De las redes sociales al fraude: cómo la IA ayuda a los estafadores.

La velocidad a la que evoluciona la inteligencia artificial implica que actividades que antes requerían varias horas o incluso días de trabajo de un ciberdelincuente experimentado ahora pueden realizarse en una fracción de ese tiempo por alguien con pocos o ningún conocimiento previo. ESET, compañía líder en detección proactiva de amenazas, asegura que esto reduce la barrera de entrada para los ciberdelincuentes y que esto se observa en la explotación de vulnerabilidades, en la generación básica de malware y en las tareas de reconocimiento de víctimas.

“Esta modificación debería poner en alerta incluso a los usuarios habituales de internet. Si los ataques se vuelven más baratos y fáciles de ejecutar para los estafadores, cualquiera podría convertirse en un objetivo”, comenta Mario Micucci, investigador de seguridad informática de ESET Latinoamérica.

Antes de la aparición de la IA, un adversario debía invertir tiempo en identificar las cuentas públicas de sus objetivos, sus intereses, amistades, familiares y colegas. También podía necesitar herramientas especializadas o revisar innumerables sitios web, perfiles y publicaciones, correlacionando y verificando información, estableciendo relaciones entre individuos y determinando qué elementos podrían utilizarse en un ataque. La recopilación de inteligencia de fuentes abiertas (OSINT, por sus siglas en inglés) solía ser una práctica reservada para objetivos de alto perfil y potencialmente de alto valor, ya que requería habilidades especializadas y mucho tiempo. 

Las herramientas de IA pueden localizar contenido disponible públicamente en toda la web, vincularlo con posibles víctimas y mapear las relaciones entre estas y otras personas. Lo que las hace especialmente eficaces para encontrar información no estructurada, en particular imágenes y videos. Esta realidad resulta preocupante ya que los estafadores pueden recopilar fácilmente información pública sobre una persona para hacer más convincentes las campañas de ingeniería social y escalar sus fraudes. Por ejemplo:

Un correo electrónico de phishing diseñado para engañar a la víctima y hacer que comparta sus credenciales o haga clic en un enlace que instale malware sin darse cuenta. Este mensaje sería mucho más convincente si incluyera datos personales como el lugar de trabajo, la escuela de un hijo, un evento reciente al que asistió la víctima, como un cumpleaños o unas vacaciones recientes. Toda esa información puede encontrarse en el dominio público y recopilarse fácilmente a gran escala.

Un video o una llamada telefónica que suplante la voz o la imagen de una persona podría utilizarse para convencer a un familiar o ser querido de que esta se encuentra en peligro. Los ciberdelincuentes pueden emplear deepfakes para solicitar dinero utilizando la “voz” de la víctima o para simular un secuestro y exigir el pago de un rescate para garantizar su seguridad. Incluso utilizar un deepfake para crear un video de carácter obsceno y amenazar con compartirlo no se les paga. En el Reino Unido, cientos de menores de 18 años reportaron haber sido víctimas de este delito.

“Los modelos de lenguaje de gran escala (LLM) son eficaces para reunir el tipo de información que los estafadores necesitan para que sus fraudes funcionen. Pueden perfilar grandes cantidades de posibles víctimas en poco tiempo, recopilando imágenes, videos e información personal, de trabajo, familiares y amigos que puede utilizarse con fines maliciosos. La IA también puede ayudar a diseñar los guiones de ingeniería social, permitiéndoles sonar convincentes a través del correo electrónico, las redes sociales u otros canales, incluso cuando no son hablantes nativos del idioma”, aclara Micucci.

Una vez que la información personal se encuentra en el dominio público, resulta difícil solicitar su eliminación, especialmente porque es posible que haya sido republicada en otros lugares. Las fotografías antiguas en redes sociales suelen ser más fáciles de eliminar, pero pocas personas tienen el tiempo necesario para revisar toda su vida digital en busca de información potencialmente útil para los ciberdelincuentes.

Por ello, ESET recomienda centrarse en aquello que sí está al alcance de cada usuario y comparte las siguientes recomendaciones:

Asegurarse de que los perfiles en redes sociales no sean accesibles públicamente, para limitar la capacidad de la IA de encontrar información, imágenes o videos contenidos en ellos.

Ser cuidadoso con la información que se comparte en redes sociales. Datos como fechas de nacimiento, a qué escuela asisten los hijos, vacaciones y eventos similares deberían mantenerse en privado.

Tener presente que las fotografías pueden contener información que permita identificar direcciones, datos de vehículos u otros detalles sensibles.

Evitar publicar contenido que pueda utilizarse para vincular la vida personal con la vida profesional.

Utilizar autenticación multifactor (MFA) y contraseñas robustas y únicas para añadir una capa adicional de seguridad a las cuentas.

No aceptar solicitudes de amistad o seguimiento de personas que no se conoce. Si se tienen dudas o curiosidad, contactar primero a esa persona a través de otro canal independiente.

“La IA está mejorando muchos aspectos de nuestras vidas. Sin embargo, también trae consigo riesgos de los que apenas estamos comenzando a tomar conciencia. La cautela sigue siendo la mejor estrategia. Conviene actuar bajo la premisa de que cualquier cosa que publiques podría ser leída y procesada por sistemas de IA. Actúa en consecuencia y anima también a familiares y amigos a hacer lo mismo”, concluye Micucci de ESET Latinoamérica. 

Para saber sobre ESET más ingrese a: https://www.welivesecurity.com/es/privacidad/ia-fraudes-recopilacion-informacion-victimas/

Los códigos QR también son blanco de los ciberdelincuentes

Cuanto más familiar resulta algo, más probable es que se deje de cuestionarlo. En ciberseguridad, esa complacencia puede ser especialmente peligrosa. Es el caso de los códigos QR, que se han vuelto algo habitual en menús, postes de alumbrado y parquímetros, y también en correos electrónicos durante los últimos años. En este sentido, ESET, compañía líder en detección proactiva de amenazas, advierte sobre el crecimiento del quishing (phishing basado en códigos QR) y como representa una forma de ocultar enlaces maliciosos, evadir algunos filtros de seguridad corporativos tradicionales y  los riesgos de que la interacción pase de una computadora corporativa a un teléfono personal con menos controles de seguridad. 

Un código QR es un código de barras bidimensional, abreviatura de Quick Response (respuesta rápida), capaz de codificar URL, datos de pago, información de contacto y otros datos, permitiendo a los usuarios acceder rápidamente a un sitio web, una aplicación u otro recurso digital. Según ESET, estos resultan atractivos para los actores de amenazas debido a uso habitual y generalizado, a que se integran fácilmente en las campañas de phishing: basta con reemplazar ese enlace o archivo adjunto malicioso por un código QR, y a que pueden generarse en segundos. 

Una de las principales ventajas para el atacante es la capacidad de ocultar el destino del enlace. El destino está codificado en un patrón visual y no se muestra como texto legible, lo que esconde las URL maliciosas y evita que algunos filtros tradicionales de correo electrónico puedan extraerlas e inspeccionarlas. En ocasiones se ocultan aún más al incrustarlas en archivos adjuntos PDF o JPEG. Esto aumenta las probabilidades de que lleguen a las bandejas de entrada de sus empleados. Y cuando lo hacen, el personal puede tener dificultades para distinguir un mensaje legítimo de uno malicioso. Normalmente hay poco texto para analizar en busca de errores ortográficos o gramaticales. Y como el enlace está codificado en un patrón visual, resulta invisible para el ojo humano.

"Los códigos QR se volvieron un elemento habitual en nuestra rutina diaria, lo que genera una falsa sensación de confianza. El cibercrimen aprovecha que el usuario no puede verificar visualmente la URL completa antes de avanzar hacia el sitio web. Lo más importante es que un solo escaneo sin precaución puede generar un acceso no autorizado a un entorno corporativo relativamente bien protegido a un dispositivo móvil potencialmente no gestionado, eludiendo así los controles de seguridad corporativos", menciona Mario Micucci, investigador de seguridad informática de ESET Latinoamérica.

Según el ESET Threat Report H1 2026, los códigos QR maliciosos estaban presentes en el 11% de todos los correos electrónicos de phishing detectados durante la primera mitad de 2026. “ESET rastrea los correos electrónicos de quishing bajo el nombre de detección QRCode/Phishing. Esta detección está diseñada para identificar códigos QR en la gran mayoría de los tipos de archivo y decodificar las URL que contienen. Las URL extraídas son analizadas mediante los motores antiphishing, antimalware y antispam de ESET; cualquier URL dañina es bloqueada y los correos electrónicos asociados son marcados o eliminados”, señala el informe.

Para reducir significativamente el riesgo de phishing con códigos QR en una organización, es necesario alcanzar una combinación equilibrada de capacitación, procesos y tecnología. Desde ESET comparten los puntos clave para tener en cuenta:

Comenzar por las personas: Incluir el quishing en los programas de concientización sobre seguridad y en los ejercicios de simulación. Promover que los empleados eviten escanear códigos QR presentes en correos electrónicos no solicitados y que reporten cualquier mensaje sospechoso. Si creen que el mensaje proviene de una fuente confiable, deben verificarlo directamente con el remitente utilizando datos de contacto obtenidos por una vía distinta al correo recibido.

Considerar los controles técnicos, incluida una solución de seguridad de correo electrónico de un proveedor confiable:  Para minimizar el riesgo de que los mensajes de quishing lleguen a las bandejas de entrada, incorporar también una solución de seguridad móvil en los dispositivos de los empleados para bloquear el acceso a sitios maliciosos y otras amenazas. Asimismo, exigir autenticación multifactor resistente al phishing (phishing-resistant MFA) para todas las cuentas sensibles, de modo que, incluso si los usuarios son engañados, los adversarios no puedan obtener acceso a los sistemas corporativos. Las herramientas de administración de dispositivos móviles (MDM) pueden ayudar a garantizar que todos los dispositivos estén protegidos de acuerdo con las políticas de la empresa.

Reducir la superficie de ataque: aplicar el principio de mínimo privilegio y el acceso just in time. Mantener actualizados todos los sistemas operativos móviles y el software corporativo, incluidas las herramientas de seguridad. Además, realizar una supervisión continua para detectar actividades sospechosas y poner a prueba los planes de respuesta a incidentes para estar preparados ante el peor escenario.

“Los códigos QR han pasado de ser una novedad a convertirse en una herramienta habitual en los entornos corporativos. Y lo mismo ha sucedido con el quishing. La familiaridad no tiene por qué generar complacencia. Así como los empleados se han acostumbrado a desconfiar del phishing tradicional por correo electrónico y SMS, también pueden ser capacitados para identificar las señales de advertencia de un posible intento de quishing. Cuando se combina con capacitación y concientización, la familiaridad también puede contribuir a fortalecer la seguridad”, concluye Micucci de ESET.

Para saber más ESET puede ingresar a: https://www.welivesecurity.com/es/seguridad-corporativa/quishing-codigos-qr-seguridad-corporativa/ 

Inteligencia artificial en las empresas: de la prohibición a la implementación de políticas de uso

Años atrás, las políticas de seguridad corporativas solían centrarse en los mismos temas: credenciales de acceso, contraseñas, uso de dispositivos USB, accesos remotos, clasificación de la información, phishing y ransomware. Hoy, cada vez más organizaciones incorporan políticas específicas para el uso de IA. Ante este escenario, ESET, compañía líder en detección proactiva de amenazas, analiza de qué manera las empresas están incorporando nuevas políticas que apuntan al uso de herramientas de inteligencia artificial, cuál es el desafío para aquellas organizaciones que pasaron de prohibirlas a gobernar su uso, qué regulaciones y estándares existen actualmente a nivel global, y a qué riesgos se exponen las que todavía no tienen políticas definidas.

Según los datos que surgen del último ESET Security Report, el 39,7% de las empresas promueve su uso bajo marcos internos, mientras que un 39,2% todavía deja la decisión en manos de cada empleado sin una política definida. Además, el 17,8% lo limita a determinados casos y solo el 3,4% de las organizaciones mantiene una prohibición total sobre estas herramientas.  

“De a poco, las organizaciones aceptaron que la IA había llegado para quedarse y que el verdadero desafío ya no era impedir su uso, sino gestionarlo. Los principales proveedores tecnológicos acompañaron esa creciente adopción de la IA, lanzando versiones empresariales de sus asistentes, con controles específicos de seguridad, privacidad y cumplimiento. ChatGPT Business y Enterprise, Microsoft 365 Copilot y Gemini para Google Workspace, fueron diseñadas para ofrecer más garantías sobre el tratamiento de los datos corporativos”, comenta Mario Micucci, investigador de seguridad informática de ESET Latinoamérica.

Entre 2024 y 2025, la discusión cambió y las empresas empezaron a trabajar en políticas internas, clasificación de datos, herramientas autorizadas, capacitación de empleados e integración de asistentes de IA en procesos de negocio.

Respecto del nivel de regulación que tomaron las empresas, como surge del ESET Security Report,  se observan diferencias entre sectores productivos: en Educación el uso de IA está más desregulado, con un 58,8 % de las instituciones sin ningún tipo de regla sobre la IA. En contraposición, en el sector financiero (Banca) el 47,6 % de las entidades fomenta su uso, pero bajo estrictas normativas internas.

El reporte muestra que el 39,2 % de las organizaciones todavía opera sin una política definida sobre el uso de herramientas de IA, dejando la decisión en manos de cada empleado. Esto no implica necesariamente que la IA esté prohibida o permitida: simplemente que no existen lineamientos claros que indiquen qué herramientas pueden utilizarse, qué tipo de información puede compartirse o qué responsabilidades asumen quienes recurren a ellas.

“En la práctica, significa que cada colaborador puede tomar decisiones diferentes frente a una misma situación: utilizar asistentes públicos o cuentas personales, compartir información sin conocer los riesgos o incorporar contenido generado por IA en procesos críticos sin validación. Aunque ninguna de estas acciones sea necesariamente maliciosa, la falta de reglas hace que la organización pierda visibilidad y control sobre cómo se utiliza la inteligencia artificial”, agrega Micucci.

Las problemáticas que buscan resolver las políticas de IA según ESET, son: 

Proteger la información sensible: Uno de los principales temores fue la posibilidad de que los empleados compartieran, de forma intencional o accidental, información confidencial en las plataformas públicas. Hoy, muchas políticas establecen qué tipo de datos pueden ingresarse en herramientas de IA y cuáles no. Así, es habitual encontrar restricciones respecto de la información de clientes, propiedad intelectual, código fuente, documentos internos o información financiera.

Reducir el riesgo del Shadow AI: Que una herramienta se encuentre prohibida, no siempre significa que deje de utilizarse. A través de las políticas, las empresas acercan alternativas aprobadas y reglas claras sobre cuándo y cómo utilizar estos asistentes. Así, se permite el uso de versiones empresariales, mientras que cuentas personales o servicios sin controles corporativos quedan fuera de la política. Otras organizaciones optan por modelos propios para procesar la información dentro de su infraestructura. El objetivo final es que los empleados no solo sepan si pueden usar IA, sino también qué herramientas tienen a disposición para hacerlo de forma segura.

Garantizar la supervisión humana: Muchas políticas incorporan el principio de supervisión humana, que establece que las personas siguen siendo responsables de validar todo contenido que generan estas herramientas, en especial si interviene en decisiones de negocio o procesos críticos.

Actualmente, ya existen marcos de referencia, estándares internacionales y regulaciones que sirven como guía para implementar una adopción de la IA más segura y responsable. Por ejemplo: 

NIST AI RMF (Artificial Intelligence Risk Management Framework) - Publicado en 2023 por el National Institute of Standards and Technology, propone buenas prácticas para que las empresas puedan identificar, evaluar, gestionar y monitorear los riesgos asociados a la IA. 

ISO/IEC 23894 - Esta norma se enfoca exclusivamente en la gestión de riesgos asociados a la IA. Ofrece lineamientos para identificar, analizar, tratar y monitorear los riesgos derivados del desarrollo o uso de sistemas de IA.

ISO/IEC 42001 - Es el primer estándar internacional para implementar un Sistema de Gestión de Inteligencia Artificial (Artificial Intelligence Management System – AIMS). La norma establece requisitos para definir políticas, asignar responsabilidades, evaluar riesgos, documentar procesos y promover la mejora continua.

EU AI Act - Es el primer marco regulatorio integral sobre IA aprobado por la Unión Europea. Busca establecer obligaciones para quienes desarrollan, comercializan o utilizan sistemas de IA, clasificándolos según el nivel de riesgo que representan. Si bien su aplicación se centra en el mercado europeo, también impacta a empresas de otros países que ofrecen productos o servicios basados en IA dentro de la Unión Europea.

NIST Cybersecurity Framework (CSF) 2.0 - Es uno de los marcos de ciberseguridad más utilizados a nivel mundial. Ofrece una estructura ampliamente adoptada para gestionar riesgos tecnológicos mediante funciones como Govern, Identify, Protect, Detect, Respond y Recover.

“Más allá de sus diferencias, estos estándares, marcos de referencia y regulaciones reflejan cómo la gobernanza de la IA ya no depende únicamente del criterio de cada organización. Hoy existen lineamientos reconocidos que ayudan a definir políticas, gestionar riesgos y establecer controles para incorporar la IA de forma segura, responsable y alineada con los objetivos del negocio”, destacan desde ESET.

El desafío para las organizaciones es encontrar un equilibrio. Ante restricciones rígidas, es probable que los empleados recurran a herramientas no autorizadas. En cambio, las políticas permisivas o ambiguas aumentan el riesgo de que se compartan datos sensibles, se confíe excesivamente en las respuestas de la IA o se utilicen sin los controles adecuados. Por eso, desde ESET recomiendan buscar complementar las políticas con capacitaciones, programas de concientización y herramientas corporativas que ofrezcan una alternativa segura a los servicios públicos. El objetivo es integrarlas en la cultura de cada organización sin que vayan en detrimento de la productividad. 

“La pregunta ya no es si estas herramientas tienen lugar dentro de la organización, sino que la dificultad es utilizarlas sin comprometer la seguridad, la privacidad o el cumplimiento normativo. Así como hace años las políticas de seguridad incorporaron reglas claras sobre dispositivos móviles, trabajo remoto o servicios en la nube, hoy la inteligencia artificial comienza a ocupar un lugar en la agenda de la ciberseguridad de las empresas”, concluye el investigador de ESET Latinoamérica.

Para saber más ESET puede ingresar a: https://www.welivesecurity.com/es/seguridad-corporativa/inteligencia-artificial-empresas-implementacion-politicas-uso/

El 73% de las empresas en América Latina asegura que el phishing sigue funcionando

Según los datos relevados en el último informe “ESET Security Report”, el 73% de las empresas en América Latina afirman haber sido objetivo de campañas de phishing durante el 2025. Las organizaciones manufactureras registran el 81,4%, y el sector bancario alcanza el 100% de las instituciones que reportan intentos de phishing.

ESET, compañía líder en detección proactiva de amenazas, asegura que lo que hace que el phishing sea tan letal no es la sofisticación de la tecnología sino es la manipulación. La ingeniería social sigue siendo el vector de ataque más explotado, superando el acceso no autorizado, el malware y la explotación de vulnerabilidades. A diferencia de un ataque técnico que puede ser detectado por herramientas, el phishing depende de un clic humano. 

“El phishing no es un ataque sofisticado porque utilice tecnología avanzada. Es sofisticado porque explota el elemento más débil de cualquier sistema de seguridad: el ser humano. Además, los sectores con datos sensibles o acceso a recursos críticos son una prioridad para los delincuentes. Y no es casualidad que precisamente las industrias con menor capacidad defensiva terminen siendo las más atacadas”, comenta David González, investigador de seguridad informática de ESET Latinoamérica. 

El informe revela que no todos los sectores en América Latina experimentan el phishing en la misma medida. Los datos muestran una concentración de riesgo en industrias específicas, y las razones varían desde la naturaleza del trabajo hasta la madurez de las defensas. El sector manufacturero aparece como uno de los más atacados, con un 81,1% de las organizaciones latinoamericanas que reportaron haber sufrido ataques de phishing, lo que indica que las empresas manufactureras son objetivos especialmente atractivos. Por otro lado, el sector de educación registra un 81,4%, explicado en parte por un fenómeno que combina infraestructuras antiguas, ciclos de actualización más lentos y equipos con menos experiencia en seguridad. El sector de Banca y Finanzas registra el 79,6% de los intentos de phishing en América Latina. Gobierno y Salud, a su vez, registran el 72,6% y el 67,6% respectivamente en la región, cifras que siguen siendo alarmantemente altas.

La ingeniería social sigue siendo el vector de ataque más explotado en América Latina, superando el acceso no autorizado, el malware y la explotación de vulnerabilidades. Los delincuentes entienden que derrotar a una persona es mucho más fácil que superar un firewall. El phishing funciona porque explota tres cosas: confianza, prisa y conocimiento limitado. Un correo electrónico que parece legítimo, aparentemente de un compañero o responsable, con una solicitud urgente genera pánico. En este punto, el cerebro está en modo reactivo, no reflexivo. La persona hace clic antes de pensar.

A nivel global, los datos del ESET Threat Report del primer semestre de 2026 muestran la evolución de esta táctica. Los delincuentes no solo envían correos electrónicos evidentes con errores tipográficos. Están personalizando ataques, usando información específica de la empresa, suplantando dominios y expandiéndose a nuevas plataformas como los códigos QR en los correos electrónicos, que evaden el escaneo tradicional.

“El phishing funciona porque es sencillo de realizar, demasiado efectivo y, en la mayoría de los casos, la víctima no sabe que ha sido objetivo hasta mucho más tarde. El phishing de hoy no es el correo obvio con errores tipográficos y enlaces extraños. Es demasiado sofisticado para ser fácil de detectar. Los delincuentes están utilizando varias técnicas nuevas”, agrega el investigador.

ESET identificó una campaña reciente que enviaba correos electrónicos con el asunto "Nuevo buzón de voz" para suplantar la propia cuenta de la víctima como remitente, creando la ilusión de que el mensaje se había originado dentro de la empresa. En este caso, el archivo adjunto era un archivo .svg, un formato menos común que puede eludir los filtros de seguridad tradicionales. Cuando la víctima abría el archivo, era redirigida a una página que imitaba el inicio de sesión de Outlook, donde se les robaban las credenciales. A nivel global, ESET advierte que se han reportado otras tácticas que utilizan códigos QR distribuidos en correos electrónicos, o la técnica de ClickFix, que simulan fallos del navegador y piden al usuario que tome medidas urgentes.

Para mantenerse protegido ante esta amenaza, desde ESET comparten algunas recomendaciones: no hacer clic en links de mails no solicitados o de dudosa procedencia y desconfiar especialmente de asuntos que generen un sentido de urgencia o alerta. Además, tener especial cuidado con adjuntos inesperados, especialmente en formatos menos comunes como .SVG.

González aconseja: “En resumen, si algo parece urgente y llega por correo electrónico, es una señal de alarma, mejor comunícate con el remitente por una vía oficial. La seguridad contra el phishing no es solo responsabilidad de la empresa. Se comparte entre la organización y cada persona que utiliza el correo corporativo. Para las empresas, el primer paso de seguridad según ESET es la visibilidad. Si no se puede detectar un ataque, no hay posibilidad de responder. El firewall, el EDR y los sistemas de respaldo son defensas básicas que deben estar en su lugar y, lo que es más importante, deben ser monitorizadas. Y por supuesto, fortalecer las políticas de autenticación, mantener los sistemas actualizados”.

La formación en seguridad no es una actividad anual aburrida, es lo que diferencia a las empresas que filtran datos de las que no lo hacen. El phishing sigue funcionando porque realmente funciona. Los criminales no cambian de arma cuando el arma sigue las defensas corporativas. La seguridad solo cambia cuando las organizaciones entienden que la invisibilidad es el verdadero problema, no la falta de herramientas. Y cuando cada persona entiende que un clic equivocado no es un error personal, es exactamente lo que el criminal planeó.

Para saber más ESET puede ingresar a: https://www.welivesecurity.com/es/seguridad-corporativa/phishing-empresas-latinoamerica-capacitacion-ciberseguridad/

Más de la mitad de las empresas detectó intentos de ataques informáticos durante el último año.

El ESET Security Report Latinoamérica 2026 reúne el análisis de las principales tendencias, desafíos y oportunidades que hoy enfrentan las empresas de la región en materia de ciberseguridad. Releva los principales ciberataques sufridos por las empresas, los vectores de intrusión más frecuentes, el nivel de adopción de tecnologías basadas en inteligencia artificial y el grado de adopción de soluciones de protección en los entornos corporativos.

Es el resultado de la encuesta anual realizada por ESET, compañía líder en detección proactiva de amenazas, a más de 1.500 profesionales vinculados a la ciberseguridad pertenecientes a 962 organizaciones de 10 países latinoamericanos. El 80 % de los encuestados desempeña funciones en áreas de seguridad, mientras que el resto corresponde a perfiles no técnicos, lo que permite obtener una perspectiva amplia que abarca todos los niveles de las organizaciones.

Una de las conclusiones del informe, en comparación con la edición anterior, es que la ciberseguridad en las organizaciones continúa siendo mayoritariamente reactiva. Si bien el 85% utiliza firewalls, el 82% cuenta con backups y el 73% implementa VPN, apenas el 23% incorpora plataformas de Threat Intelligence, una de las tecnologías clave para una detección proactiva. Persisten brechas estructurales que limitan la capacidad de las organizaciones para anticipar, detectar y responder de manera efectiva a las amenazas.

Entre los principales desafíos identificados se destacan la falta de visibilidad sobre los incidentes, la persistencia del phishing como principal vector de ataque, el uso de la inteligencia artificial, las debilidades en la protección de la identidad y los dispositivos móviles, así como problemas de higiene digital que continúan siendo aprovechados por los atacantes.

Aunque el 52,7% de las organizaciones detectó intentos de ataque durante el último año, un 15,4% no puede confirmar si fue víctima de un incidente, lo que confirma la persistencia de una falta de visibilidad sobre los entornos que limita la capacidad para comprender el nivel real de exposición y responder oportunamente frente a las amenazas.

Además, entre las organizaciones que no detectaron ataques, una de cada cuatro (25,1%) reconoce que los incidentes podrían haber ocurrido sin ser detectados por no contar con la tecnología suficiente, lo que permite estimar que cuatro de cada diez organizaciones carecen de la capacidad analítica necesaria para conocer su nivel real de exposición.

“Esta brecha continúa siendo uno de los principales desafíos para las empresas de la región, sobre todo por el impacto que puede tener en la capacidad de prevenir, detectar y gestionar incidentes de seguridad.”, asegura Mario Micucci, investigador de seguridad informática de ESET Latinoamérica.

El phishing se mantiene como el vector de ataque más frecuente en América Latina, y afectó al 73% de las organizaciones encuestadas. Los resultados muestran que la ingeniería social continúa siendo una de las herramientas más efectivas para los atacantes y ponen de manifiesto que la cultura de seguridad sigue siendo un aspecto crítico para las empresas.

En particular, se observan diferencias entre industrias, con una incidencia especialmente alta del phishing en los sectores de Educación (81,4%), Manufactura (81,1%) y Banca (79,6%).

La inteligencia artificial se consolida como uno de los principales desafíos para las organizaciones de la región. Mientras una mayoría de los profesionales consultados considera que facilitará ataques cada vez más sofisticados y automatizados, una proporción importante de organizaciones todavía no cuenta con políticas internas que regulen su utilización.

Entre los principales hallazgos del informe se destacan:

56,3% considera que la IA facilitará ataques más sofisticados.

19,6% identifica los deepfakes como la principal amenaza.

39,2% no tiene ninguna regulación interna.

39,7% sí posee marcos internos.

“Estos resultados ponen de manifiesto nuevos desafíos para la gobernanza, la gestión del riesgo y la definición de políticas corporativas en torno al uso responsable de estas tecnologías”, destaca Micucci.

Las organizaciones han fortalecido la adopción de controles tradicionales de seguridad. Sin embargo, persisten debilidades en aspectos fundamentales como la protección de la identidad, la seguridad de los dispositivos móviles y la gestión de vulnerabilidades conocidas. Entre las organizaciones encuestadas, solo el 57% utiliza autenticación multifactor, el 36% implementa soluciones DLP y apenas el 23% incorpora plataformas de Threat Intelligence.

“Esta aparente contradicción evidencia que la madurez en ciberseguridad depende cada vez más de la integración entre tecnología, procesos y personas, y no únicamente de la incorporación de nuevas herramientas”, enfatizan desde ESET Latinoamérica.

El informe también revela que las brechas no se limitan a la infraestructura tecnológica. Entre los colaboradores no técnicos, solo el 52,2% utiliza autenticación multifactor en sus cuentas laborales y el 26,9% reconoce que no aplica ninguna medida de seguridad en su teléfono corporativo, lo que confirma que el factor humano continúa siendo uno de los principales desafíos para las organizaciones.

“Desde ESET apostamos a que el conocimiento y la educación permite a las organizaciones tomar decisiones más informadas y fortalecer su capacidad de prevención y respuesta. La elaboración de este reporte apunta a acercar un panorama real de lo que hoy enfrentan las empresas de la región en materia de ciberseguridad para conocer de qué manera mantenerse protegidos”, concluye Micucci de ESET Latinoamérica.

El ESET Security Report Latinoamérica 2026 reúne el análisis de las principales tendencias, desafíos y oportunidades que hoy enfrentan las empresas de la región.

Para saber más ESET puede ingresar a: https://www.welivesecurity.com/es/

Falsas llamadas de emergencia ponen en evidencia riesgos en sistemas críticos

Un supuesto ataque al sistema de alertas de la Defensa Civil, basado en tecnología de difusión celular (Cell Broadcast), provocó el envío de falsas alertas a teléfonos celulares en diversas ciudades brasileñas entre la noche del último viernes (20) y la madrugada del sábado (21), lo que generó preocupación por la seguridad de infraestructuras críticas utilizadas para la protección de la población. ESET, compañía líder en detección proactiva de amenazas, contextualiza el caso y analiza distintas estrategias de protección relacionadas a este tipo de sistemas. 

De acuerdo con un informe emitido por el Gobierno Federal y enviado a la Policía Federal (PF), los primeros envíos se registraron en Río de Janeiro. Posteriormente, residentes de Curitiba, Brasilia, São Paulo, Salvador y otras localidades también recibieron notificaciones clasificadas como “alerta extrema”, considerado el nivel más alto del sistema de alertas de la Defensa Civil. Este tipo de mensaje se utiliza en situaciones de riesgo inminente para la vida, requiriendo que la población adopte medidas de protección de forma inmediata.

En el caso de Río de Janeiro, el mensaje hacía referencia a una supuesta posibilidad de deslizamientos de tierra, información especialmente sensible en una región históricamente afectada por tragedias relacionadas con lluvias intensas. Además, circularon mensajes que mencionaban una supuesta posibilidad de tornado en la región de Belo Horizonte (MG) y otros avisos sin fundamento. Los textos presentaban frases inconexas, campos corruptos y expresiones inusuales, incluyendo referencias a un supuesto “ataque alienígena”.

El incidente ocurre en un momento en el que América Latina enfrenta un aumento sostenido de eventos climáticos extremos. Según la Organización Meteorológica Mundial (OMM), en los últimos años la región ha sido afectada por fenómenos como inundaciones, sequías, huracanes e incendios forestales de gran magnitud, lo que refuerza la importancia de los sistemas de alerta temprana para proteger a la población.

“En este contexto, varios países de la región están adoptando sistemas de alerta basados en Cell Broadcast, una tecnología que permite enviar mensajes masivos a todos los dispositivos móviles en un área específica, sin necesidad de aplicaciones ni conexión a internet”, agrega Jonathan Ramos, investigador de seguridad informática de ESET Latinoamérica.

Algunos casos de implementación en la región son: 

Chile es el caso más consolidado, con su Sistema de Alerta de Emergencia (SAE) plenamente operativo y utilizado regularmente ante desastres naturales, mientras que Brasil ya cuenta con infraestructura de alertas móviles a gran escala, como se evidenció en este incidente.

México ha realizado pruebas durante los últimos años integrando parcialmente Cell Broadcast en su sistema de alerta sísmica. Otros países, como Ecuador, se encuentran en etapas iniciales o pilotos.

Argentina está avanzando en el despliegue de su sistema nacional AlertAR, basado en esta tecnología.

“A medida que los gobiernos adoptan tecnologías más eficientes para alertar a la población, también aumenta la superficie de ataque sobre sistemas críticos. Un sistema de alertas comprometido puede generar pánico, desinformación y eventualmente disminuir la credibilidad de las comunicaciones oficiales en situaciones reales de emergencia”, destaca Ramos de ESET.

Un detalle que llamó la atención en este caso, fue la repetición de la palabra “misantropía” en distintos mensajes, funcionando como una especie de firma dejada por los responsables. El término se utiliza para describir a personas que manifiestan aversión, desconfianza o rechazo hacia la humanidad y la convivencia social.

El caso está siendo investigado por la Defensa Civil Nacional en conjunto con la Agencia Nacional de Telecomunicaciones (Anatel). La sospecha es que el incidente haya involucrado un acceso indebido a la Interfaz de Difusión de Alertas Públicos (Idap), plataforma utilizada por el Ministerio de Integración y Desarrollo Regional (MIDR), con el apoyo de la Defensa Civil Nacional, para el envío de alertas relacionadas con riesgos de desastres naturales y otras emergencias.

En las primeras horas posteriores al incidente, un usuario identificado como “Misantropo”, en la red social X, publicó imágenes y un video adjudicándose la autoría de los mensajes. El material difundido sugiere el uso de una plataforma gubernamental para el envío de las alertas.

En una entrevista con el portal TecMundo, el presunto atacante afirmó haber utilizado credenciales antiguas del Idap que habrían sido expuestas en filtraciones previas. Según su relato, el acceso habría sido obtenido mediante la técnica conocida como credential stuffing, que consiste en la reutilización automatizada de combinaciones de usuario y contraseña previamente comprometidas en otros incidentes.

“Aunque la autoría y los detalles de la invasión aún están bajo investigación, el episodio refuerza la importancia de adoptar mecanismos robustos de autenticación, monitoreo continuo y revisión periódica de credenciales en sistemas considerados críticos para la seguridad pública”, agregan de ESET.

La respuesta de las autoridades fue la desactivación temporal de la plataforma. En un comunicado oficial, la Defensa Civil del estado de São Paulo informó que el mensaje recibido por la población no fue emitido por el organismo y que inició de inmediato procedimientos de verificación junto con la Defensa Civil Nacional, Anatel y otras instituciones involucradas en la operación del sistema. “Hasta el momento, no existe registro de ningún evento que justifique la emisión de una alerta extrema relacionada con el contenido reportado”, afirmó el organismo.

“El incidente evidencia los riesgos asociados a la protección de sistemas gubernamentales responsables de servicios esenciales. Los incidentes cibernéticos en plataformas de infraestructura crítica exponen vulnerabilidades que trascienden la esfera tecnológica, evidenciando fallas en políticas y procedimientos de seguridad. El uso de credenciales supuestamente filtradas refuerza la urgencia de prácticas de gobernanza, como la aplicación del principio de privilegio mínimo, la obligatoriedad de la autenticación multifactor (MFA) y la rotación periódica de contraseñas. Para sistemas de alto impacto social, resulta indispensable la implementación del principio de doble control (Four-Eyes Principle). Esta capa de validación mitiga el riesgo de acciones aisladas, ya sean maliciosas o accidentales, evitando que falsas alertas generen pánico y desinformación y, sobre todo, preservando la confianza de la población en los mecanismos legítimos de protección del Estado”, concluye Jonathan Ramos de ESET.

El resultado de la investigación deberá esclarecer si efectivamente hubo una intrusión en los sistemas de la Defensa Civil o si el incidente fue provocado por el uso indebido de credenciales válidas obtenidas en filtraciones anteriores.

Para saber más ESET puede ingresar a: https://www.welivesecurity.com/es/seguridad-digital/falsas-alertas-emergencia-brasil-acceso-indebido-defensa-civil

Correo hackeado: los pasos clave para recuperar el control de tus cuentas

Un hackeo de mail hoy no significa solamente perder el acceso a “los correos”, sino que toda la vida digital: WhatsApp, Instagram, Facebook, Netflix, Spotify, Mercado Pago, homebanking y muchas otras plataformas y servicios que tienen el correo como llave en ingreso, pueden estar en riesgo. ESET, compañía líder en detección proactiva de amenazas, comparte un paso a paso sobre qué se debe hacer si un mail fue hackeado, para reducir sensiblemente el impacto del incidente. A su vez, analiza cómo pudo haber sido hackeado, qué señales dan indicios del hackeo y qué medidas se pueden tomar para protegerse.

“Hoy el mail dejó de ser solo una herramienta de comunicación para convertirse en la puerta de entrada a tu vida digital, y justamente por eso es uno de los blancos más explotados por el cibercrimen. Así, ya no alcanza con “tener cuidado”, ya que muchas amenazas están diseñadas para pasar desapercibidas incluso para usuarios atentos”, comenta Mario Micucci, investigador de ESET Latinoamérica.

A continuación, el equipo de ESET detalla qué se debe hacer para mitigar el daño y recuperar el control total de una cuenta de correo hackeada:

Recuperar el acceso: El primer paso clave es intentar ingresar a la cuenta hackeada, sea desde el sitio o la aplicación oficial. Si se puede ingresar normalmente, se debe cambiar de inmediato la contraseña por una nueva, que sea robusta y única. Nunca reutilizar claves viejas ni variantes similares.

También es importante cerrar todas las sesiones que estén abiertas en otros dispositivos. Servicios como Gmail y Outlook permiten identificar en qué equipos o ubicaciones hay sesiones activas, y forzar el cierre de manera remota. Si ya no se puede ingresar al correo debido a que el ciberatacante cambió la contraseña, se debe recurrir de inmediato al proceso oficial de recuperación de cuenta, que se encuentra disponible en la página de inicio de sesión de tu proveedor. 

Activar el doble factor de autenticación: Una vez que se haya recuperado el acceso al mail, activar la autenticación es dos pasos (también conocida como 2FA). Esto agrega una barrera de seguridad extra, y por más que el ciberatacante tenga en su poder la contraseña, sin este doble factor no podrá ingresar.

Revisar el impacto en otras cuentas y servicios: Un mail es la llave maestra que da acceso a otras cuentas y servicios, por eso es fundamental revisar todo lo que esté vinculado a esa cuenta: redes sociales, plataformas de streaming, billeteras virtuales, homebanking, apps de mensajería, cuentas laborales, tiendas online, servicios en la nube, entre otros. Lo ideal es cambiar las contraseñas de cada una, para evitar cualquier tipo de inconveniente.

Identificar si hubo actividad maliciosa: Con la cuenta de correo en su poder, muchos ciberatacantes la utilizan de inmediato para lanzar estafas y encontrar nuevas víctimas. Se deben revisar los correos enviados recientemente, si hay nuevas reglas automáticas sospechosas, si se aplicaron filtros desconocidos o si se eliminaron mensajes. Aquí se puede consultar a los contactos si recibieron algún mensaje extraño desde la cuenta.

Analizar los dispositivos: El hackeo de un mail pudo deberse a diversos motivos: el robo de credenciales, un ataque de phishing, o bien la infección por malware. Siempre conviene realizar un análisis de seguridad en todos los dispositivos en los cuales se utiliza esa cuenta. Ya sea teléfono celular, tablet, PC o notebook. Luego, realizar todas las actualizaciones correspondientes al sistema operativo, navegador y aplicaciones, y eliminar cualquier tipo de extensión sospechosa o app que no se conozca.

En cuanto a las señalas de hackeo, si bien hay algunas señales que son muy obvias, hay otras que no, ya que el ciberatacante intentará pasar desapercibido el mayor tiempo posible. Por eso, desde ESET repasan las 5 principales alarmas que indican que un mail fue vulnerado:

No puedes ingresar con tu contraseña habitual: Sin dudas, esta es la señal más evidente. Si ya no puedes ingresar con tu clave, es porque alguien la cambió (los actores maliciosos suelen hacerlo de inmediato).

Recibes alertas de inicio de sesión: Los proveedores de servicio de mail envían notificaciones a los usuarios cuando identifican algún acceso extraño, sea desde un dispositivo nuevo, de alguna ubicación desconocida o de un país desde el cual nunca te conectaste. Y si bien algunas personan desestiman esas alertas creyendo que se trata de un error, es clave prestar más atención a este tipo de avisos. A su vez, si recibes correos para “restablecer contraseña” desde tus redes sociales, servicios financieros o cualquier otro servicio online, pero que nunca solicitaste, es otro indicio que un actor malicioso está intentando utilizar tu mail para vulnerar otras cuentas.

Contactos reciben mensajes que no enviaste: Otra señal clara que la cuenta fue comprometida. Es muy común que una vez que logran el acceso, los ciberatacantes usen el correo hackeado para lanzar nuevas estafas. Además, revisar si existen correos eliminados, que fueron movidos de carpeta o marcados como leídos.

Cambios en los datos de tu cuenta: Si en tu cuenta evidencias cambios que nunca realizaste, puedes estar en riesgo. Una señal podría ser que haya un nuevo número telefónico asociado, no se reconoce la dirección de recuperación, la firma es diferente, el idioma cambió, existen nuevas reglas o hay dispositivos vinculados que no conoces.

Actividad extraña en plataformas vinculadas: Muchas veces, el indicio de un hackeo se evidencia en otros servicios asociados. Por ejemplo: Facebook te informa un cambio de contraseña, Netflix detecta un nuevo inicio de sesión, o WhatsApp envía códigos inesperados. Recordá que el mail es la llave para recuperar accesos en otras plataformas y su compromiso puede desencadenar el hackeo de otras plataformas.

Por otro lado, también es útil conocer de qué manera un ciberatacante puede vulnerar una cuenta de correo electrónico. Las opciones más comunes pueden ser los ataques de phishing, la reutilización de contraseñas en más de un servicio, una Infección con malware, o la conexión en redes inseguras de Wi-Fi.

Para prevenir el hackeo, ESET comparte algunas hay acciones concretas que se pueden implementar para reforzar la seguridad:

Utilizar contraseñas robustas y únicas

Activar el doble factor de autenticación

Prestar atención antes de descargar un archivo o hacer clic en un correo inesperado

Revisar accesos y dispositivos conectados regularmente

Eliminar aquellas apps o servicios que tengan acceso a las cuentas y no reconozcas

Mantener todos los dispositivos actualizados

Verificar que el mail y teléfono de recuperación sean correctos

Evitar redes Wi-Fi públicas para accesos sensibles

“En este contexto, tener una capa adicional de protección que actúe en tiempo real es clave, para analizar enlaces, detectar comportamientos sospechosos y bloquear cualquier intento de fraude antes de que lleguen a tu bandeja de entrada. Es allí donde soluciones especializadas, con tecnologías de detección proactiva, antiphishing y análisis basado en inteligencia artificial, marcan la diferencia y son un factor clave para proteger tu identidad digital”, concluye Micucci de ESET.

Falsas ofertas laborales suplantan a grandes empresas para robar datos personales en Latinoamérica.

La búsqueda de una nueva oportunidad profesional puede ser un momento de expectativa y entusiasmo. Sin embargo, los ciberdelincuentes aprovechan este contexto para llevar adelante estafas cada vez más sofisticadas.  Recientemente, el equipo de investigación de ESET, compañía líder en detección proactiva de amenazas, identificó una campaña de correos electrónicos falsos que usan el nombre de reconocidas empresas como L’Oréal, Coca-Cola y Red Bull, que ofrecen supuestas oportunidades de empleo como anzuelo para captar datos personales. 

Es importante señalar que las empresas afectadas son también víctimas de los ciberdelincuentes ya que son utilizadas como parte de la estafa. Los atacantes aprovechan el reconocimiento de estas marcas para intentar legitimar el engaño y mediante el uso de su imagen aumentar la probabilidad de éxito del fraude. 

“Esta estafa no es nueva, y varios usuarios llevan advirtiendo sobre este mismo fraude desde al menos 2025. En algunos casos, los delincuentes también usaron el nombre de otras empresas, como Meta, y otras compañías para dar credibilidad al esquema”, advierte Mario Micucci, investigador de ESET Latinoamérica.

Correos falsos que suplantan grandes marcas 

La estrategia comienza de forma relativamente sencilla: los delincuentes envían correos electrónicos que parecen haber sido enviados desde alguna oficina de recursos humanos de las empresas suplantadas o por supuestos reclutadores, con una oferta concreta, dirigida a nombre del remitente, para ofrecerle participar en un proceso de selección de personal. 

El mensaje suele presentar una vacante atractiva e incluye un enlace para que la parte interesada avance en las siguientes fases de la solicitud.  

En uno de los casos analizados, podemos observar que el mensaje inicial ya tiene señales de alerta que anuncian que se trata de una comunicación falsa: el nombre mostrado es el de un supuesto reclutador de L'Oréal, la dirección de correo electrónico utilizada no tiene relación con los dominios oficiales de la empresa. 

En algunos casos, como el que detectó ESET que simula ser de Adidas, el remitente es una persona real, que posiblemente los delincuentes investigaron que pertenece a la empresa.  

En este punto, plataformas profesionales como LinkedIn pueden jugar un rol clave: los atacantes pueden recopilar información pública sobre empleados, roles y estructuras internas para hacer más creíble la suplantación de identidad. Lo que les permite personalizar los ataques y aumentar significativamente la tasa de éxito.  

Al hacer clic en el enlace, en los distintos correos que se distribuyeron suplantando a las empresas, el usuario accede a una página que imita un formulario legítimo, similar a los servicios ampliamente utilizados por las empresas para el reclutamiento. La apariencia profesional del sitio contribuye a transmitir una falsa sensación de confianza y legitimidad.  

Este tipo de inconsistencia es una de las principales señales de phishing y debería servir de advertencia para los candidatos.  

Una vez en el sitio, se anima al candidato a entregar información personal y profesional, como nombre, número de teléfono, experiencia profesional y dirección de correo electrónico. Hasta ahora, el proceso parece compatible con una candidatura legítima. 

Falsa verificación de cuenta 

Tras completar el formulario, la víctima es redirigida a una pantalla que imita el proceso de inicio de sesión de Google, con el objetivo de robar credenciales. A simple vista, la interfaz resulta familiar y "profesional", ya que reproduce el diseño típico de selección de cuenta de Google. Sin embargo, al observar con atención, es posible detectar inconsistencias clave, como el dominio del sitio web —que no corresponde a Google—, lo que evidencia que se trata de una página fraudulenta. 

“Un aspecto clave para identificar este tipo de engaños es verificar el dominio en la barra de direcciones: aunque la interfaz imite servicios legítimos como Google, las credenciales solo deben ingresarse en sitios oficiales”, señala el investigador de ESET. 

En este punto se revela el verdadero propósito del engaño: lograr que la víctima, bajo engaño, entregue voluntariamente sus credenciales a los ciberdelincuentes. La página solicitará el acceso al correo electrónico, con la excusa de que se trata de un paso necesario para continuar con el proceso de selección.  

La solicitud previa del correo electrónico no ocurre por casualidad. Al recopilar esta información con antelación, los atacantes pueden personalizar la siguiente fase del engaño y aumentar su credibilidad. 

El uso de interfaces conocidas y visualmente legítimas es una táctica habitual en campañas de phishing, ya que reduce la desconfianza del usuario y aumenta la probabilidad de que entregue sus credenciales. 

“Con acceso a la cuenta de correo electrónico de la víctima, los delincuentes pueden restablecer contraseñas de otros servicios vinculados al correo comprometido; acceder a información personal y profesional almacenada en la bandeja de entrada; enviar mensajes falsos en nombre de la víctima a sus contactos e, incluso, usar la cuenta para difundir nuevas campañas de phishing. Dependiendo de los servicios asociados al correo electrónico, el compromiso también puede resultar en un acceso indebido a cuentas bancarias, redes sociales, plataformas corporativas y otros sistemas sensibles, amplificando significativamente el impacto del ataque”, agrega Micucci.

Para reducir el riesgo de caer en este tipo de fraude, desde ESET señalan que es importante adoptar algunas medidas de seguridad: 

Desconfiar de cualquier proceso de selección que  pida la contraseña del correo electrónico. 

Comprobar cuidadosamente la dirección del remitente y el dominio de los enlaces recibidos. 

Confirmar la existencia de la vacante directamente en los canales oficiales de la empresa. 

Activar la autenticación de dos pasos (MFA) en las cuentas. 

Nunca compartir credenciales de acceso a través de formularios online mensajes recibidos por correo electrónico. 

“Aunque las campañas de phishing que involucran oportunidades de empleo falsas no son nada nuevo, los delincuentes siguen perfeccionando sus técnicas para hacerlas más convincentes. Por lo tanto, ante cualquier proceso de selección que solicite credenciales de acceso o presente inconsistencias en las direcciones de correo electrónico y enlaces utilizados, la recomendación es detener inmediatamente la interacción y verificar la autenticidad de la vacante a través de los canales oficiales de la empresa”, concluye el investigador de ESET. 

Además, desde ESET adviertes que si bien las empresas legítimas pueden solicitar currículums, información de contacto y datos profesionales durante el proceso de reclutamiento. Sin embargo, nunca pedirán la contraseña de una cuenta de correo electrónico como requisito para participar en un proceso de selección. Ante cualquier solicitud de este tipo, detener inmediatamente la interacción y confirmar la autenticidad de la vacante a través de los canales oficiales de la organización.

Para saber más ESET puede ingresar a: https://www.welivesecurity.com/es/estafas-enganos/ofertas-laborales-falsas-phishing-suplantan-grandes-marcas

¿Le pedirías consejo médico a una IA? Aspectos clave antes de hacerlo.

Los chatbots están cambiando la forma en que pensamos, aprendemos y percibimos el mundo que nos rodea. Este tipo de disrupción se manifiesta en muchas áreas de la vida, pero quizás una de las más sensibles sea el creciente uso de herramientas de inteligencia artificial generativa (GenAI) en el ámbito de la salud. Grandes empresas tecnológicas han incursionado en la IA de salud orientada al consumidor con el lanzamiento de servicios como Copilot Health, ChatGPT Health y Amazon’s HealthAI, cuyos modelos ayudan a los usuarios a interpretar sus historiales médicos y a hacer preguntas sobre sus síntomas, resultados de laboratorio y opciones de tratamiento. Sin embargo, ESET, compañía líder en detección proactiva de amenazas, advierte que existen riesgos al esperar que una herramienta de IA asuma el rol de tu médico. 

“El riesgo no es solo recibir un consejo incorrecto, sino también que los usuarios compartan información personal altamente sensible con sistemas cuyas protecciones de privacidad, prácticas de intercambio de datos y obligaciones legales pueden diferir de las de un médico o un hospital, así como que sus datos queden expuestos a entidades inesperadas. El mal uso de los chatbots de IA en general es actualmente el principal riesgo tecnológico en salud, según una organization de seguridad del paciente de EE. UU”, comenta Mario Micucci, investigador de Seguridad Informática de ESET Latinoamérica.

Segú Microsoft, las personas en sus dispositivos móviles hablan sobre su salud y la de sus seres queridos más que de cualquier otro tema. Los chatbots están disponibles las 24 horas, los 7 días de la semana, con una respuesta para todo, expresada en un tono seguro que ayuda a tranquilizar a los pacientes nerviosos.

En un momento en que los sistemas nacionales de salud están cada vez más presionados, es probable que muchas personas se auto diagnostiquen con ayuda de la IA antes de decidir si deben buscar atención médica. 

Sin embargo, ya están surgiendo preocupaciones. La primera es la de las alucinaciones o el asesoramiento incorrecto. Un estudio de la Universidad de Oxford de febrero, publicado en Nature Medicine, encontró que los usuarios a menudo no sabían qué información debían compartir, que se les proporcionaban respuestas muy diferentes, incluso si las preguntas variaban solo ligeramente y que los modelos a menudo ofrecían tanto buenos como malos consejos, pero los usuarios tenían dificultades para distinguir entre ambos.

“A pesar de todo el entusiasmo, la IA simplemente no está lista para asumir el rol de médico”, advirtió la autora principal del estudio, la doctora Rebecca Payne. “Los pacientes deben ser conscientes de que preguntarle a un modelo de lenguaje sobre sus síntomas puede ser peligroso, generar diagnósticos erróneos y no reconocer cuándo se necesita ayuda urgente”.

Riesgos de privacidad

El compartir información médica sensible con un chatbot público puede implicar que esos datos se utilicen para entrenar al modelo y, por lo tanto, puedan terminar reapareciendo en respuestas a otros usuarios. Incluso de forma involuntaria, ya hubo casos de modelos que han expuesto datos introducidos por sus usuarios.

Algunos proveedores pueden utilizar los datos para mejorar sus modelos, a menos que los usuarios opten por no participar, mientras que otros hacen promesas más firmes de no usar información relacionada con la salud para el entrenamiento. En cualquier caso, todos deberían saber con qué tipo de servicio están interactuando antes de subir información sensible. Por otro lado, la mayoría de los principales chatbots centrados en salud prometen no usar estos datos para entrenamiento. Aun así, el entrenamiento es solo una parte del panorama de privacidad, y es posible que estos servicios no hagan las mismas promesas respecto al intercambio de datos con terceros. La información médica personal podría terminar en manos de un agregador de datos, un tercero que actúa como intermediario entre el proveedor del modelo y el  proveedor de salud. También podría compartirse con anunciantes, ya sea directamente o a través de estos intermediarios, aunque normalmente se anonimiza antes de su uso. Aun así, conviene actuar con cautela: los datos de salud son especialmente sensibles, y la anonimización no siempre elimina todos los riesgos.

El problema de que datos sensibles circulen por tantas organizaciones es que hay mayores probabilidades de que queden expuestos a ciberdelincuentes y estafadores. Legisladores estadounidenses afirman haber identificado pérdidas por valor de 21.000 millones de dólares vinculadas a un puñado de brechas en empresas de intermediación de datos. Los datos de salud son altamente valiosos para los delincuentes ya que mantienen su valor durante largos períodos, pueden incluir información de seguros para presentar reclamaciones fraudulentas o recibir servicios médicos a nombre de otra persona, y pueden usarse para extorsiones.

“Cuantas más empresas tengan estos datos, más oportunidades existen para que los atacantes las comprometan y los roben. El desafío es que la mayoría de las herramientas de IA para salud no están reguladas por HIPAA, ya que se consideran servicios para consumidores y no de nivel empresarial. Esto implica que los proveedores pueden no estar sujetos a las estrictas normas de protección de datos que normalmente cabría esperar”, destaca Micucci.

Para minimizar la exposición a los riesgos de la GenAI en salud, desde ESET detallan que es importante evitar los bots de uso general y optar por aquellos diseñados específicamente para responder preguntas relacionadas con la salud. Además, revisar si el servicio explica cómo gestiona los datos, si se utilizan las interacciones para entrenamiento, si se comparte información con terceros y si está cubierto por HIPAA o un régimen de privacidad equivalente en el país.

“No confíes ciegamente en los resultados, a menos que haya enlaces de citación para verificarlos. Incluso así, no tomes las respuestas como una verdad absoluta: consulta siempre con un profesional de la salud y/o con fuentes oficiales (por ejemplo, NHS, MedlinePlus)”, advierte el investigador de ESET.

Para proteger la privacidad, ESET aconseja considerar lo siguiente:

Nunca compartir o subir documentos médicos, resultados de laboratorio u otra información sensible con una herramienta de IA sin entender cómo maneja esos datos

Evitar introducir nombres, direcciones, datos de seguros, números de paciente u otros identificadores

Asegurarse de desactivar las funciones de entrenamiento y el historial de chat

Compartir solo la información mínima necesaria para la tarea

Asumir que todo lo que se escriba podría almacenarse o exponerse y ajustar sus consultas en consecuencia

“En última instancia, los chatbots de IA pueden servir para ayudarte a pensar preguntas sobre una condición específica antes de acudir al médico o para explicar un término médico que no conoces. Pero hay una gran diferencia entre usar la IA para prepararte para la atención médica y usarla como sustituto de esta. No tomes una respuesta con tono seguro como un diagnóstico, y no ignores síntomas urgentes porque una máquina haya sonado tranquilizadora”, concluye Mario Micucci, investigador de ESET.

Falsos sitios de FIFA estafan previo a la Copa del Mundo 2026

ESET, compañía líder en detección proactiva de amenazas, identificó 5 páginas apócrifas que suplantan al máximo organismo del fútbol con la excusa de ofrecer entradas y merchandising de la Copa Mundial 2026. Los estafadores buscan obtener información sensible de sus víctimas, sus datos bancarios y hasta dinero. Estos sitios apócrifos pueden aparecer patrocinados en búsquedas en Google, pero también en anuncios en redes sociales, o incluso llegar por mensajes o correos.

“Si bien informan desde FIFA (ente organizador del evento) que los boletos para todas las fases del torneo están “disponibles exclusivamente en FIFA.com/tickets”,  desde ESET encontramos cinco sitios falsos que se hacen pasar por el sitio oficial de Copa del Mundo 2026 de la FIFA”, comenta Mario Micucci, investigador de Seguridad Informática de ESET Latinoamérica. 

ESET analiza cada uno de estos sitios que imitan el sitio oficial, de manera de ayudar a identificarlos:

Sitio falso N°1: “fifa26.shop”, busca engañar a sus víctimas desde la similitud de su URL con la oficial. Utiliza la técnica llamada Typosquatting que se caracteriza por crear dominios idénticos a los legítimos, con modificaciones sutiles (cambio, omisión o adición de caracteres, o uso de números en vez de letras).

La página imita con exactitud a la de FIFA: desde su diseño, colores y disposición, a las pestañas que permiten recorrer el resto del sitio. Logra replicar el flujo de la web oficial, haciendo sentir a la víctima que la experiencia es legítima. Esto confirma que los ataques de phishing de hoy buscan copiar experiencias completas para generar confianza.

En caso de que la víctima desee avanzar con la compra de entradas o merchandising, la página falsa solicita el registro de la persona. Lo riesgoso, según ESET, es que copia al detalle a la página oficial de la FIFA, que también pide registro. Aprovecha así un elemento clave como el FIFA ID, para generar confianza: 

Este sitio apócrifo, además, se vale de la promesa de la venta de merchandising para engañar a sus víctimas. La similitud con el sitio oficial es clara, al punto que ofrece camisetas de todas las selecciones participantes y permite seleccionar cualquier producto y agregarlo al carrito de compra:

En caso de que la víctima ingrese los datos de su tarjeta, ESET advierte que no se obtendrá ninguna camiseta, sino que se entrega información confidencial al actor malicioso detrás del sitio apócrifo:

Si la víctima continua el proceso, sus datos bancarios viajarán a las manos del cibercriminal detrás del sitio falso, sin obtener ninguna entrada para la Copa Mundial.

Sitio falso N°2: “26-fifa.com”. Al igual que el ejemplo anterior, busca a través de la URL no levantar sospechas, aprovechando su similitud con la web oficial. El diseño de la web falsa en general, como las pestañas para navegar son idénticas a la web oficial de la FIFA.  

Se le pide a la víctima que se registre (que entregue sus datos personales), para después habilitar la supuesta compra de entradas y merchandising del Mundial. Al obtener el nombre completo de la víctima, su email, teléfono y contraseña, el ciberatacante puede iniciar un ataque de robo de identidad. Desde ESET alertan que dado que muchas personas reutilizan contraseñas en distintos servicios, por lo que entregar credenciales en una página falsa puede derivar en accesos indebidos a correos electrónicos, redes o plataformas bancarias.

Sitio falso N°3: “fifa*.site”, otro sitio falso que imita diseño de la web oficial de FIFA. El objetivo es claro, a través del uso de colores, tipografías y elementos visuales, busca generar una reacción automática de confianza en el usuario, especialmente en contextos donde la ansiedad por conseguir entradas puede reducir la atención a señales de alerta.

Sitio falso N°4: “fifa*.store”. En estos sitios de phishing los ciberatacantes suelen aprovechar extensiones como “.store” o “.shop” para reforzar la apariencia comercial del sitio. “A simple vista, las víctimas pueden interpretar estas URLs como legítimas, especialmente porque los dominios falsos incluyen la palabra “fifa”, un recurso frecuente en campañas de suplantación de identidad.”, agrega Miccuci de ESET.

Sitio falso N°5, “fifa*.shop”. Esta similitud de técnicas demuestra para ESET que no se tratan de casos aislados, sino de campañas organizadas. “Los actores maliciosos suelen registrar diversas variantes de una misma página para maximizar el alcance del engaño y así mantener operativa la campaña incluso si algunos dominios son dados de baja. Esta lógica del phishing es cada vez más frecuente en eventos masivos y de alta exposición mediática, como lo es la Copa Mundial de Fútbol 2026.”, refuerza el investigador de ESET.

No es novedad que los cibercriminales aprovechan la fiebre mundialista. Hasta la FIFA está al tanto de las estafas y engaños que pueden sucederse alrededor del evento de fútbol más importante del mundo. En su página web, el organismo es terminante a la hora de analizar si existe algún riesgo al comprar boletos para la Copa Mundial fuera del sitio oficial: “Sí, existen riesgos al adquirir boletos fuera del sitio oficial. La FIFA recomienda que todas las compras se realicen exclusivamente en FIFA.com/tickets”. En primer término, aclara que “los boletos adquiridos en sitios de reventa no oficiales, redes sociales o a través de terceros pueden ser falsos. Aunque parezcan legítimos, estos boletos fraudulentos se podrían rechazar en la entrada del estadio”.

ESET comparte puntos clave a tener en cuenta para no ser víctimas de estos sitios de phishing:

1 – Verificar la URL: Para todo lo referente a compras vinculadas a la Copa Mundial, se debe visitar el sitio oficial: https://fifa.com. Prestar atención frente a sitios que quieran confundir con su similitud, que agregan palabras, guiones o extensiones como “.shop”, “.store” o “.site”. Cualquier mínima diferencia es un gran indicio de estafa.

2 – No hacer clic en anuncios: Los sitios falsos suelen promocionarse a través de anuncio y patrocinio en redes sociales y apps de mensajería. El consejo es ingresar manualmente a los sitios de confianza, y no a través de links, anuncios promocionales, o compartidos por terceros.

3 - Desconfiar de ofertas “exclusivas” o “imposibles”: La urgencia, la ansiedad, la oportunidad son anzuelos que los ciberdelincuentes suelen utilizar para que sus estafas sean más efectivas. En el contexto de la Copa Mundial, lo hacen a través de frases como “cupos limitados”, “acceso VIP” o “descuentos en entradas”. La máxima es desconfiar de todo lo que parezca demasiado bueno como para ser verdad.

“Los casos encontrados son la clara muestra de una tendencia cada vez más preocupante frente a eventos masivos, los sitios falsos ya no son páginas rudimentarias, improvisadas o fáciles de detectar: hoy replican diseños, experiencias de usuario y flujos de compra completos para parecer legítimos y reducir las sospechas de las víctimas. La principal defensa sigue siendo la atención: desde verificar la URL, desconfiar de aquellas ofertas “imposibles”, hasta acceder únicamente a canales oficiales. Porque durante la fiebre mundialista, no solo hay que estar atentos a lo que pasa dentro de la cancha, sino también fuera de ella”, concluye Mario Micucci de ESET. 

Para saber más puede ingresar a WeLiveSecurity, es sitio de noticias de ESET: https://www.welivesecurity.com/es/

Ciberacoso en juegos en línea: Cómo detectarlo y combatirlo

Los videojuegos modernos no son solo juegos. Son redes sociales, chats grupales y aventuras compartidas, todo en uno. Los niños pasan su tiempo libre construyendo ciudades en Minecraft, compitiendo con amigos o formando equipo con jugadores de eSports que nunca han conocido en persona. Sin embargo, ESET, compañía líder en detección proactiva de amenazas, junto a su iniciativa Digipadres,  advierte que las mismas características que hacen que los videojuegos sean sociales y emocionantes también pueden exponer a los jugadores al ciberacoso, el hostigamiento y la manipulación. Comprender qué sucede dentro de un juego -y cómo reaccionar- ayuda a los adultos a crear un espacio más seguro para los más pequeños.

“El ciberacoso en los videojuegos rara vez comienza con un incidente dramático. Lo más frecuente es que se trate de un comportamiento repetitivo que, poco a poco, transforma una actividad positiva en una experiencia estresante”, comenta Mario Micucci, investigador de Seguridad Informática de ESET Latinoamérica. En este contexto, ESET comparte 4 señales de alerta a las que los padres, madres y tutores deben prestar atención:

 1. Insultos constantes disfrazados de “cultura de los videojuegos”: Las bromas y el intercambio de insultos son comunes en los juegos en línea. Pero cuando a un niño lo llaman repetidamente "novato", "inútil" o lo culpan de cada derrota, ya no se trata solo de simples burlas. Según los expertos en comportamiento de riesgo en línea, el acoso en los juegos a menudo refleja el ciberacoso tradicional, que incluye humillaciones repetidas, apodos ofensivos y ataques verbales dirigidos. Con el tiempo, esto puede dañar la confianza del niño y generarle ansiedad al jugar.

2. Cambios de humor después de jugar: Mirar lo que sucede después. El juego termina. ¿El niño parece tenso, enojado, inusualmente callado o molesto? ¿Pierde repentinamente el interés en un juego que antes disfrutaba? Los cambios emocionales suelen ser la primera señal visible de que algo no va bien durante el juego. No ignorar las señales de alerta y preguntarle al niño si todo está bien.

3. Solicitudes para trasladar la conversación a otro lugar: Una táctica común de los ciberacosadores es pedirle al niño que continúe chateando en Discord, WhatsApp u otra plataforma. Debido a que cuando las conversaciones se dispersan en múltiples plataformas, a los tutores les resulta más difícil supervisarlas, las herramientas de moderación y denuncia pueden no ser efectivas, y la interacción puede pasar rápidamente de temas relacionados con el juego a temas personales. En casos más graves, esto puede ser el primer paso hacia la manipulación, el acoso o incluso el abuso sexual infantil.

4. Secreto y evasión: Si un niño esconde repentinamente la pantalla cuando se ingresa a la habitación, juega solo con los auriculares puestos, se niega a hablar del juego o se pone a la defensiva cuando se le pregunta sobre videojuegos, es posible que esté experimentando interacciones negativas y que no sepa cómo manejarlas. El factor de protección más importante en este caso es construir una relación en la que se sienta seguro para decir: “Algo ha pasado en el partido. Necesito tu ayuda.”

“Para mantener a los pequeños protegidos lo importante es enseñarles cómo defenderse, ya que el objetivo no es controlar cada minuto de juego, sino brindarles a los niños las herramientas y la confianza necesarias para jugar de forma segura”, agrega Micucci de ESET.

A continuación ESET comparten algunos consejos: 

·       Hacer que los videojuegos formen parte de la conversación diaria: En lugar de preguntar solo sobre el tiempo frente a la pantalla, preguntar: ¿Con quién jugaste hoy? ¿Disfrutaste del juego? ¿Sucedió algo molesto o injusto?

·       Establecer una regla de privacidad sencilla: Los pequeños nunca deben compartir su dirección, escuela, ubicación, contraseñas ni datos de inicio de sesión. También deben tener mucho cuidado al compartir su nombre real, fotos o videos. Es necesario explicar que la mayoría de los jugadores son desconocidos, aunque parezcan amigables.

·       Animarlos a tener el control: Enseñarles a cómo silenciar el chat de voz o texto, bloquear a un jugador y denunciar comportamientos abusivos. De esta manera, sabrá qué pasos debe seguir si sufre un comportamiento desagradable por parte de alguien en un juego.

·       Guardar pruebas antes de bloquear: Si se produce acoso, animarlos a que haga capturas de pantalla o grabaciones de pantalla y guarden el historial de chat. De esta forma, se podrá denunciar al jugador o jugadores abusivos mediante las funciones del juego.

·       Ayudarlos a los niños a encontrar el entorno de juego adecuado: Jugar con amigos, hermanos o en comunidades moderadas reduce drásticamente el riesgo. Alentarlos a abandonar los grupos tóxicos; no tienen por qué tolerar el mal comportamiento para seguir jugando. Una experiencia de juego saludable no consiste en evitar los mundos en línea, sino en crear un círculo seguro dentro de ellos.

“Las soluciones modernas de ciberseguridad proporcionan una capa adicional de protección contra los peligros en línea, incluyendo herramientas para gestionar el tiempo que los niños pasan frente a la pantalla, evitar que hagan clic en enlaces de phishing y otros elementos para mantenerlos a salvo a ellos y a sus ordenadores mientras juegan. Una solución integral reúne todas las protecciones, y más, cubriendo múltiples aspectos de la seguridad en línea y, al mismo tiempo, siendo fácil de administrar a través de una única plataforma de gestión”, recomienda Mario Micucci, investigador de Seguridad Informática de ESET Latinoamérica.

Para conocer más sobre el cuidado de los niños en Internet, puede visitar Digipadres, una iniciativa impulsada por SaferKidsOnline de ESET, que busca acompañar a madres, padres y docentes con el fin de generar conciencia acerca de riesgos y amenazas en el mundo digital. Se brindan materiales para el proceso de aprendizaje, diálogo y supervisión con el objetivo de facilitar los conocimientos necesarios para ayudar a lo más pequeños en el uso de las nuevas tecnologías. Para más información sobre los peligros que enfrentan los niños en línea, visite: https://digipadres.com/

3 señales de que hackearon tu teléfono móvil

ESET, compañía líder en detección proactiva de amenazas, alerta que cuando un teléfono móvil es vulnerado, no siempre saltan carteles rojos de alarma, ni alertas para advertir a la víctima sino que los cibercriminales buscan la manera de acceder a dispositivos de manera sigilosa y silenciosa, sin dar ningún tipo de indicio.

De todas maneras, existen señales claras, que muchas veces pueden pasar desapercibidas, que dan cuenta de que un teléfono móvil fue comprometido, dejando en manos de los actores maliciosos la información personal de la víctima, el acceso a sus cuentas (mail, banco, redes sociales) y cualquier otro tipo de data sensible.

A continuación, ESET detalla las 3 señales que confirman que un teléfono fue hackeado, sin notarlo, y qué acciones se deben implementar de inmediato para mitigar el impacto:

1 – Mayor consumo de la batería: Una de las alertas más claras está vinculada a la batería, si se agota mucho más rápido, el teléfono se calienta incluso si está en reposo, o se evidencian picos de uso incluso cuando no se está utilizando es indicio de sospecha. Esto puede significar que hay procesos corriendo en segundo plano, algún tipo de malware recopilando información, aplicaciones que espían la actividad o ubicación, o un software enviando datos a los cibercriminales de manera constante.

Ante esta primera señal, desde ESET recomiendan:

Revisar el consumo de batería por cada una de las aplicaciones.

Detectar si se tienen instaladas aplicaciones desconocidas o con nombres genéricos.

Verificar que aplicaciones tienen permisos excesivos (micrófono, cámara, ubicación).

2 – El teléfono realiza acciones por sí solo: Este punto es crítico, ya que representa una de las señales más claras de compromiso. Se puede identificar en aplicaciones que se abren o cierran solas, al encontrar correos o mensajes enviados que no se reconocen, se reciben códigos de verificación que no fueron solicitados, se evidencian cambios en configuraciones como idioma, seguridad o permisos, y existen sesiones activas en apps no identificadas. Esto podría indicar que un cibercriminal tiene acceso al dispositivo y por ello, puede estar controlándolo de forma remota y/o intentando acceder a las cuentas.

Ante este escenario, es importante según ESET:

Cambiar contraseñas inmediatamente (empezando por un correo electrónico).

Cerrar las sesiones activas en las cuentas.

Activar el doble factor de autenticación.

3 - Consumo inusual de datos: Si bien esta señal suele ser ignorada, puede ser una de las más reveladoras de que un dispositivo fue vulnerado porque si un teléfono está comprometido, el tráfico de datos suele ser el gran indicador de que algo está funcionando en segundo plano sin control. Esto se notas en un aumento repentino en el consumo de datos sin que haya habido cambios en el uso, actividad en horarios donde no se utiliza el teléfono, aplicaciones que consumen datos sin que se las abra, o picos de consumo incluso estando conectado a Wi-Fi. Estas situaciones se pueden deber a que el teléfono está enviando información a servidores externos, comunicándose con un ciberatacante, y/o ejecutando procesos que requieren conexión constante.

Esta situación para ESET requiere acciones concretas, como por ejemplo:

Desinstalar toda aplicación que no se conozca o sea sospechosa.

Limitar qué apps pueden usar internet sin que se las estés utilizando.

Ejecutar un escaneo de seguridad, con el fin de eliminar lo que la herramienta marque como peligroso.

En este último y a nivel general desde ESET destacan contar con una solución de seguridad confiable ya que pueden detectar comportamientos sospechosos, hasta analizar aplicaciones en busca de amenazas y bloquear actividad maliciosa en tiempo real. 

“En la actualidad, los teléfonos concentran gran parte de nuestra vida digital, y los ciberatacantes lo saben. Gracias a sus técnicas cada vez más sofisticadas, buscan pasar desapercibido y realizar sus acciones maliciosas en silencio, sin ser detectados. Pero siempre hay señales, por sutiles que sean, que nos permiten reconocer que algo malo está pasando. Entonces, desarrollar una mirada más atenta sobre el comportamiento del propio dispositivo puede ser clave para reconocer si fue vulnerado. Detectar a tiempo estos comportamientos anómalos en el teléfono permite actuar antes de que el impacto sea mayor, limitar el acceso de terceros y proteger tanto la información personal como todas las cuentas asociadas”, comentó Martina López, investigadora de Seguridad Informática de ESET Latinoamérica.

Para saber más ESET puede ingresar a: https://www.eset.com/latam/blog/cultura-y-seguridad-digital/3-senales-hackearon-no-te-diste-cuenta/

Doble engaño: la peligrosa estafa que persigue a quienes ya fueron víctimas de un fraude

ESET, compañía líder en detección proactiva de amenazas, analiza las estafas de recuperación de fondos -recovery scams-, un fraude de recuperación de fondos que funciona como un paraguas de varias tácticas depredadoras, todas orientadas al mismo objetivo: un segundo golpe. Además, advierte que si se dedica un momento para entender cómo funcionan, se tendrá una buena probabilidad de mantenerse a salvo en caso de que haya un contacto.

“A los estafadores solo les importa hacer dinero y aprovechan cada oportunidad para conseguirlo. Si se cayó en un fraude, no se debe bajar la guardia ya que no dudan en revictimizarlas ni en explotar la desesperación por recuperar los fondos robados”, advierte Martina López, investigadora de Seguridad Informática de ESET Latinoamérica. 

Estos engaños comienzan cuando los estafadores compran a otros criminales las listas de víctimas que ya han caído en un fraude, o apuntan directamente a víctimas de fraudes que ellos mismos cometieron. Una vez identificadas, las contactan y se hacen pasar por proveedores de servicios de recuperación, agencias de protección al consumidor, funcionarios gubernamentales, fuerzas del orden, reguladores, etc. 

Cuando intercambian información sobre el caso, prometen intentar recuperar los fondos a cambio de un pago adelantado, o también pueden afirmar que ya tienen el dinero y que lo están redistribuyendo a clientes afectados. Otra alternativa es que mencionen que solo necesitan completar papeleo para liberar un reembolso supuestamente gestionado por una agencia o entidad gubernamental.

“Esto es básicamente una forma de estafa de pago por adelantado (advance fee scam), que en los Estados Unidos durante 2024 hubo más de 7.000 reportes que generaron más de 102 millones de dólares en pérdidas. Incluso así, probablemente estos números representan solo la punta del iceberg”, agrega López.

ESET muestra que hay señales de alerta para evitar un recovery scam:

Afirmaciones exageradas: dicen que ya tienen fondos o que “garantizan” recuperarlos.

Contacto no solicitado: llegan sin que se los busque, por email, redes sociales, SMS o llamada.

Pago por adelantado: piden un cargo inicial, quizá llamado retainer fee, processing fee, administrative charge o incluso un cobro relacionado con impuestos.

Ingeniería social: presionan para que se tomen decisiones apresuradas.

Suplantación: afirman ser de un organismo oficial, un banco o un equipo de fraude.

Medios de pago no rastreables: solicitan crypto, gift cards o apps de pago difíciles de revertir.

Correos poco profesionales: usan cuentas de Gmail u otros webmails en lugar de direcciones corporativas legítimas.

Para evitar volver a ser víctima, desde ESET comparten algunas recomendaciones para tener en cuenta: nunca pagar tarifas por adelantado a quien hizo un contacto de la nada; verificar siempre la identidad de la persona que te contacte buscando sus datos en sitios oficiales; y evitar publicar en línea historias sobre cómo se fue estafado, ya que los delincuentes monitorean la web en busca de víctimas para volver a atacar.

En caso de haber sido víctima de una estafa de recupero de fondos, según ESET, las opciones son limitadas. Aconsejan el reportar el incidente a la autoridad oficial que corresponda a cada país. Esto ayuda a las autoridades a mapear el panorama del fraude y proteger a futuras víctimas. Si se pagó a través del banco, notificarles lo antes posible. Monitorear las cuentas y congelar tarjetas afectadas. Si se entregó información personal, cambiar contraseñas, activar MFA y prepararse para recibir phishing más convincente en el futuro.

Para saber más ESET puede ingresar a: https://www.welivesecurity.com/es/estafas-enganos/recovery-scam-estafas-recuperacion-deudas/