La ciberdelincuencia no descansa. Cualquier rendija se puede convertir en una brecha para atacar. Y la Inteligencia Artificial, si se usa con confianza, pero sin conocimiento, genera muchas. Uno de los ataques identificados recientemente es el Phantom Squatting, una técnica que aprovecha las direcciones web inventadas por los modelos de IA para crear páginas falsas, distribuir malware o robar credenciales. Esta nueva forma de entrar en las empresas ha sido identificada por Unit 42, la división de inteligencia de amenazas de Palo Alto Networks.
“En ocasiones, una IA puede inventarse una dirección de Internet que parece completamente real, pero que en realidad no existe”, explica Sergio Herce, experto en ciberseguridad de SDi, una compañía tecnológica con 40 años de experiencia. Los atacantes detectan esos dominios ficticios, los registran y publican en ellos contenido malicioso. Si otro usuario formula una consulta similar y recibe la misma dirección, puede terminar en una página controlada por un ciberdelincuente.
Una dirección inventada que acaba en manos de un atacante
El funcionamiento puede entenderse con un ejemplo. Un usuario pregunta a un asistente de inteligencia artificial dónde puede descargar el programa oficial de una empresa. El sistema responde con una dirección como empresa-programa-download.com. El nombre resulta convincente porque incluye la marca y una referencia al software, pero el dominio no pertenece al fabricante. Un ciberdelincuente puede registrarlo y crear una copia de la página oficial, un formulario de acceso fraudulento o un instalador manipulado. Si el modelo vuelve a recomendar la misma dirección, el usuario llegará a una web preparada para robar sus credenciales o infectar su dispositivo.
La principal diferencia respecto al phishing tradicional está en el origen del enlace. En una campaña convencional, el atacante debe enviar un correo, un mensaje o realizar una llamada para convencer a la víctima. En el Phantom Squatting, la recomendación puede proceder de una herramienta que el usuario considera neutral y fiable. “Hasta ahora, el delincuente tenía que convencer directamente a la persona. Aquí es la propia respuesta de la inteligencia artificial la que puede conducirla hasta la página fraudulenta”, señala Herce. Esa intermediación reduce la sospecha y puede llevar al usuario a descargar un archivo o introducir una contraseña sin comprobar quién controla realmente la web.
El riesgo aumenta dentro de las empresas
Cualquier usuario puede verse afectado, pero la exposición es mayor en las organizaciones donde los empleados utilizan asistentes de IA para encontrar documentación técnica, buscar aplicaciones o resolver incidencias. En estos contextos, acceder a una página falsa puede comprometer más que una cuenta personal. La web maliciosa puede capturar credenciales corporativas, distribuir archivos infectados o imitar una plataforma interna. Si la persona emplea una cuenta con permisos elevados, el atacante podría acceder a aplicaciones empresariales, información confidencial o sistemas compartidos.
La respuesta no pasa por dejar de utilizar la inteligencia artificial. Herce insiste en que estas herramientas seguirán aumentando su presencia en el trabajo y ofrecen ventajas importantes. Lo necesario es asumir que una respuesta bien redactada no siempre es correcta y que un enlace no se convierte en fiable porque lo haya proporcionado un modelo. Antes de iniciar sesión, descargar un programa o introducir información sensible, el usuario debe comprobar que la dirección aparece en la página oficial de la organización o en su documentación corporativa. Los enlaces generados por una IA deben tratarse como sugerencias pendientes de validación.
Los agentes de IA amplían el peligro
El riesgo adquiere otra dimensión con los agentes de inteligencia artificial. Un asistente convencional responde a una pregunta y deja que la persona decida el siguiente paso. Un agente puede buscar información, descargar documentos, conectarse a aplicaciones, crear usuarios, modificar datos o realizar compras. Esta capacidad convierte un error informativo en una acción automática. Un agente puede recibir la orden de descargar el manual oficial de un dispositivo, encontrar una dirección que parece legítima y obtener un archivo desde un dominio registrado por un atacante.
El documento podría contener malware o instrucciones manipuladas para influir en las siguientes decisiones del propio agente. “El problema no es solo que el modelo se equivoque. El riesgo real aparece cuando actúa sobre información que no ha sido validada”, advierte Herce. Estos sistemas suelen apoyarse en buscadores, APIs, repositorios, bases de datos y aplicaciones internas. Cada conexión crea una nueva superficie de ataque. Por eso, su seguridad no puede depender de que el modelo sea capaz de distinguir por sí solo una fuente oficial de una imitación bien construida.
Un buen prompt no garantiza la seguridad
Uno de los errores más frecuentes consiste en pensar que un agente estará protegido si se añaden instrucciones como “utiliza únicamente fuentes fiables” o “no accedas a páginas maliciosas”. Estas frases pueden orientar su comportamiento, pero no demuestran la autenticidad de una dirección.
El modelo funciona mediante probabilidades. Puede interpretar que una web es oficial porque contiene el nombre de una empresa y palabras como “soporte”, “descargas” o “documentación”. Sin herramientas adicionales, no puede saber quién controla el dominio, cuándo fue registrado o si aparece enlazado desde la página legítima. “Razonar no equivale a verificar”, resume Herce. Decirle a un agente que tenga cuidado es comparable a recomendar a un empleado que desconfíe de las estafas. La indicación es útil, pero debe acompañarse de filtros, permisos y controles técnicos.
Limitar las fuentes reduce el riesgo
Una de las defensas más eficaces frente al Phantom Squatting es definir qué fuentes puede consultar el agente. En lugar de permitirle decidir qué dominio parece fiable, la empresa puede establecer una lista blanca con las páginas, APIs y repositorios autorizados.
Si necesita acceder a documentación de Microsoft, por ejemplo, podría limitarse a microsoft.com, learn.microsoft.com y sus repositorios oficiales. Una dirección como microsoft-download-support.com quedaría bloqueada, aunque su nombre pareciera legítimo.
Para Herce, las listas blancas son una de las medidas más efectivas porque evitan que la decisión dependa del criterio del modelo. Si el dominio no está autorizado, el agente no entra. Cuando no sea posible trabajar con una lista cerrada, el sistema debería analizar la antigüedad del dominio, su propietario, su reputación y su relación con la empresa a la que dice pertenecer. También puede comprobar si la dirección aparece enlazada desde la web oficial y contrastarla con otras fuentes independientes.
El objetivo es evitar que la decisión dependa únicamente de la apariencia del enlace. Un dominio bien escrito, con certificado HTTPS y una página visualmente cuidada, también puede ser fraudulento.
Buscar no debe equivaler a ejecutar
Otra medida importante consiste en separar la búsqueda de las acciones que pueden tener consecuencias reales. Localizar información o preparar una propuesta supone un riesgo limitado. Instalar un programa, realizar un pago, cambiar permisos o modificar información sensible tiene un impacto mucho mayor. Un agente puede buscar un archivo o recomendar una acción, pero las operaciones más delicadas deberían requerir aprobación humana. Esta revisión resulta especialmente necesaria antes de instalar software, acceder a sistemas críticos, realizar transacciones económicas o crear y eliminar usuarios.
La misma lógica debe aplicarse a los permisos. Un agente encargado de resumir reuniones no necesita instalar aplicaciones. Otro diseñado para redactar contratos no debería poder modificar cuentas de Microsoft 365. Cuantas más capacidades acumule, mayor será el daño potencial si sigue una instrucción incorrecta o interactúa con una web maliciosa. Herce recomienda tratar a cada agente como una identidad independiente, con sus propias credenciales y permisos. Esto permite limitar su alcance y evitar que una sola acción comprometa distintos sistemas de la empresa.
Registrar la actividad y analizar las descargas
Las organizaciones también necesitan conocer qué hace cada agente. Registrar las páginas que visita, las herramientas que utiliza y las operaciones que ejecuta ayuda a detectar comportamientos anómalos y reconstruir lo ocurrido durante un incidente. Las descargas requieren una protección específica. Un agente no debería abrir automáticamente un archivo obtenido de Internet. Los documentos y programas tendrían que pasar por un antivirus o ejecutarse primero en una sandbox, un entorno aislado que permite analizar su comportamiento sin poner en riesgo la red corporativa. Los controles deben revisarse periódicamente. Los dominios cambian, aparecen nuevas amenazas y un agente puede comenzar a utilizar fuentes diferentes de las previstas. No basta con configurarlo una vez y dar por hecho que su comportamiento seguirá siendo seguro.
Para los usuarios, la precaución principal es acceder a los servicios desde las páginas oficiales, revisar el dominio completo y evitar introducir credenciales o descargar archivos desde direcciones desconocidas. El candado del navegador tampoco demuestra que una web sea auténtica: solo indica que la conexión está cifrada. “El error más común es pensar que un agente de IA es simplemente un ChatGPT con más funciones”, explica Herce. “En realidad, es un trabajador digital con capacidad para actuar. Y, como ocurre con cualquier empleado, no basta con darle buenas instrucciones: hay que definir qué puede hacer, de quién puede fiarse y qué decisiones necesitan supervisión”.
