Antes se necesitaba gran habilidad para redactar un correo de phishing con una tasa de clics del 54%. Ahora, ninguna.

Un responsable de concienciación sobre seguridad abre el módulo de phishing de este trimestre para revisarlo antes del próximo lanzamiento. Los ejemplos que contiene resultan familiares: un mensaje con una falta de ortografía, una solicitud urgente de un remitente desconocido o un enlace que no coincide con el dominio de la empresa.

Esos ejemplos describen a un atacante de baja cualificación. Antes, esa era una suposición segura, porque redactar un correo de phishing lo suficientemente bueno como para engañar a un empleado atento requería tiempo, investigación y un dominio decente del inglés escrito. La mayoría de los atacantes a los que se enfrentaba una organización típica simplemente no alcanzaban ese nivel.

Un estudio revisado por pares publicado este año demuestra que ese nivel ya no existe.

Lo que la investigación midió realmente

Un estudio de la Harvard Kennedy School y el Avant Research Group puso esto a prueba directamente en lugar de estimarlo. Los investigadores llevaron a cabo un experimento controlado con participantes humanos, comparando cuatro tipos de correos electrónicos de phishing: un mensaje de control genérico, un correo redactado por un experto humano, un correo totalmente automatizado por IA y un correo de IA con una ligera revisión humana (Heiding, Lermen, Kao, Schneier y Vishwanath, publicado en Expert Systems with Applications, 2026).

El correo electrónico de control genérico alcanzó una tasa de clics del 12%. El correo del experto humano alcanzó el 54%. El correo totalmente automatizado por IA también alcanzó el 54%, igualando al experto humano sin que ninguna persona lo redactara o revisara. La versión de IA con revisión humana alcanzó el 56%, la cifra más alta de las cuatro.

El resultado importante no es que el phishing con IA funcione. Es que ahora rinde exactamente igual que un atacante humano cualificado, en una fracción del tiempo y coste, y sin que nadie tenga que investigar al objetivo manualmente.

Por qué "atacante de baja cualificación" dejó de ser una suposición segura

Redactar un correo de phishing que alcance una tasa de clics del 54% no es cuestión de suerte. La condición de experto humano del estudio de Harvard implicó que alguien investigara al objetivo y redactara un mensaje a mano; el tipo de esfuerzo que solo un grupo limitado de atacantes cualificados y motivados dedicaría a un solo objetivo.

Esa escasez realizaba una labor defensiva real, independientemente de si alguien la diseñó así o no. La mayoría de las organizaciones nunca se enfrentaban a una avalancha de intentos de nivel experto, porque redactar uno requería una combinación poco común de tiempo, habilidad y una recompensa que justificara el esfuerzo.

La condición totalmente automatizada por IA en el mismo estudio alcanzó el mismo 54%, sin que nadie redactara o investigara nada. La barrera de habilidad que solía separar un intento de bajo esfuerzo de uno de nivel experto ha sido eliminada de la ecuación por completo.

Perspectiva clave: el factor limitante era la escasez de atacantes, no la psicología del atacante

El problema estructural no es que los empleados deban estar más alerta, ni que los atacantes hayan descubierto un nuevo truco psicológico. Es que la defensa contra el phishing ha dependido silenciosamente de la escasez de atacantes: la suposición de que los intentos de nivel experto serían raros, porque producirlos requería una experiencia que la mayoría de los atacantes no poseía.

La IA generativa no mejoró la psicología del phishing. Eliminó la barrera de habilidad que solía limitar cuántos atacantes podían producir un intento convincente de nivel experto, lo que significa que el volumen de intentos de phishing de alta calidad a los que se enfrenta cualquier organización ya no está limitado por la cantidad de atacantes cualificados que existen.

Por eso la solución no es simplemente "más formación sobre phishing". Un programa diseñado para detectar intentos raros y de gran esfuerzo no tiene respuesta para un mundo donde cada intento puede ser de gran esfuerzo por defecto.

Lo que se mantuvo igual y por qué importa menos de lo que parece

Los correos electrónicos con mejor rendimiento del estudio de Harvard seguían basándose en palancas psicológicas familiares: urgencia, una autoridad que el objetivo no cuestionaría fácilmente y un tono que asume una relación existente. Nada de esto es nuevo, y sería un error concluir que la solución es simplemente enseñar a la gente a reconocer esos disparadores en lugar de las faltas de gramática.

Ese enfoque sigue asumiendo que los ataques que merecen preocupación son la excepción. Una vez que la calidad de nivel experto es la norma y no la excepción, la pregunta más útil para un programa de formación no es qué disparador psicológico utiliza un mensaje, sino si el hábito de un empleado de verificar una solicitud inusual se mantiene, independientemente de lo convincente que parezca el mensaje.

Lo que esto significa en la práctica

Si el phishing de nivel experto es ahora la norma y no la excepción, una simulación de phishing debe probarse contra esa norma, no contra la versión de bajo esfuerzo que solía ser estadísticamente probable. Una simulación basada en un correo electrónico con plantilla y lleno de errores solo comprueba si alguien recuerda una regla. Una basada en una solicitud bien documentada y contextualmente apropiada comprueba si el hábito de verificación se mantiene cuando nada en el mensaje lo delata, que es la única versión de la prueba que sigue ofreciendo información útil a un responsable de seguridad.

Esto también significa que el contenido de un programa de formación tiene una vida útil más corta que la premisa sobre la que se construyó. Un módulo diseñado bajo la idea de que "los atacantes son escasos y poco cualificados" era preciso cuando esa escasez era real. Ya no lo es, y un programa que siga basándose en ello continuará evaluando el estándar equivocado: tratar un intento de nivel experto como un caso excepcional, cuando la investigación sugiere que debería ser la norma.

Nada de esto sustituye al filtrado de correo electrónico ni a los controles técnicos. Lo que cambia es lo que un programa de formación puede afirmar razonablemente que ha evaluado, una vez que el grupo de atacantes capaces de realizar un intento de nivel experto ya no es reducido.

Cuando una junta directiva pregunta si el equipo de seguridad está "preparado para el phishing impulsado por IA", en realidad está preguntando si ese cambio en el panorama se ha tenido en cuenta en el programa de pruebas, y no si el equipo ha leído sobre el tema.

El estudio de Harvard no concluyó que el phishing mediante IA podría llegar a igualar a un atacante humano cualificado. Concluyó que ya lo hace, sin coste adicional ni necesidad de habilidades por parte de quien lo envía, lo cual es un problema distinto y de mayor envergadura que el de un ataque más inteligente.

Las organizaciones que dejan de asumir que los intentos de nivel experto son poco frecuentes son aquellas cuya formación seguirá describiendo lo que sus empleados realmente enfrentarán el próximo trimestre.

Si su formación en phishing sigue tratando un intento bien redactado y documentado como una excepción improbable, vale la pena comprobar si esa premisa sigue siendo válida. Esa es precisamente la cuestión que ayudamos a los equipos de seguridad a evaluar en Zepo.

‍