La aparición de agentes de IA en la ciberdelincuencia ha elevado el nivel de amenaza para las organizaciones empresariales.
Los ciberdelincuentes sofisticados ahora operan como un negocio, lo que supone una amenaza sistémica para las empresas legítimas.
La alta dirección debe plantearse las preguntas adecuadas para desarrollar de forma eficaz la ciberresiliencia.
El concepto de Amenazas Persistentes Avanzadas (APT, por sus siglas en inglés) se reconoce desde 2011 como un modelo de amenaza en ciberseguridad. Las APT se refieren a adversarios altamente cualificados y con amplios recursos que se infiltran en los sistemas corporativos con sigilo y persistencia, a menudo motivados por objetivos estratégicos como el robo de propiedad intelectual, el beneficio económico o el sabotaje. Estos ataques suelen desarrollarse durante meses o años, adaptándose a las defensas y eludiendo la detección.
Avancemos hasta 2025: el panorama de las ciberamenazas ha evolucionado más allá de las defensas convencionales. Los atacantes actuales están deseosos de incorporar agentes de IA a su arsenal: entidades digitales autónomas que potencialmente piensan, aprenden y se adaptan a una velocidad que supera las capacidades humanas.
Durante décadas, la ciberseguridad consistió en levantar muros cada vez más altos, pero con el tiempo las organizaciones aceptaron que no existía una solución milagrosa. Con la aparición de los agentes de IA, la complejidad de las amenazas vuelve a aumentar: es el concepto de las APT, pero aún más sofisticado.
Según el informe Inteligencia artificial y ciberseguridad: equilibrio entre riesgos y beneficios del Foro Económico Mundial, los actores de amenazas utilizan cada vez más la IA para amplificar la escala, la sofisticación y la velocidad de sus actividades maliciosas. El informe destaca el uso de la IA generativa para potenciar el phishing, el robo de identidad y la explotación de vulnerabilidades de día cero, todo lo cual agrava los desafíos que enfrentan las organizaciones para mantener la resiliencia frente a las amenazas habilitadas por IA.
El Informe de Investigaciones sobre Brechas de Datos 2025 de Verizon indicó que los «correos electrónicos maliciosos asistidos por IA se duplicaron (de un 5 % aproximadamente a un 10 % aproximadamente) en los últimos dos años», lo que subraya la necesidad de contar con defensas proactivas. Teniendo en cuenta las vulnerabilidades heredadas y la variedad de formas en que los atacantes pueden explotarlas —como sistemas obsoletos, credenciales débiles y procesos mal configurados—, los agentes de IA maliciosos no tendrán demasiada dificultad para encontrar oportunidades de intensificar sus ataques y causar daños persistentes. Esto pone de manifiesto la necesidad urgente de que las empresas desarrollen estrategias integrales que combinen tecnología, gobernanza y factores humanos para combatir esta nueva amenaza.
La ciberdelincuencia como modelo de negocio y como problema empresarial
Grupos como Scattered Spider ejemplifican la complejidad y la sofisticación de la ciberdelincuencia moderna. Según el SANS Institute, estas organizaciones operan como empresas, utilizando un manual bien estructurado que incluye ingeniería social, explotación de vulnerabilidades y técnicas avanzadas para infiltrarse en los sistemas. Son hábiles para eludir herramientas de seguridad avanzadas, y su profundo conocimiento de los entornos Windows empresariales, las plataformas en la nube y la infraestructura virtualizada hace que resulten especialmente difíciles de detectar y eliminar. A menudo utilizan herramientas legítimas con fines maliciosos, mezclándose sin problemas con las operaciones empresariales habituales.
Esta sofisticación sugiere que algunos atacantes pueden haber trabajado previamente con dichos sistemas de forma legítima, lo que pone de relieve su capacidad para operar como una empresa y representa una amenaza formidable incluso para los programas de ciberseguridad más maduros.
Los atacantes siguen explotando métodos tradicionales, como las credenciales robadas y la ingeniería social, para comprometer a las organizaciones. Un ejemplo clave es el uso generalizado de credenciales robadas por parte de los ciberdelincuentes, que representaron el 30 % de los puntos de acceso iniciales en los incidentes. Ataques como el caso de Coinbase demuestran que los atacantes a menudo no necesitan exploits sofisticados, como ataques de día cero o APT; simplemente necesitan acceso. Y eso suele provenir del eslabón más débil: las personas.
El desafío que plantea la ciberdelincuencia es un desafío para nuestros modelos de negocio. Cuando los atacantes, cada vez más organizados, pueden externalizar partes de su operación, el panorama de riesgos se fragmenta y descentraliza. Ahora debemos encontrar soluciones para hacer frente a todo un ecosistema de actores interconectados. El ataque a Change Healthcare ilustra el impacto de un riesgo cibernético sistémico. Paralizó clínicas, laboratorios y aseguradoras durante semanas, lo que ha generado hasta la fecha 3 000 millones de dólares en costes indirectos, además de daños reputacionales.
Los agentes de IA amplifican este modelo, al permitir a los atacantes desplegar bots autónomos que refinan continuamente las tácticas, sondean las defensas y coordinan ataques en distintas regiones geográficas. Según la investigación de Google Cloud sobre el uso indebido adversario de la IA generativa, los actores de amenazas patrocinados por Estados están experimentando con Gemini para respaldar sus operaciones y lograr ganancias de productividad en la ciberdelincuencia. Es una realidad en evolución.
Este amplio espectro de amenazas emergentes exige una acción oportuna y coordinada por parte de los líderes actuales. Cuando los atacantes también pueden comprar su acceso —obteniendo credenciales de un empleado interno o de un intermediario de acceso criminal—, el desafío requiere no solo una respuesta tecnológica, sino también una gobernanza eficaz.
Preguntas para la alta dirección
La cuestión de la IA en la ciberdelincuencia es algo para lo que todos los profesionales de la seguridad intentan encontrar soluciones prácticas. Los agentes de IA añaden una capa de complejidad que la mayoría de los marcos de riesgo todavía no pueden gestionar – por lo que los consejos de administración y los directores ejecutivos tienen la responsabilidad fundamental de evolucionar las estructuras de gobernanza para mantenerse a la vanguardia.
Entonces, ¿cómo gobernamos un riesgo que es autónomo, escalable y capaz de aprender? Y ¿cómo lo hacemos de forma que integre la ciberseguridad como pilar de la resiliencia empresarial?
Cuando la ciberseguridad se convierte en una prioridad para los consejos de administración, la conversación debe evolucionar. Para los consejos y los equipos de alta dirección, es fundamental plantearse las preguntas adecuadas para garantizar la resiliencia organizativa frente a ciberamenazas autónomas. Preguntas que aborden las fuentes de ingresos, las operaciones críticas y las estructuras de gobernanza:
¿Cuánto riesgo estamos asumiendo en este escenario? ¿Hemos modelizado adecuadamente las consecuencias de un ataque, incluidas las multas regulatorias, la pérdida de clientes, las interrupciones de la cadena de suministro y los litigios? ¿Qué medidas estamos adoptando para gestionar este riesgo? ¿Disponemos de planes de contingencia, reservas financieras o un seguro cibernético que permita garantizar la continuidad del negocio? ¿Contamos con las estructuras adecuadas para detectar, responder y recuperarnos de un ataque impulsado por IA a velocidad de máquina en caso de que se produzca?
¿Cómo aborda el Foro los desafíos globales de la ciberseguridad?
El Centro para la Ciberseguridad ofrece una plataforma de confianza donde los líderes se reúnen para comprender las ciberamenazas en evolución y sus implicaciones sistémicas. Se centra en generar comprensión y confianza en un mundo digital cada vez más interconectado.
Al facilitar la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a los socios a fortalecer su ciberresiliencia y a abordar desafíos que requieren respuestas colectivas.
La línea que separa a los adversarios humanos de los de las máquinas se difumina, y el viejo manual no funcionará en este nuevo juego. Los consejos de administración y los altos ejecutivos deben entender que la ciberseguridad es ahora una función empresarial esencial; una que protege el flujo de caja, la reputación y la continuidad del negocio. Las organizaciones que comprendan y adopten este cambio de mentalidad prosperarán en una era en la que las ciberamenazas podrían explotar la innovación mejor que nosotros.
