Asistentes de correo integrados: un arma inesperada tras el robo de una cuenta

Los expertos en ciberseguridad han lanzado hoy una advertencia: los asistentes de IA integrados en el correo electrónico pueden acabar siendo una ayuda inesperada para un atacante si consigue tomar el control de una cuenta.

Sobre el papel, estas funciones están ahí para ahorrar tiempo: resumen hilos, encuentran archivos y redactan mensajes. El problema, dicen los especialistas, es que ese mismo nivel de acceso también puede servir para ampliar una intrusión sin recurrir a herramientas externas ni a un malware especialmente vistoso.

Cuando el intruso ya está dentro, puede apoyarse en capacidades que la propia plataforma ya trae de serie para revisar años de conversaciones, detectar contactos clave y moverse por la empresa sin hacer mucho ruido.

En la práctica, el chatbot integrado en el servicio de correo puede usarse para rastrear contratos, facturas, credenciales compartidas por error, documentos adjuntos y conversaciones sobre pagos o proyectos delicados. También ayuda a recomponer organigramas informales: quién da el visto bueno a las transferencias, qué ejecutivos tratan con proveedores y qué empleados manejan información valiosa.

En seguridad a esto se le conoce como “vivir de lo que ya hay”. Y complica mucho la detección, porque la actividad del atacante puede parecerse bastante al uso habitual del empleado.

Después suele llegar la suplantación. Si analiza el tono, la firma, los horarios y la forma de escribir de la víctima, el asistente puede redactar correos que pasan por mensajes reales de un compañero de confianza o de un directivo.

El alcance del cambio, añaden los expertos, ya se ve en los datos. Las herramientas generativas aparecen en más del 80% de los correos de phishing y, al mismo tiempo, este tipo de campañas se ha disparado un 1.265%.

Hay más. Según esos mismos especialistas, los mensajes creados con estos sistemas logran una tasa de clics del 54%, frente al 12% del phishing convencional. La velocidad también juega del lado del atacante: lo que antes exigía horas de redacción y revisión ahora puede quedar listo en minutos, con menos fallos gramaticales y menos tropiezos de estilo.

Y está apareciendo otra vía de ataque, bastante menos visible, de la que también alertan los especialistas: incrustar instrucciones ocultas en mensajes para que sea el propio asistente quien las lea, las interprete y actúe en consecuencia.

Así, un usuario puede abrir un correo que parece completamente normal mientras el sistema recibe órdenes encubiertas para resumir información sensible, revelar datos o ejecutar acciones que nadie quería autorizar.

El riesgo crece todavía más cuando el fraude mezcla correos convincentes con llamadas de voz y vídeos falsificados. Los especialistas señalan que el fraude basado en falsificaciones ultrarrealistas ha crecido más de un 2.000% desde 2022, y ya hay casos documentados en los que un trabajador fue engañado para autorizar un pago de 25 millones.

Por eso, sostienen, los filtros clásicos ya no alcanzan por sí solos. La defensa se está moviendo hacia sistemas capaces de detectar comportamientos anómalos, solicitudes fuera de lo normal y patrones de acceso extraños, en lugar de depender solo de firmas o de palabras sospechosas.

Aun con todo, el coste del phishing sigue subiendo, advierten los expertos en ciberseguridad. Para usuarios y empresas, las medidas más urgentes pasan por reforzar la autenticación multifactor, revisar a qué datos pueden acceder estos asistentes, recortar permisos y desconfiar incluso de mensajes impecables cuando piden pagos, archivos o cambios de credenciales.