar el trabajo pesado de un ataque. La IA no solo está cambiando cómo trabaja tu empresa; también está cambiando cómo trabajan quienes quieren atacarla.

En este artículo te explicamos qué cambió, cuáles son los riesgos que más crecieron para una empresa como la tuya y qué medidas sí funcionan para proteger tu aplicación, sin tecnicismos y sin alarmismo. Todos los datos vienen de fuentes oficiales y reportes reconocidos, que listamos al final.

Qué cambió: los ataques de siempre, más baratos

La IA no inventó una forma nueva de robar contraseñas o de engañar a alguien. Lo que hizo fue abaratar los ataques que ya existían. No es una opinión nuestra: el FBI advirtió que los criminales usan IA generativa para cometer fraudes “a mayor escala” y hacerlos más creíbles, y el Centro Nacional de Ciberseguridad del Reino Unido (NCSC) concluyó que la IA “casi con certeza” aumentará el volumen y el impacto de los ciberataques. En la práctica, eso se ve en tres cosas:

• Más volumen. Lo que antes hacía una persona a mano ahora lo hace un programa, miles de veces, sin cansarse.
• Más calidad. Los correos y mensajes falsos suenan naturales y están bien escritos. El FBI señala que los criminales usan IA justamente para evitar errores de gramática y ortografía, que antes eran la señal más fácil de detectar.
• Menos conocimiento necesario. Según el NCSC, la IA baja la barrera de entrada para criminales sin mucha experiencia, que pueden apoyarse en ella para hacer cosas que antes requerían a un especialista.

La consecuencia más importante para una PyME es esta: ya no hace falta ser una empresa grande para ser un blanco. Cuando atacar cuesta casi nada, conviene intentarlo con todos.

Los riesgos que más crecieron

Contraseñas robadas, probadas a gran escala

Cuando un sitio sufre una filtración, las listas de usuarios y contraseñas terminan circulando. Como mucha gente usa la misma contraseña en varios lugares, los atacantes prueban esas listas de forma automática en otros sistemas, incluido el tuyo. Se le conoce como credential stuffing, y funciona por una razón simple: si un empleado usa en tu aplicación la misma contraseña que en una tienda en línea que fue hackeada, alguien puede entrar sin necesidad de “hackear” nada.

Fraudes que suenan legítimos

El correo del proveedor que cambió de cuenta, el mensaje del “director” que pide una transferencia urgente, la llamada de alguien que se hace pasar por soporte técnico. Estos fraudes existen desde hace años, pero la IA los hizo mucho más convincentes. En su reporte anual de 2025, el FBI explica que los generadores de texto pueden crear en minutos correos que imitan al director de una empresa, y que la clonación de voz se usa para pedir transferencias. Ese mismo año, solo en Estados Unidos, las empresas reportaron más de 3,000 millones de dólares en pérdidas por este tipo de fraude, conocido como business email compromise, y más de 30 millones en casos donde se identificó el uso de IA.

Este riesgo no ataca tu aplicación directamente: ataca a las personas que la usan. Y por eso la tecnología sola no lo resuelve.

Bots que abusan de tu aplicación

No todos los ataques buscan entrar. Algunos usan tu aplicación tal como está, pero de forma abusiva: crear cuentas falsas por cientos, llenar tus formularios de basura, copiar tu catálogo y tus precios completos o usar sin control funciones que te cuestan dinero, como el envío de mensajes o correos. El reporte de bots 2026 de Thales e Imperva encontró que los bots ya generan más del 53% del tráfico web y que los ataques de bots apoyados en IA se multiplicaron 12.5 veces.

Sistemas sin actualizar, explotados cada vez más rápido

Cuando se descubre una falla en un programa conocido, la información se vuelve pública para que todos puedan corregirla. El problema es que los atacantes también la leen, y buscan quién no ha actualizado. Según el Data Breach Investigations Report 2026 de Verizon, por primera vez en los 19 años del reporte la explotación de fallas superó a las contraseñas robadas como la principal forma de entrada: está detrás del 31% de las brechas. El mismo reporte advierte que los atacantes usan IA para explotar fallas conocidas más rápido, y que el margen para corregirlas se redujo “de meses a horas”. Un sistema que lleva años sin mantenimiento, o un servidor que “funciona y mejor no tocarlo”, es justo lo que buscan.

Engañar al equipo que da soporte

Si alguien llama o escribe diciendo ser un cliente o un empleado que olvidó su contraseña, ¿qué verifica tu equipo antes de restablecerla? No es un riesgo teórico. La agencia de ciberseguridad de Estados Unidos (CISA) documentó a un grupo criminal que se hacía pasar por empleados para convencer al personal de soporte de restablecer contraseñas, y por personal de soporte para convencer a empleados de compartir sus códigos de verificación. Muchas cuentas no se roban rompiendo un sistema, sino pidiéndole amablemente a alguien que abra la puerta.

Señales de que tu aplicación está expuesta

No necesitas ser experto para hacer esta revisión. Si contestas “sí” a cualquiera de estas, hay trabajo pendiente:

• Se puede entrar solo con usuario y contraseña, sin un segundo paso de verificación, sobre todo en cuentas de administrador.
• No hay límite de intentos: alguien puede probar contraseñas indefinidamente sin que el sistema lo bloquee ni avise.
• Varias personas comparten la misma cuenta, o hay cuentas de exempleados que siguen activas.
• Todos ven todo. Cualquier usuario puede consultar o descargar información que no necesita para su trabajo.
• Nadie sabe cuándo se actualizó el sistema por última vez, ni el servidor donde vive.
• No hay un registro de quién hizo qué, o existe pero nadie lo revisa.
• Los respaldos nunca se han probado. Existen, en teoría, pero nadie ha intentado restaurar uno.
• Un cambio de datos bancarios se puede hacer con un correo, sin confirmación por otro medio.

Las defensas que sí funcionan

La buena noticia es que la mayoría de los ataques que describimos se detienen con medidas conocidas y nada exóticas, las mismas que recomiendan organismos como CISA y el instituto de estándares de Estados Unidos (NIST). No se trata de comprar el producto más caro, sino de cubrir lo básico bien.

Riesgo	Defensa	Quién la pone
Contraseñas robadas	Verificación en dos pasos, límite de intentos, rechazo de contraseñas que ya aparecieron en filtraciones y aviso de accesos desde dispositivos nuevos	La aplicación
Fraudes por correo o voz	Confirmar por otro canal cualquier cambio de cuenta bancaria o pago urgente	Tu equipo
Bots y abuso	Límites de uso por usuario, protección contra bots en formularios y alertas cuando algo se dispara	La aplicación y el servidor
Sistemas sin actualizar	Mantenimiento y actualizaciones periódicas como parte del servicio, no solo cuando algo falla	Tu proveedor
Accesos de más	Permisos por rol: cada quien ve y hace solo lo que le toca; baja inmediata de exempleados	La aplicación y tu equipo
Engaño al soporte	Un procedimiento fijo para verificar identidad antes de restablecer contraseñas	Tu equipo
Si algo sale mal	Respaldos automáticos, guardados aparte, cifrados y probados; registro de actividad para saber qué pasó	Tu proveedor

Algunos detalles de esta tabla vienen directo de las guías oficiales. La guía de NIST sobre autenticación pide comparar cada contraseña nueva contra una lista de contraseñas comunes o ya comprometidas, y limitar los intentos fallidos. La guía contra ransomware de CISA recomienda mantener respaldos fuera de línea y cifrados, y probar con regularidad que se pueden restaurar, porque muchos ataques buscan borrar o cifrar también los respaldos que encuentran.

Fíjate en la última columna. Algunas defensas dependen de cómo está hecha tu aplicación, pero otras dependen de cómo trabaja tu equipo. Una aplicación muy segura no sirve de mucho si cualquiera puede cambiar la cuenta de un proveedor con un correo.

Lo que debes preguntarle a tu proveedor

No necesitas entender los detalles técnicos, pero sí saber que alguien los está cuidando. Estas preguntas te van a decir mucho:

• ¿Mi aplicación tiene verificación en dos pasos? ¿Es obligatoria para los administradores?
• ¿Qué pasa si alguien intenta entrar muchas veces con contraseñas equivocadas?
• ¿Cada cuánto se actualiza la aplicación y el servidor donde vive? ¿Eso está incluido en lo que pago?
• ¿Dónde están mis respaldos, cada cuánto se hacen y cuándo fue la última vez que se probó restaurar uno?
• ¿Puedo ver quién entró, desde dónde y qué hizo?
• Si hubiera un incidente, ¿cómo me entero y qué hacen ustedes?

Un buen proveedor te responde esto en lenguaje sencillo y sin rodeos. Si las respuestas son vagas, o si la conversación se vuelve un mar de términos técnicos que no aterrizan en nada, ese es el primer riesgo que tienes que atender. Y si tu aplicación la armó alguien de tu equipo con ayuda de la IA, haz estas mismas preguntas: como explicamos en esta guía, el problema más común de esas herramientas no es que no funcionen, sino que nadie revisó si son seguras.

Las preguntas que nos hacen (y las respuestas honestas)

¿Mi empresa es muy chica para que alguien la ataque? +

No. Buena parte de los ataques está automatizada y cuesta casi nada probar miles de sistemas a la vez, así que no eligen por tamaño: buscan cualquier puerta abierta. Los datos lo confirman: en la edición 2025 del Data Breach Investigations Report de Verizon, el ransomware (el secuestro de información para pedir rescate) estuvo presente en el 88% de las brechas de seguridad de pequeñas y medianas empresas.

¿Con un antivirus estoy protegido? +

No del todo. Un antivirus protege las computadoras de tu equipo, y es importante tenerlo. Pero no protege tu aplicación de alguien que entra con una contraseña robada, ni a tu contadora de un correo falso que pide cambiar la cuenta de un proveedor. La seguridad se arma con varias capas: las computadoras, la aplicación, las contraseñas y la forma en que tu equipo trabaja.

¿La verificación en dos pasos no va a molestar a mis clientes y empleados? +

Un poco, al principio. Pero es de las medidas que más protegen por el menor esfuerzo: un estudio de Microsoft Research encontró que reduce el riesgo de que una cuenta sea comprometida en 99.22%, y en 98.56% cuando la contraseña ya se había filtrado. El mismo estudio encontró que las apps de autenticación protegen mejor que los códigos por SMS. Se puede pedir solo en situaciones de riesgo, como al entrar desde un dispositivo nuevo, para que no estorbe en el día a día. Para las cuentas de administradores, debería ser obligatoria.

¿Qué hago si creo que ya me atacaron? +

Primero, no borres nada: los registros sirven para entender qué pasó. Cambia las contraseñas de las cuentas afectadas, cierra las sesiones abiertas y avisa a tu proveedor de inmediato. Si hay dinero de por medio, comunícate con tu banco cuanto antes, porque el tiempo cuenta. Y si se expusieron datos de clientes, ten en cuenta que en México el artículo 19 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares obliga a informarles de forma inmediata cuando la vulneración afecte de forma significativa sus derechos patrimoniales o morales. Revisa tu caso con tu asesor legal.

¿Cuánto cuesta proteger una aplicación? +

Mucho menos que recuperarse de un ataque. La mayoría de las medidas de este artículo no son productos caros, sino buenas prácticas que una aplicación bien hecha debería traer desde el inicio: verificación en dos pasos, límites de intentos, permisos, respaldos y actualizaciones. Si tu sistema no las tiene, agregarlas suele ser un proyecto acotado, no un sistema nuevo.

¿La IA también sirve para defenderse? +

Sí. Hay herramientas que detectan comportamientos raros, como alguien que entra a una hora poco común o descarga mucha más información de lo normal, y filtros de correo que reconocen mejor los mensajes fraudulentos. Pero no reemplazan lo básico. Una aplicación sin actualizar y con contraseñas débiles sigue siendo vulnerable, tenga la herramienta que tenga.

Conclusión

La inteligencia artificial hizo que atacar sea más barato, y eso cambia quién está en riesgo: ya no solo las empresas grandes, sino cualquiera con una aplicación conectada a internet. Pero la mayoría de esos ataques siguen entrando por las mismas puertas de siempre: contraseñas repetidas, sistemas sin actualizar, permisos de más y procesos que confían en un correo.

Cerrar esas puertas no requiere un presupuesto enorme. Requiere una aplicación bien hecha, un proveedor que la mantenga y un equipo que sepa cuándo desconfiar.

Si quieres saber qué tan protegida está la aplicación de tu negocio, platiquemos. Revisamos contigo los puntos de este artículo y te decimos qué vemos, en lenguaje claro y sin asustarte de más. Y si tu equipo ya usa herramientas de IA en su trabajo diario, te recomendamos leer también por qué la IA no te va a hacer más productivo por sí sola, donde hablamos de qué información conviene no compartir con ellas.

Escríbenos por WhatsApp o a [email protected].

Fuentes

• FBI, Internet Crime Complaint Center. Criminals Use Generative Artificial Intelligence to Facilitate Financial Fraud. Aviso público I-120324-PSA, 3 de diciembre de 2024.
• FBI, Internet Crime Complaint Center. 2025 IC3 Annual Report. 2026.
• National Cyber Security Centre (Reino Unido). The near-term impact of AI on the cyber threat. 24 de enero de 2024.
• Verizon. 2026 Data Breach Investigations Report. 19 de mayo de 2026.
• Verizon. 2025 Data Breach Investigations Report. 23 de abril de 2025.
• Thales e Imperva. 2026 Bad Bot Report. 5 de mayo de 2026.
• Meyer, L. A. et al., Microsoft Research. How effective is multifactor authentication at deterring cyberattacks?. Mayo de 2023.
• CISA y FBI. Scattered Spider. Aviso AA23-320A, actualizado el 29 de julio de 2025.
• CISA. #StopRansomware Guide.
• NIST. SP 800-63B: Digital Identity Guidelines, Authentication and Authenticator Management. Revisión 4, 2025.
• OWASP. Credential stuffing.
• Cámara de Diputados. Ley Federal de Protección de Datos Personales en Posesión de los Particulares, artículo 19. Publicada en el DOF el 20 de marzo de 2025; última reforma, 14 de noviembre de 2025.