Durante años, la capacitación en seguridad enseñó a reconocer un correo fraudulento por sus defectos: faltas de ortografía, saludos genéricos, urgencia mal redactada, logos deformados. Ese entrenamiento sigue vigente en la mayoría de organizaciones peruanas, pero ya no describe la amenaza que llega a la bandeja de entrada. El correo mal escrito está en retirada, y con él la señal de alerta más fácil de enseñar.
El cambio de fondo no está en la calidad del engaño, sino en su costo. Cuando investigar a una organización deja de tomar horas y pasa a tomar segundos, deja de existir la empresa demasiado pequeña o demasiado aburrida para recibir un ataque hecho a medida.
Tres generaciones de phishing en una década
La evolución del correo fraudulento puede ordenarse en tres etapas, y entender en cuál está parada su organización determina si las herramientas que paga siguen sirviendo.
La primera etapa fue el contenido malicioso. Enlaces peligrosos, adjuntos infectados, spam masivo. La defensa consistía en analizar el mensaje, comparar contra firmas conocidas y descartar lo que coincidiera. Los filtros perimetrales fueron diseñados exactamente para esto y lo resuelven razonablemente bien.
La segunda etapa fue la intención maliciosa. Suplantación de ejecutivos, facturas falsas, órdenes de transferencia que llegan del jefe correcto en el momento correcto. Aquí no hay nada malicioso que analizar: no hay adjunto, no hay enlace, solo un texto que se lee como una solicitud normal de alguien conocido. Los filtros tradicionales son ciegos a esto porque no hay contenido que marcar.
La tercera etapa es la que empieza a dominar 2026. El mensaje lo redacta un sistema generativo, el reconocimiento previo lo hace un agente automatizado, y la campaña no se limita al correo: continúa por mensajería corporativa, llamadas y videollamadas. El atacante ya no es necesariamente una persona escribiendo.
El reconocimiento dejó de costar tiempo
Preparar un ataque dirigido creíble solía exigir trabajo manual. Alguien tenía que leer la web institucional, revisar avisos de empleo para deducir qué tecnología se usa, mapear proveedores, estudiar a dos o tres directivos en redes profesionales y recién entonces redactar algo verosímil. Ese esfuerzo funcionaba como filtro natural: solo valía la pena contra objetivos grandes.
La automatización elimina ese filtro. Un sistema puede resumir la huella pública de una entidad, identificar quién reporta a quién a partir de información abierta, detectar procesos internos mencionados en documentos publicados y generar un pretexto específico en segundos. Luego repetir el proceso miles de veces.
Las consecuencias prácticas son tres:
- La calidad del señuelo sube de forma sostenida. Los indicadores que se enseñan en las capacitaciones —errores gramaticales, redacción torpe, contexto impreciso— desaparecen.
- El radio de alcance se amplía. Municipalidades, clínicas, colegios profesionales y empresas medianas entran en campañas personalizadas que antes se reservaban a corporaciones.
- El engaño se vuelve conversacional. Ya no es un mensaje único: es un intercambio que responde, insiste y se adapta a las objeciones del destinatario.
Cuando el engaño abandona el correo
El caso más citado del sector ilustra el límite de cualquier defensa centrada solo en la bandeja de entrada. En una firma internacional de ingeniería, el ataque comenzó con un correo que suplantaba al director financiero de la sede británica. El empleado sospechó y no actuó de inmediato. Lo que cerró la operación fue una videollamada posterior en la que aparecían varios colegas reconocibles. Todos los rostros de esa reunión eran sintéticos. La policía de Hong Kong documentó las transferencias resultantes.
US$ 25 millones
Ese es el monto que se movió antes de que alguien notara la irregularidad. Ninguna configuración de filtrado de correo habría detenido la segunda mitad del ataque, porque la segunda mitad no fue un correo.
El panorama peruano
Las cifras locales confirman que el vector dominante en el país no es sofisticado en lo técnico, sino en lo humano.
- Entre enero y setiembre de 2025 se registraron 31 028 denuncias por delitos informáticos ante la Fiscalía Especializada en Ciberdelincuencia. De ese total, el 68,88 % correspondió a fraude informático y el 24,2 % a delitos contra la fe pública, categoría que agrupa desde el phishing hasta los deepfakes.
- Hasta mayo de 2026, El Comercio reportó más de 350 mil detecciones de amenazas en territorio peruano, con picos superiores a 83 mil mensuales durante marzo y abril. El 45 % de ese volumen corresponde a ingeniería social, phishing, scripts maliciosos y descargadores.
- En el plano internacional, el informe Global Cybersecurity Outlook 2026 del Foro Económico Mundial ubica al phishing como vector principal en el 62 % de los casos de fraude cibernético.
- Gestión difundió un dato que explica buena parte de la exposición: tres de cada cuatro peruanos no sabe qué es un deepfake.
Ese último punto es el más incómodo. Se puede invertir en tecnología de filtrado durante años y seguir teniendo una organización donde nadie ha visto nunca un video sintético ni sabe que existe la posibilidad.
Qué revisar en una organización peruana
El desplazamiento de la amenaza obliga a corregir cuatro supuestos operativos.
Medir lo que llega, no lo que se bloquea. El indicador que suele reportarse es el volumen de correos detenidos en el perímetro. El número relevante es el contrario: cuántos mensajes fraudulentos alcanzan efectivamente la bandeja de un usuario después de que el filtro hizo su trabajo. Si nadie en la organización puede responder esa pregunta, no hay medición real.
Verificar que el dominio propio no sea suplantable. Buena parte del fraude dirigido a proveedores, clientes y entidades del Estado se ejecuta suplantando el dominio de una organización legítima. Los protocolos SPF, DKIM y DMARC determinan si un tercero puede enviar mensajes que aparenten venir de su institución. Un dominio sin política de rechazo configurada es una herramienta gratuita en manos del atacante, y ningún filtro instalado del lado del receptor compensa esa omisión. La autenticación del dominio de correo resuelve exactamente este punto.
Extender la verificación más allá del correo. Si el procedimiento de validación de una transferencia o de un cambio de cuenta bancaria termina en "confirmé por correo" o "lo hablé por videollamada", el control ya está superado. La verificación debe apoyarse en un canal distinto y previamente acordado, con umbrales de monto que exijan doble aprobación humana.
Actualizar el contenido de la capacitación. Simular ataques genéricos entrena para detectar ataques genéricos. Si los mensajes que realmente llegan a su organización están construidos con información pública sobre sus proyectos, sus proveedores y sus autoridades, la práctica interna debería reflejar ese mismo nivel de detalle. El artículo sobre phishing y BEC en Perú detalla con mayor profundidad los vectores específicos al mercado local y los controles que los detienen.
Conclusión
El correo mal escrito ya no es la señal de alerta principal. Los agentes de IA permiten construir engaños personalizados a escala, lo que significa que el costo de atacar a una empresa pequeña se volvió marginal: cualquier organización con información pública sobre sus proyectos, proveedores o autoridades es un objetivo viable. Los descuidos de seguridad más frecuentes en empresas pequeñas suelen dejar abiertas las puertas que estos ataques aprovechan. Frente a eso, la protección del correo entrante sigue siendo la capa más efectiva contra el volumen masivo de amenazas, pero verificar que el dominio propio no sea suplantable y establecer procedimientos de confirmación que no terminen en una videollamada son pasos que no requieren tecnología sofisticada. Requieren decisión.
