¿La cámara de tu teléfono te está vigilando? Señales de alerta y cómo proteger tu privacidad.

¿Cuántas veces miraste la cámara de tu teléfono y te preguntaste si alguien podría estar utilizándola para observarte? Desde ESET, compañía líder en detección proactiva de amenazas, advierten que no necesariamente se trata de paranoia ya que existen herramientas de acceso remoto, como el spyware, que pueden permitir a los ciberdelincuentes espiar, además de «reflejar» o visualizar la pantalla de un dispositivo y todo lo que aparece en ella. Sin embargo, conocer las señales de alerta y seguir algunas buenas prácticas puede ayudar a mantener alejados a los intrusos.

ESET comparte algunos indicadores que pueden revelar que un dispositivo está infectado: 

Comportamiento inesperado de la cámara: Que la cámara se active por sí sola, aunque algunos tipos de spyware desactivan el punto verde que indica que la cámara está en uso para ocultar su actividad, vale la pena comprobarlo. También puede pasar que no se pueda acceder a la cámara. Si otra aplicación está utilizando la cámara, es posible que se reciba un mensaje indicando que está intentando acceder a esta función.

Fotos o videos desconocidos: Si se encuentran fotos o videos almacenados en la galería que no se recuerda haber tomado o grabado, podría ser una señal de alerta de que alguien tomó el control de la cámara.

Consumo de batería y sobrecalentamiento: El spyware instalado de forma encubierta en el dispositivo puede consumir más energía de lo normal, incluso cuando no se está utilizando el teléfono. Prestar atención al consumo de batería y a un posible sobrecalentamiento del dispositivo.

Uso inusual de datos: Por lo general, los ciberdelincuentes que acceden de forma remota a un dispositivo querrán obtener las imágenes que hayan capturado con la cámara. Para hacerlo, necesitarán enviar esos datos a través de Internet y eso aumentará el consumo de datos.

Problemas de rendimiento: El malware, como el spyware, no solo puede agotar la batería del dispositivo, sino también consumir recursos del sistema. Esto puede provocar que las aplicaciones se cierren inesperadamente o que el rendimiento se vuelva más lento. En algunos casos extremos, el dispositivo puede dejar de responder.

Comportamiento inesperado del dispositivo: Otro indicador de la presencia de spyware es que el teléfono se reinicie inesperadamente o que la pantalla se encienda sin un motivo aparente. Alguien podría estar provocando estas acciones de forma remota.

Aplicaciones nuevas y desconocidas: El malware diseñado para espiar puede instalarse en el dispositivo como una aplicación que parece legítima. 

Para proteger la cámara del espionaje desde ESET comparten algunos pasos sencillos que pueden evitar problemas de seguridad y privacidad. Además, estos consejos también son útiles para prevenir el reflejo de la pantalla del teléfono:

Revisar periódicamente los permisos de las aplicaciones: Las aplicaciones que parecen solicitar permisos excesivos podrían contener malware. Por eso, vale la pena revisarlos de vez en cuando y revocar los permisos de aquellas aplicaciones que no necesiten acceso a la cámara o al micrófono para funcionar correctamente.

Instalar un software de seguridad confiable: Descargar una solución antimalware de un proveedor externo de confianza para detectar y eliminar spyware.

Mantener el dispositivo actualizado: Se recomienda actualizar periódicamente el sistema operativo del dispositivo y todas las aplicaciones instaladas para asegurarse de utilizar siempre las versiones más recientes y seguras.

Evitar las descargas de fuentes no confiables: En Europa, Apple está obligada a permitir la disponibilidad de aplicaciones de iOS en tiendas de terceros. Sin embargo, lo más recomendable es descargar aplicaciones únicamente desde las tiendas oficiales (Apple App Store y Google Play). Esto reduce las posibilidades de descargar una aplicación que parezca legítima, pero que contenga spyware.

Evitar hacer jailbreak o rootear el dispositivo: Hacerlo puede deshabilitar medidas de seguridad importantes (en el caso del iPhone), limitar las actualizaciones automáticas y exponerte a aplicaciones maliciosas disponibles en tiendas de aplicaciones de terceros.

Utilizar métodos de autenticación seguros: Asegurarse de proteger el dispositivo mediante un PIN seguro y autenticación biométrica (por ejemplo, Face ID). Proteger también las aplicaciones frente a accesos de terceros utilizando contraseñas únicas y seguras, almacenadas en un gestor de contraseñas. Reforzar aún más la seguridad de inicio de sesión activando la autenticación biométrica. De esta forma, aunque alguien pueda ver las contraseñas, no podrá acceder a las aplicaciones y cuentas.

Cubrir la cámara cuando no se esté utilizando: Si se quiere extremar las precauciones, se puede colocar una pegatina sobre la cámara para cubrir el lente cuando no se la esté utilizando.

Tener cuidado con las redes Wi-Fi públicas: Las redes Wi-Fi públicas suelen ser frecuentadas por ciberdelincuentes. Si los datos que circulan por estas redes no están cifrados, podrían espiar la navegación e incluso redirigir a sitios maliciosos que instalen spyware. También se podría conectar accidentalmente a un punto de acceso falso controlado por ciberdelincuentes, lo que permitiría hacer lo mismo.

Mantenerse alerta ante las amenazas de phishing: El phishing es uno de los principales vectores de infección de malware y spyware. Por eso, prestar atención a las señales de alerta: correos electrónicos no solicitados que parecen provenir de empresas o autoridades de confianza y que instan a hacer clic en un enlace o abrir un archivo adjunto. A menudo, intentan forzar a sus víctimas a tomar decisiones rápidas generando una sensación de urgencia. No ceder ante la presión.

En caso de sospechar que alguien ya accedió a la cámara sin autorización y si no se ha podido implementar medidas preventivas a tiempo, o estas no han funcionado, desde ESET aconsejan seguir estos pasos:

Ejecutar un análisis de malware con una aplicación de seguridad confiable para detectar y eliminar posibles amenazas.

Revisar y desinstalar cualquier aplicación sospechosa o instalada recientemente.

Revisar los permisos de las aplicaciones y revocar cualquier acceso a la cámara que aparezca como necesario, pero que no tenga una justificación clara.

Actualizar todo el software y el sistema operativo para asegurarse de utilizar las versiones más recientes y seguras, dificultando así la acción de posibles amenazas presentes en el dispositivo.

Supervisar de cerca el comportamiento del dispositivo y prestar atención a las señales de alerta mencionadas anteriormente.

Si los problemas persisten, puede ser necesario realizar un restablecimiento de fábrica o restaurar el dispositivo desde una copia de seguridad.

“Las amenazas para los smartphones pueden provenir de diferentes lugares. Puede que un ciberdelincuente busque obtener información para venderla en la dark web, o que alguien que está al acecho quiera acceder a las imágenes y videos capturados por la cámara. Incluso podría tratarse de una vigilancia invasiva por parte de organismos gubernamentales o policiales. Pero, independientemente del origen de la amenaza, mantenerse alerta es fundamental”, menciona Mario Micucci, investigador de seguridad informática de ESET Latinoamérica.

Para saber más sobre ESET ingrese a: https://www.eset.com/latam/blog/cultura-y-seguridad-digital/la-camara-telefono-vigilando-senales-alerta-proteger-privacidad/

Robux gratis: cómo identificar ofertas falsas y proteger tu cuenta.

Quienes disfrutan del popular juego Roblox, es probable que alguna vez hayan sentido la tentación de buscar una forma de conseguir Robux gratis. Esta moneda virtual (Robux) que puede abrir la puerta a una gran variedad de experiencias dentro de la plataforma. Los jugadores más jóvenes, en particular, pueden querer más Robux debido a una combinación de FOMO (miedo a perderse algo) y el deseo de mejorar su estatus en línea. Desde ESET, compañía líder en detección proactiva de amenazas, advierten la importancia en diferenciar entre "gratis" y "ganado" cuando se trata de obtener Robux, para saber diferenciar qué ofertas son legítimas y cómo evitar estafas.

Existen programas oficiales de Roblox o de socios de confianza como Microsoft que permiten realizar tareas y/o responder preguntas para obtener una tarjeta de regalo de Roblox. Además, Roblox ofrece un 25 % más de Robux cuando los usuarios compran moneda virtual legítimamente a través de la web, computadoras o tarjetas de regalo. También existen formas de monetizar contenido dentro de Roblox. Por ejemplo, mediante suscripciones, cobro de tarifas de acceso, venta de artículos o habilidades que otros usuarios de Roblox pueden comprar, oferta de servidores privados o comercialización de modelos y complementos para otros creadores en la Creator Store. Incluso es posible vender artículos para avatares en el Marketplace y obtener una parte de las ganancias.

Sin embargo, estas son oportunidades para ganar Robux, y pueden ser más difíciles de alcanzar de lo que parecen. En otras palabras, realmente no se obtiene nada gratis. 

“Roblox lo deja muy claro: "No existe nada como Robux gratis, ofertas de suscripción gratuitas, trucos o códigos". Lo que sí existe, lamentablemente, son numerosos estafadores que buscan engañarte para obtener tu información personal y los datos de acceso a tu cuenta prometiendo Robux gratis”, afirma Mario Micucci, investigador de seguridad informática de ESET Latinoamérica. 

Desde ESET sostienen que existen tantas variantes de estas estafas como formas legítimas de ganar Robux. Estas son algunas de las más comunes:

Generadores de Robux "gratis" que solicitan el nombre de usuario de Roblox y, en algunos casos, solicitan completar encuestas o instalar software. Como es de esperar, los delincuentes solo quieren el nombre de usuario para intentar secuestrar la cuenta. Las encuestas suelen estar diseñadas para recopilar información personal sin que el usuario se dé cuenta, y el software puede incluir código malicioso. Roblox es una plataforma popular entre los ciberdelincuentes para distribuir malware.

Páginas de phishing a las que se llega después de hacer clic en un enlace incluido en un correo electrónico, mensaje no solicitado o anuncio malicioso. Estas páginas imitan el sitio oficial de Roblox para robar las credenciales.

Sorteos falsos en redes sociales, como YouTube, TikTok o Discord. El administrador afirma estar regalando miles de Robux gratuitamente, pero el enlace proporcionado es malicioso.

Ofertas por tiempo limitado, que pueden llegar mediante correos electrónicos de phishing o publicaciones y anuncios en redes sociales. El objetivo es generar una sensación de urgencia para llevarte a tomar una mala decisión, como hacer clic en un enlace o compartir información personal a cambio de unos supuestos "Robux gratis" que en realidad no existen.

Tarjetas de regalo falsas, otra oportunidad para que los estafadores obtengan lo que buscan. Pueden ofrecer intercambiar información personal, credenciales de acceso o incluso dinero por un código de tarjeta de regalo que en realidad no existe.

“Cualquier sitio que solicite credenciales de acceso o una supuesta "verificación humana" fuera del sitio oficial de Roblox es una estafa, a menos que puedas verificar de forma independiente que se trata de una página oficial de Roblox o de un socio autorizado”, alerta el investigador de ESET.

Desde ESET advierten que las promociones legítimas nunca solicitarán la contraseña ni el código de autenticación en dos pasos (2FA). Tampoco utilizarán ofertas por tiempo limitado o promesas demasiado buenas para ser verdad para llamar la atención. Tampoco advertirán que se podrían perder los Robux si no se actúa rápidamente. Y jamás pedirán descargar un supuesto "generador de Robux".

“Desconfía de cualquier oferta especial relacionada con Robux. Nunca compartas tus credenciales de acceso ni tu información personal con otros usuarios. Además, evita hacer clic en enlaces sospechosos o introducir tus contraseñas en páginas que no pertenezcan a Roblox”, aconseja Micucci.

Si eres padre, madre o tutor y te preocupa que tu hijo pueda caer en este tipo de engaños, es importante dedicar un momento a conversar sobre estas inquietudes. El objetivo principal es enseñar buenos hábitos de seguridad digital, como no compartir contraseñas ni hacer clic en enlaces sospechosos. Además, también es importante ayudarles a comprender que los "Robux gratis" no existen y que esta moneda virtual tiene un costo real.

Desde ESET sostienen que es importante que los más chicos se sientan cómodos para acudir a los adultos frente a un problema, sin importar lo que haya sucedido. Esto solo se logra explicando con calma por qué no pueden acceder libremente a la tarjeta de crédito y por qué pueden usar la plataforma únicamente de forma responsable.

Si crees que un niño o adolescente ya fue víctima de una estafa, desde ESET recomiendan cambiar las credenciales de acceso de la cuenta (y cualquier otra credencial compartida), activar la autenticación en dos pasos (2FA) y verificar que el correo electrónico de recuperación no haya sido modificado. Revisar los métodos de pago vinculados para detectar actividad sospechosa y considerar comunicarse con el banco o congelar la tarjeta. Si hay preocupación por la presencia de malware, es importante realizar un análisis del dispositivo con una solución de seguridad confiable. Sobre todo, no culpabilizar al menor, sino escucharlo, tranquilizarlo y ayudarlo a seguir estos pasos.

Para saber sobre ESET y este hallazgo más ingrese a: https://www.welivesecurity.com/es/seguridad-menores/robux-gratis-estafas-roblox/

Fuiste víctima de un deepfake: ¿qué se debe hacer?

Abordar el problema de los deepfakes se ha convertido en una causa común a lo largo de todo el espectro político alrededor del mundo. Esto se debe, en parte, a que estos videos e imágenes fabricados son cada vez más comunes y realistas gracias a las herramientas de IA generativa (GenAI), es extremadamente rápido, barato y fácil crear contenido falso que suplante a una persona real. ESET, compañía líder en detección proactiva de amenazas, destaca que aunque algunos se comparten como una broma, los deepfakes también tienen un lado oscuro, ya que los estafadores utilizan esta tecnología en estafas y extorsiones para hostigar, humillar y maltratar a sus víctimas. 

Recientemente entró en vigor en Estados Unidos la ley TAKE IT DOWN Act que penaliza la distribución de imágenes íntimas no consensuadas (NCII, por sus siglas en inglés), y exige que las plataformas en línea proporcionen mecanismos claros de denuncia y eliminen las imágenes reportadas legítimamente en un plazo de 48 horas. En el Reino Unido, la Data Act y la Online Safety Act convierten en delito la creación de este tipo de contenido. Las autoridades también han impuesto un plazo obligatorio de 48 horas para su eliminación. La Ley de IA de la Unión Europea (EU AI Act) introducirá próximamente una prohibición de los sistemas diseñados específicamente para crear imágenes íntimas no consensuadas. 

Las acciones de las personas siguen reguladas por las leyes de cada Estado miembro. No obstante, si la imagen corresponde a un menor de edad, es ilegal en la mayoría, si no en todas, las jurisdicciones. A su vez, fuera del ámbito de las imágenes íntimas no consensuadas, dependerá del propósito para el cual se creó el deepfake. Si se distribuyó sin consentimiento y/o se utilizó con fines maliciosos como fraude, chantaje, difamación, acoso o suplantación de identidad, podría ser ilegal.

Si alguien creó un deepfake tuyo que no califica como imagen íntima no consensuada, el primer consejo que comparten desde ESET es guardar las pruebas. Esto significa hacer capturas de pantalla de la página o cuenta, guardar la URL y anotar la cuenta o nombre de usuario, la fecha y hora en que lo encontraste y cualquier texto que acompañe la publicación. También es recomendable no interactuar con la persona que publicó el contenido, ya que podría difundir el contenido aún más.

La mayoría de las plataformas en línea y redes sociales ya cuentan con mecanismos para denunciar deepfakes, pero rara vez existe un botón específico para ello. Por lo general, se tendrá que identificar la infracción que el deepfake facilita (por ejemplo, acoso o fraude) y explicarla.

Google: Probar la herramienta "eliminar información personal" (o esta alternativa) y el formulario de solicitud legal de eliminación para retirar contenido que no sea NCII de los resultados de búsqueda. Esto hará más difícil que las personas encuentren el deepfake. Tener en cuenta que esto no eliminará el contenido original.

Facebook: Abrir la publicación o el video. Seleccionar ⋯ → Reportar publicación/video. Elegir la categoría que mejor describa el problema, por ejemplo, suplantación de identidad o acoso. Explicar que el contenido fue generado con IA y aclarar por qué es engañoso o perjudicial.

Instagram: Hacer clic en las dos líneas de la esquina superior derecha, seleccionar Reportar y elegir el motivo más adecuado.

TikTok: En el video, seleccionar Compartir → Reportar → Información falsa → Deepfakes, medios sintéticos y medios manipulados → Enviar.

YouTube: Si alguien utiliza IA para crear o modificar contenido que parece o suena como tú, puedes solicitar su eliminación mediante el Proceso de reclamación de privacidad para contenido alterado o sintético.

X: Denuncia la publicación específica. Toca los tres puntos horizontales. Reportar publicación → sigue el proceso de denuncia. Explicar que el contenido fue generado con IA y por qué representa un problema.

Las imágenes íntimas no consensuadas exigen una respuesta rápida y una buena primera opción es StopNCII.org, un recurso administrado por la Revenge Porn Helpline, que forma parte de la organización benéfica internacional SWGfL. Se selecciona la imagen o video ofensivo y StopNCII.org creará una huella digital (hash) del contenido en el dispositivo. Si el reporte es exitoso, se recibirá un número de caso. Y, lo más importante, las plataformas participantes buscarán la misma huella digital y eliminarán cualquier imagen coincidente de sus sistemas si infringe sus políticas. Entre los socios participantes se encuentran Meta, TikTok, Reddit y X. También se querrá eliminar el deepfake de los resultados de Google para que sea más difícil encontrarlo. TakeItDown.NCMEC.org opera un sistema similar para imágenes o videos de menores de 18 años.

Google puede haber eliminado de su índice el deepfake, pero el contenido podría seguir disponible en el sitio web donde está alojado. Si un sitio web no quiere eliminar una fotografía , el primer paso es contactar al editor o responsable del sitio para solicitar su eliminación. Pero si se niega, sigue estos pasos:

Conservar las pruebas, incluidas capturas de pantalla, URL, fecha y hora en que fue encontrado por primera vez, la respuesta del sitio a la solicitud y la cuenta o usuario que lo subió.

Buscar el contacto legal, de privacidad o derechos de autor del sitio web y enviarle una comunicación indicando que la imagen o video te representa y está siendo publicado sin consentimiento. Solicitar su eliminación con base en la política correspondiente del sitio o en la legislación local, y pedir una confirmación por escrito cuando se haya realizado.

En el Reino Unido o la UE, se puedes hacer lo anterior citando el derecho de supresión del Artículo 17 del RGPD. Si aun así se niegan o no toman medidas, se puede escalar el caso ante la autoridad local de protección de datos.

“La clave al interactuar con sitios web, plataformas sociales, motores de búsqueda o reguladores no es simplemente afirmar que el contenido fue generado con IA, sino especificar exactamente por qué es problemático (por ejemplo, fraude, acoso, suplantación de identidad, etc.). Sé persistente y considera contactar simultáneamente al motor de búsqueda, la red social o sitio web y al regulador para ahorrar tiempo”, recomienda Mario Micucci, investigador de seguridad informática de ESET Latinoamérica. 

Para saber sobre ESET más ingrese a: https://www.welivesecurity.com/es/seguridad-digital/victima-deepfake-que-debo-hacer/

De las redes sociales al fraude: cómo la IA ayuda a los estafadores.

La velocidad a la que evoluciona la inteligencia artificial implica que actividades que antes requerían varias horas o incluso días de trabajo de un ciberdelincuente experimentado ahora pueden realizarse en una fracción de ese tiempo por alguien con pocos o ningún conocimiento previo. ESET, compañía líder en detección proactiva de amenazas, asegura que esto reduce la barrera de entrada para los ciberdelincuentes y que esto se observa en la explotación de vulnerabilidades, en la generación básica de malware y en las tareas de reconocimiento de víctimas.

“Esta modificación debería poner en alerta incluso a los usuarios habituales de internet. Si los ataques se vuelven más baratos y fáciles de ejecutar para los estafadores, cualquiera podría convertirse en un objetivo”, comenta Mario Micucci, investigador de seguridad informática de ESET Latinoamérica.

Antes de la aparición de la IA, un adversario debía invertir tiempo en identificar las cuentas públicas de sus objetivos, sus intereses, amistades, familiares y colegas. También podía necesitar herramientas especializadas o revisar innumerables sitios web, perfiles y publicaciones, correlacionando y verificando información, estableciendo relaciones entre individuos y determinando qué elementos podrían utilizarse en un ataque. La recopilación de inteligencia de fuentes abiertas (OSINT, por sus siglas en inglés) solía ser una práctica reservada para objetivos de alto perfil y potencialmente de alto valor, ya que requería habilidades especializadas y mucho tiempo. 

Las herramientas de IA pueden localizar contenido disponible públicamente en toda la web, vincularlo con posibles víctimas y mapear las relaciones entre estas y otras personas. Lo que las hace especialmente eficaces para encontrar información no estructurada, en particular imágenes y videos. Esta realidad resulta preocupante ya que los estafadores pueden recopilar fácilmente información pública sobre una persona para hacer más convincentes las campañas de ingeniería social y escalar sus fraudes. Por ejemplo:

Un correo electrónico de phishing diseñado para engañar a la víctima y hacer que comparta sus credenciales o haga clic en un enlace que instale malware sin darse cuenta. Este mensaje sería mucho más convincente si incluyera datos personales como el lugar de trabajo, la escuela de un hijo, un evento reciente al que asistió la víctima, como un cumpleaños o unas vacaciones recientes. Toda esa información puede encontrarse en el dominio público y recopilarse fácilmente a gran escala.

Un video o una llamada telefónica que suplante la voz o la imagen de una persona podría utilizarse para convencer a un familiar o ser querido de que esta se encuentra en peligro. Los ciberdelincuentes pueden emplear deepfakes para solicitar dinero utilizando la “voz” de la víctima o para simular un secuestro y exigir el pago de un rescate para garantizar su seguridad. Incluso utilizar un deepfake para crear un video de carácter obsceno y amenazar con compartirlo no se les paga. En el Reino Unido, cientos de menores de 18 años reportaron haber sido víctimas de este delito.

“Los modelos de lenguaje de gran escala (LLM) son eficaces para reunir el tipo de información que los estafadores necesitan para que sus fraudes funcionen. Pueden perfilar grandes cantidades de posibles víctimas en poco tiempo, recopilando imágenes, videos e información personal, de trabajo, familiares y amigos que puede utilizarse con fines maliciosos. La IA también puede ayudar a diseñar los guiones de ingeniería social, permitiéndoles sonar convincentes a través del correo electrónico, las redes sociales u otros canales, incluso cuando no son hablantes nativos del idioma”, aclara Micucci.

Una vez que la información personal se encuentra en el dominio público, resulta difícil solicitar su eliminación, especialmente porque es posible que haya sido republicada en otros lugares. Las fotografías antiguas en redes sociales suelen ser más fáciles de eliminar, pero pocas personas tienen el tiempo necesario para revisar toda su vida digital en busca de información potencialmente útil para los ciberdelincuentes.

Por ello, ESET recomienda centrarse en aquello que sí está al alcance de cada usuario y comparte las siguientes recomendaciones:

Asegurarse de que los perfiles en redes sociales no sean accesibles públicamente, para limitar la capacidad de la IA de encontrar información, imágenes o videos contenidos en ellos.

Ser cuidadoso con la información que se comparte en redes sociales. Datos como fechas de nacimiento, a qué escuela asisten los hijos, vacaciones y eventos similares deberían mantenerse en privado.

Tener presente que las fotografías pueden contener información que permita identificar direcciones, datos de vehículos u otros detalles sensibles.

Evitar publicar contenido que pueda utilizarse para vincular la vida personal con la vida profesional.

Utilizar autenticación multifactor (MFA) y contraseñas robustas y únicas para añadir una capa adicional de seguridad a las cuentas.

No aceptar solicitudes de amistad o seguimiento de personas que no se conoce. Si se tienen dudas o curiosidad, contactar primero a esa persona a través de otro canal independiente.

“La IA está mejorando muchos aspectos de nuestras vidas. Sin embargo, también trae consigo riesgos de los que apenas estamos comenzando a tomar conciencia. La cautela sigue siendo la mejor estrategia. Conviene actuar bajo la premisa de que cualquier cosa que publiques podría ser leída y procesada por sistemas de IA. Actúa en consecuencia y anima también a familiares y amigos a hacer lo mismo”, concluye Micucci de ESET Latinoamérica. 

Para saber sobre ESET más ingrese a: https://www.welivesecurity.com/es/privacidad/ia-fraudes-recopilacion-informacion-victimas/

Los códigos QR también son blanco de los ciberdelincuentes

Cuanto más familiar resulta algo, más probable es que se deje de cuestionarlo. En ciberseguridad, esa complacencia puede ser especialmente peligrosa. Es el caso de los códigos QR, que se han vuelto algo habitual en menús, postes de alumbrado y parquímetros, y también en correos electrónicos durante los últimos años. En este sentido, ESET, compañía líder en detección proactiva de amenazas, advierte sobre el crecimiento del quishing (phishing basado en códigos QR) y como representa una forma de ocultar enlaces maliciosos, evadir algunos filtros de seguridad corporativos tradicionales y  los riesgos de que la interacción pase de una computadora corporativa a un teléfono personal con menos controles de seguridad. 

Un código QR es un código de barras bidimensional, abreviatura de Quick Response (respuesta rápida), capaz de codificar URL, datos de pago, información de contacto y otros datos, permitiendo a los usuarios acceder rápidamente a un sitio web, una aplicación u otro recurso digital. Según ESET, estos resultan atractivos para los actores de amenazas debido a uso habitual y generalizado, a que se integran fácilmente en las campañas de phishing: basta con reemplazar ese enlace o archivo adjunto malicioso por un código QR, y a que pueden generarse en segundos. 

Una de las principales ventajas para el atacante es la capacidad de ocultar el destino del enlace. El destino está codificado en un patrón visual y no se muestra como texto legible, lo que esconde las URL maliciosas y evita que algunos filtros tradicionales de correo electrónico puedan extraerlas e inspeccionarlas. En ocasiones se ocultan aún más al incrustarlas en archivos adjuntos PDF o JPEG. Esto aumenta las probabilidades de que lleguen a las bandejas de entrada de sus empleados. Y cuando lo hacen, el personal puede tener dificultades para distinguir un mensaje legítimo de uno malicioso. Normalmente hay poco texto para analizar en busca de errores ortográficos o gramaticales. Y como el enlace está codificado en un patrón visual, resulta invisible para el ojo humano.

"Los códigos QR se volvieron un elemento habitual en nuestra rutina diaria, lo que genera una falsa sensación de confianza. El cibercrimen aprovecha que el usuario no puede verificar visualmente la URL completa antes de avanzar hacia el sitio web. Lo más importante es que un solo escaneo sin precaución puede generar un acceso no autorizado a un entorno corporativo relativamente bien protegido a un dispositivo móvil potencialmente no gestionado, eludiendo así los controles de seguridad corporativos", menciona Mario Micucci, investigador de seguridad informática de ESET Latinoamérica.

Según el ESET Threat Report H1 2026, los códigos QR maliciosos estaban presentes en el 11% de todos los correos electrónicos de phishing detectados durante la primera mitad de 2026. “ESET rastrea los correos electrónicos de quishing bajo el nombre de detección QRCode/Phishing. Esta detección está diseñada para identificar códigos QR en la gran mayoría de los tipos de archivo y decodificar las URL que contienen. Las URL extraídas son analizadas mediante los motores antiphishing, antimalware y antispam de ESET; cualquier URL dañina es bloqueada y los correos electrónicos asociados son marcados o eliminados”, señala el informe.

Para reducir significativamente el riesgo de phishing con códigos QR en una organización, es necesario alcanzar una combinación equilibrada de capacitación, procesos y tecnología. Desde ESET comparten los puntos clave para tener en cuenta:

Comenzar por las personas: Incluir el quishing en los programas de concientización sobre seguridad y en los ejercicios de simulación. Promover que los empleados eviten escanear códigos QR presentes en correos electrónicos no solicitados y que reporten cualquier mensaje sospechoso. Si creen que el mensaje proviene de una fuente confiable, deben verificarlo directamente con el remitente utilizando datos de contacto obtenidos por una vía distinta al correo recibido.

Considerar los controles técnicos, incluida una solución de seguridad de correo electrónico de un proveedor confiable:  Para minimizar el riesgo de que los mensajes de quishing lleguen a las bandejas de entrada, incorporar también una solución de seguridad móvil en los dispositivos de los empleados para bloquear el acceso a sitios maliciosos y otras amenazas. Asimismo, exigir autenticación multifactor resistente al phishing (phishing-resistant MFA) para todas las cuentas sensibles, de modo que, incluso si los usuarios son engañados, los adversarios no puedan obtener acceso a los sistemas corporativos. Las herramientas de administración de dispositivos móviles (MDM) pueden ayudar a garantizar que todos los dispositivos estén protegidos de acuerdo con las políticas de la empresa.

Reducir la superficie de ataque: aplicar el principio de mínimo privilegio y el acceso just in time. Mantener actualizados todos los sistemas operativos móviles y el software corporativo, incluidas las herramientas de seguridad. Además, realizar una supervisión continua para detectar actividades sospechosas y poner a prueba los planes de respuesta a incidentes para estar preparados ante el peor escenario.

“Los códigos QR han pasado de ser una novedad a convertirse en una herramienta habitual en los entornos corporativos. Y lo mismo ha sucedido con el quishing. La familiaridad no tiene por qué generar complacencia. Así como los empleados se han acostumbrado a desconfiar del phishing tradicional por correo electrónico y SMS, también pueden ser capacitados para identificar las señales de advertencia de un posible intento de quishing. Cuando se combina con capacitación y concientización, la familiaridad también puede contribuir a fortalecer la seguridad”, concluye Micucci de ESET.

Para saber más ESET puede ingresar a: https://www.welivesecurity.com/es/seguridad-corporativa/quishing-codigos-qr-seguridad-corporativa/ 

Inteligencia artificial en las empresas: de la prohibición a la implementación de políticas de uso

Años atrás, las políticas de seguridad corporativas solían centrarse en los mismos temas: credenciales de acceso, contraseñas, uso de dispositivos USB, accesos remotos, clasificación de la información, phishing y ransomware. Hoy, cada vez más organizaciones incorporan políticas específicas para el uso de IA. Ante este escenario, ESET, compañía líder en detección proactiva de amenazas, analiza de qué manera las empresas están incorporando nuevas políticas que apuntan al uso de herramientas de inteligencia artificial, cuál es el desafío para aquellas organizaciones que pasaron de prohibirlas a gobernar su uso, qué regulaciones y estándares existen actualmente a nivel global, y a qué riesgos se exponen las que todavía no tienen políticas definidas.

Según los datos que surgen del último ESET Security Report, el 39,7% de las empresas promueve su uso bajo marcos internos, mientras que un 39,2% todavía deja la decisión en manos de cada empleado sin una política definida. Además, el 17,8% lo limita a determinados casos y solo el 3,4% de las organizaciones mantiene una prohibición total sobre estas herramientas.  

“De a poco, las organizaciones aceptaron que la IA había llegado para quedarse y que el verdadero desafío ya no era impedir su uso, sino gestionarlo. Los principales proveedores tecnológicos acompañaron esa creciente adopción de la IA, lanzando versiones empresariales de sus asistentes, con controles específicos de seguridad, privacidad y cumplimiento. ChatGPT Business y Enterprise, Microsoft 365 Copilot y Gemini para Google Workspace, fueron diseñadas para ofrecer más garantías sobre el tratamiento de los datos corporativos”, comenta Mario Micucci, investigador de seguridad informática de ESET Latinoamérica.

Entre 2024 y 2025, la discusión cambió y las empresas empezaron a trabajar en políticas internas, clasificación de datos, herramientas autorizadas, capacitación de empleados e integración de asistentes de IA en procesos de negocio.

Respecto del nivel de regulación que tomaron las empresas, como surge del ESET Security Report,  se observan diferencias entre sectores productivos: en Educación el uso de IA está más desregulado, con un 58,8 % de las instituciones sin ningún tipo de regla sobre la IA. En contraposición, en el sector financiero (Banca) el 47,6 % de las entidades fomenta su uso, pero bajo estrictas normativas internas.

El reporte muestra que el 39,2 % de las organizaciones todavía opera sin una política definida sobre el uso de herramientas de IA, dejando la decisión en manos de cada empleado. Esto no implica necesariamente que la IA esté prohibida o permitida: simplemente que no existen lineamientos claros que indiquen qué herramientas pueden utilizarse, qué tipo de información puede compartirse o qué responsabilidades asumen quienes recurren a ellas.

“En la práctica, significa que cada colaborador puede tomar decisiones diferentes frente a una misma situación: utilizar asistentes públicos o cuentas personales, compartir información sin conocer los riesgos o incorporar contenido generado por IA en procesos críticos sin validación. Aunque ninguna de estas acciones sea necesariamente maliciosa, la falta de reglas hace que la organización pierda visibilidad y control sobre cómo se utiliza la inteligencia artificial”, agrega Micucci.

Las problemáticas que buscan resolver las políticas de IA según ESET, son: 

Proteger la información sensible: Uno de los principales temores fue la posibilidad de que los empleados compartieran, de forma intencional o accidental, información confidencial en las plataformas públicas. Hoy, muchas políticas establecen qué tipo de datos pueden ingresarse en herramientas de IA y cuáles no. Así, es habitual encontrar restricciones respecto de la información de clientes, propiedad intelectual, código fuente, documentos internos o información financiera.

Reducir el riesgo del Shadow AI: Que una herramienta se encuentre prohibida, no siempre significa que deje de utilizarse. A través de las políticas, las empresas acercan alternativas aprobadas y reglas claras sobre cuándo y cómo utilizar estos asistentes. Así, se permite el uso de versiones empresariales, mientras que cuentas personales o servicios sin controles corporativos quedan fuera de la política. Otras organizaciones optan por modelos propios para procesar la información dentro de su infraestructura. El objetivo final es que los empleados no solo sepan si pueden usar IA, sino también qué herramientas tienen a disposición para hacerlo de forma segura.

Garantizar la supervisión humana: Muchas políticas incorporan el principio de supervisión humana, que establece que las personas siguen siendo responsables de validar todo contenido que generan estas herramientas, en especial si interviene en decisiones de negocio o procesos críticos.

Actualmente, ya existen marcos de referencia, estándares internacionales y regulaciones que sirven como guía para implementar una adopción de la IA más segura y responsable. Por ejemplo: 

NIST AI RMF (Artificial Intelligence Risk Management Framework) - Publicado en 2023 por el National Institute of Standards and Technology, propone buenas prácticas para que las empresas puedan identificar, evaluar, gestionar y monitorear los riesgos asociados a la IA. 

ISO/IEC 23894 - Esta norma se enfoca exclusivamente en la gestión de riesgos asociados a la IA. Ofrece lineamientos para identificar, analizar, tratar y monitorear los riesgos derivados del desarrollo o uso de sistemas de IA.

ISO/IEC 42001 - Es el primer estándar internacional para implementar un Sistema de Gestión de Inteligencia Artificial (Artificial Intelligence Management System – AIMS). La norma establece requisitos para definir políticas, asignar responsabilidades, evaluar riesgos, documentar procesos y promover la mejora continua.

EU AI Act - Es el primer marco regulatorio integral sobre IA aprobado por la Unión Europea. Busca establecer obligaciones para quienes desarrollan, comercializan o utilizan sistemas de IA, clasificándolos según el nivel de riesgo que representan. Si bien su aplicación se centra en el mercado europeo, también impacta a empresas de otros países que ofrecen productos o servicios basados en IA dentro de la Unión Europea.

NIST Cybersecurity Framework (CSF) 2.0 - Es uno de los marcos de ciberseguridad más utilizados a nivel mundial. Ofrece una estructura ampliamente adoptada para gestionar riesgos tecnológicos mediante funciones como Govern, Identify, Protect, Detect, Respond y Recover.

“Más allá de sus diferencias, estos estándares, marcos de referencia y regulaciones reflejan cómo la gobernanza de la IA ya no depende únicamente del criterio de cada organización. Hoy existen lineamientos reconocidos que ayudan a definir políticas, gestionar riesgos y establecer controles para incorporar la IA de forma segura, responsable y alineada con los objetivos del negocio”, destacan desde ESET.

El desafío para las organizaciones es encontrar un equilibrio. Ante restricciones rígidas, es probable que los empleados recurran a herramientas no autorizadas. En cambio, las políticas permisivas o ambiguas aumentan el riesgo de que se compartan datos sensibles, se confíe excesivamente en las respuestas de la IA o se utilicen sin los controles adecuados. Por eso, desde ESET recomiendan buscar complementar las políticas con capacitaciones, programas de concientización y herramientas corporativas que ofrezcan una alternativa segura a los servicios públicos. El objetivo es integrarlas en la cultura de cada organización sin que vayan en detrimento de la productividad. 

“La pregunta ya no es si estas herramientas tienen lugar dentro de la organización, sino que la dificultad es utilizarlas sin comprometer la seguridad, la privacidad o el cumplimiento normativo. Así como hace años las políticas de seguridad incorporaron reglas claras sobre dispositivos móviles, trabajo remoto o servicios en la nube, hoy la inteligencia artificial comienza a ocupar un lugar en la agenda de la ciberseguridad de las empresas”, concluye el investigador de ESET Latinoamérica.

Para saber más ESET puede ingresar a: https://www.welivesecurity.com/es/seguridad-corporativa/inteligencia-artificial-empresas-implementacion-politicas-uso/

El 73% de las empresas en América Latina asegura que el phishing sigue funcionando

Según los datos relevados en el último informe “ESET Security Report”, el 73% de las empresas en América Latina afirman haber sido objetivo de campañas de phishing durante el 2025. Las organizaciones manufactureras registran el 81,4%, y el sector bancario alcanza el 100% de las instituciones que reportan intentos de phishing.

ESET, compañía líder en detección proactiva de amenazas, asegura que lo que hace que el phishing sea tan letal no es la sofisticación de la tecnología sino es la manipulación. La ingeniería social sigue siendo el vector de ataque más explotado, superando el acceso no autorizado, el malware y la explotación de vulnerabilidades. A diferencia de un ataque técnico que puede ser detectado por herramientas, el phishing depende de un clic humano. 

“El phishing no es un ataque sofisticado porque utilice tecnología avanzada. Es sofisticado porque explota el elemento más débil de cualquier sistema de seguridad: el ser humano. Además, los sectores con datos sensibles o acceso a recursos críticos son una prioridad para los delincuentes. Y no es casualidad que precisamente las industrias con menor capacidad defensiva terminen siendo las más atacadas”, comenta David González, investigador de seguridad informática de ESET Latinoamérica. 

El informe revela que no todos los sectores en América Latina experimentan el phishing en la misma medida. Los datos muestran una concentración de riesgo en industrias específicas, y las razones varían desde la naturaleza del trabajo hasta la madurez de las defensas. El sector manufacturero aparece como uno de los más atacados, con un 81,1% de las organizaciones latinoamericanas que reportaron haber sufrido ataques de phishing, lo que indica que las empresas manufactureras son objetivos especialmente atractivos. Por otro lado, el sector de educación registra un 81,4%, explicado en parte por un fenómeno que combina infraestructuras antiguas, ciclos de actualización más lentos y equipos con menos experiencia en seguridad. El sector de Banca y Finanzas registra el 79,6% de los intentos de phishing en América Latina. Gobierno y Salud, a su vez, registran el 72,6% y el 67,6% respectivamente en la región, cifras que siguen siendo alarmantemente altas.

La ingeniería social sigue siendo el vector de ataque más explotado en América Latina, superando el acceso no autorizado, el malware y la explotación de vulnerabilidades. Los delincuentes entienden que derrotar a una persona es mucho más fácil que superar un firewall. El phishing funciona porque explota tres cosas: confianza, prisa y conocimiento limitado. Un correo electrónico que parece legítimo, aparentemente de un compañero o responsable, con una solicitud urgente genera pánico. En este punto, el cerebro está en modo reactivo, no reflexivo. La persona hace clic antes de pensar.

A nivel global, los datos del ESET Threat Report del primer semestre de 2026 muestran la evolución de esta táctica. Los delincuentes no solo envían correos electrónicos evidentes con errores tipográficos. Están personalizando ataques, usando información específica de la empresa, suplantando dominios y expandiéndose a nuevas plataformas como los códigos QR en los correos electrónicos, que evaden el escaneo tradicional.

“El phishing funciona porque es sencillo de realizar, demasiado efectivo y, en la mayoría de los casos, la víctima no sabe que ha sido objetivo hasta mucho más tarde. El phishing de hoy no es el correo obvio con errores tipográficos y enlaces extraños. Es demasiado sofisticado para ser fácil de detectar. Los delincuentes están utilizando varias técnicas nuevas”, agrega el investigador.

ESET identificó una campaña reciente que enviaba correos electrónicos con el asunto "Nuevo buzón de voz" para suplantar la propia cuenta de la víctima como remitente, creando la ilusión de que el mensaje se había originado dentro de la empresa. En este caso, el archivo adjunto era un archivo .svg, un formato menos común que puede eludir los filtros de seguridad tradicionales. Cuando la víctima abría el archivo, era redirigida a una página que imitaba el inicio de sesión de Outlook, donde se les robaban las credenciales. A nivel global, ESET advierte que se han reportado otras tácticas que utilizan códigos QR distribuidos en correos electrónicos, o la técnica de ClickFix, que simulan fallos del navegador y piden al usuario que tome medidas urgentes.

Para mantenerse protegido ante esta amenaza, desde ESET comparten algunas recomendaciones: no hacer clic en links de mails no solicitados o de dudosa procedencia y desconfiar especialmente de asuntos que generen un sentido de urgencia o alerta. Además, tener especial cuidado con adjuntos inesperados, especialmente en formatos menos comunes como .SVG.

González aconseja: “En resumen, si algo parece urgente y llega por correo electrónico, es una señal de alarma, mejor comunícate con el remitente por una vía oficial. La seguridad contra el phishing no es solo responsabilidad de la empresa. Se comparte entre la organización y cada persona que utiliza el correo corporativo. Para las empresas, el primer paso de seguridad según ESET es la visibilidad. Si no se puede detectar un ataque, no hay posibilidad de responder. El firewall, el EDR y los sistemas de respaldo son defensas básicas que deben estar en su lugar y, lo que es más importante, deben ser monitorizadas. Y por supuesto, fortalecer las políticas de autenticación, mantener los sistemas actualizados”.

La formación en seguridad no es una actividad anual aburrida, es lo que diferencia a las empresas que filtran datos de las que no lo hacen. El phishing sigue funcionando porque realmente funciona. Los criminales no cambian de arma cuando el arma sigue las defensas corporativas. La seguridad solo cambia cuando las organizaciones entienden que la invisibilidad es el verdadero problema, no la falta de herramientas. Y cuando cada persona entiende que un clic equivocado no es un error personal, es exactamente lo que el criminal planeó.

Para saber más ESET puede ingresar a: https://www.welivesecurity.com/es/seguridad-corporativa/phishing-empresas-latinoamerica-capacitacion-ciberseguridad/

Más de la mitad de las empresas detectó intentos de ataques informáticos durante el último año.

El ESET Security Report Latinoamérica 2026 reúne el análisis de las principales tendencias, desafíos y oportunidades que hoy enfrentan las empresas de la región en materia de ciberseguridad. Releva los principales ciberataques sufridos por las empresas, los vectores de intrusión más frecuentes, el nivel de adopción de tecnologías basadas en inteligencia artificial y el grado de adopción de soluciones de protección en los entornos corporativos.

Es el resultado de la encuesta anual realizada por ESET, compañía líder en detección proactiva de amenazas, a más de 1.500 profesionales vinculados a la ciberseguridad pertenecientes a 962 organizaciones de 10 países latinoamericanos. El 80 % de los encuestados desempeña funciones en áreas de seguridad, mientras que el resto corresponde a perfiles no técnicos, lo que permite obtener una perspectiva amplia que abarca todos los niveles de las organizaciones.

Una de las conclusiones del informe, en comparación con la edición anterior, es que la ciberseguridad en las organizaciones continúa siendo mayoritariamente reactiva. Si bien el 85% utiliza firewalls, el 82% cuenta con backups y el 73% implementa VPN, apenas el 23% incorpora plataformas de Threat Intelligence, una de las tecnologías clave para una detección proactiva. Persisten brechas estructurales que limitan la capacidad de las organizaciones para anticipar, detectar y responder de manera efectiva a las amenazas.

Entre los principales desafíos identificados se destacan la falta de visibilidad sobre los incidentes, la persistencia del phishing como principal vector de ataque, el uso de la inteligencia artificial, las debilidades en la protección de la identidad y los dispositivos móviles, así como problemas de higiene digital que continúan siendo aprovechados por los atacantes.

Aunque el 52,7% de las organizaciones detectó intentos de ataque durante el último año, un 15,4% no puede confirmar si fue víctima de un incidente, lo que confirma la persistencia de una falta de visibilidad sobre los entornos que limita la capacidad para comprender el nivel real de exposición y responder oportunamente frente a las amenazas.

Además, entre las organizaciones que no detectaron ataques, una de cada cuatro (25,1%) reconoce que los incidentes podrían haber ocurrido sin ser detectados por no contar con la tecnología suficiente, lo que permite estimar que cuatro de cada diez organizaciones carecen de la capacidad analítica necesaria para conocer su nivel real de exposición.

“Esta brecha continúa siendo uno de los principales desafíos para las empresas de la región, sobre todo por el impacto que puede tener en la capacidad de prevenir, detectar y gestionar incidentes de seguridad.”, asegura Mario Micucci, investigador de seguridad informática de ESET Latinoamérica.

El phishing se mantiene como el vector de ataque más frecuente en América Latina, y afectó al 73% de las organizaciones encuestadas. Los resultados muestran que la ingeniería social continúa siendo una de las herramientas más efectivas para los atacantes y ponen de manifiesto que la cultura de seguridad sigue siendo un aspecto crítico para las empresas.

En particular, se observan diferencias entre industrias, con una incidencia especialmente alta del phishing en los sectores de Educación (81,4%), Manufactura (81,1%) y Banca (79,6%).

La inteligencia artificial se consolida como uno de los principales desafíos para las organizaciones de la región. Mientras una mayoría de los profesionales consultados considera que facilitará ataques cada vez más sofisticados y automatizados, una proporción importante de organizaciones todavía no cuenta con políticas internas que regulen su utilización.

Entre los principales hallazgos del informe se destacan:

56,3% considera que la IA facilitará ataques más sofisticados.

19,6% identifica los deepfakes como la principal amenaza.

39,2% no tiene ninguna regulación interna.

39,7% sí posee marcos internos.

“Estos resultados ponen de manifiesto nuevos desafíos para la gobernanza, la gestión del riesgo y la definición de políticas corporativas en torno al uso responsable de estas tecnologías”, destaca Micucci.

Las organizaciones han fortalecido la adopción de controles tradicionales de seguridad. Sin embargo, persisten debilidades en aspectos fundamentales como la protección de la identidad, la seguridad de los dispositivos móviles y la gestión de vulnerabilidades conocidas. Entre las organizaciones encuestadas, solo el 57% utiliza autenticación multifactor, el 36% implementa soluciones DLP y apenas el 23% incorpora plataformas de Threat Intelligence.

“Esta aparente contradicción evidencia que la madurez en ciberseguridad depende cada vez más de la integración entre tecnología, procesos y personas, y no únicamente de la incorporación de nuevas herramientas”, enfatizan desde ESET Latinoamérica.

El informe también revela que las brechas no se limitan a la infraestructura tecnológica. Entre los colaboradores no técnicos, solo el 52,2% utiliza autenticación multifactor en sus cuentas laborales y el 26,9% reconoce que no aplica ninguna medida de seguridad en su teléfono corporativo, lo que confirma que el factor humano continúa siendo uno de los principales desafíos para las organizaciones.

“Desde ESET apostamos a que el conocimiento y la educación permite a las organizaciones tomar decisiones más informadas y fortalecer su capacidad de prevención y respuesta. La elaboración de este reporte apunta a acercar un panorama real de lo que hoy enfrentan las empresas de la región en materia de ciberseguridad para conocer de qué manera mantenerse protegidos”, concluye Micucci de ESET Latinoamérica.

El ESET Security Report Latinoamérica 2026 reúne el análisis de las principales tendencias, desafíos y oportunidades que hoy enfrentan las empresas de la región.

Para saber más ESET puede ingresar a: https://www.welivesecurity.com/es/

Falsas llamadas de emergencia ponen en evidencia riesgos en sistemas críticos

Un supuesto ataque al sistema de alertas de la Defensa Civil, basado en tecnología de difusión celular (Cell Broadcast), provocó el envío de falsas alertas a teléfonos celulares en diversas ciudades brasileñas entre la noche del último viernes (20) y la madrugada del sábado (21), lo que generó preocupación por la seguridad de infraestructuras críticas utilizadas para la protección de la población. ESET, compañía líder en detección proactiva de amenazas, contextualiza el caso y analiza distintas estrategias de protección relacionadas a este tipo de sistemas. 

De acuerdo con un informe emitido por el Gobierno Federal y enviado a la Policía Federal (PF), los primeros envíos se registraron en Río de Janeiro. Posteriormente, residentes de Curitiba, Brasilia, São Paulo, Salvador y otras localidades también recibieron notificaciones clasificadas como “alerta extrema”, considerado el nivel más alto del sistema de alertas de la Defensa Civil. Este tipo de mensaje se utiliza en situaciones de riesgo inminente para la vida, requiriendo que la población adopte medidas de protección de forma inmediata.

En el caso de Río de Janeiro, el mensaje hacía referencia a una supuesta posibilidad de deslizamientos de tierra, información especialmente sensible en una región históricamente afectada por tragedias relacionadas con lluvias intensas. Además, circularon mensajes que mencionaban una supuesta posibilidad de tornado en la región de Belo Horizonte (MG) y otros avisos sin fundamento. Los textos presentaban frases inconexas, campos corruptos y expresiones inusuales, incluyendo referencias a un supuesto “ataque alienígena”.

El incidente ocurre en un momento en el que América Latina enfrenta un aumento sostenido de eventos climáticos extremos. Según la Organización Meteorológica Mundial (OMM), en los últimos años la región ha sido afectada por fenómenos como inundaciones, sequías, huracanes e incendios forestales de gran magnitud, lo que refuerza la importancia de los sistemas de alerta temprana para proteger a la población.

“En este contexto, varios países de la región están adoptando sistemas de alerta basados en Cell Broadcast, una tecnología que permite enviar mensajes masivos a todos los dispositivos móviles en un área específica, sin necesidad de aplicaciones ni conexión a internet”, agrega Jonathan Ramos, investigador de seguridad informática de ESET Latinoamérica.

Algunos casos de implementación en la región son: 

Chile es el caso más consolidado, con su Sistema de Alerta de Emergencia (SAE) plenamente operativo y utilizado regularmente ante desastres naturales, mientras que Brasil ya cuenta con infraestructura de alertas móviles a gran escala, como se evidenció en este incidente.

México ha realizado pruebas durante los últimos años integrando parcialmente Cell Broadcast en su sistema de alerta sísmica. Otros países, como Ecuador, se encuentran en etapas iniciales o pilotos.

Argentina está avanzando en el despliegue de su sistema nacional AlertAR, basado en esta tecnología.

“A medida que los gobiernos adoptan tecnologías más eficientes para alertar a la población, también aumenta la superficie de ataque sobre sistemas críticos. Un sistema de alertas comprometido puede generar pánico, desinformación y eventualmente disminuir la credibilidad de las comunicaciones oficiales en situaciones reales de emergencia”, destaca Ramos de ESET.

Un detalle que llamó la atención en este caso, fue la repetición de la palabra “misantropía” en distintos mensajes, funcionando como una especie de firma dejada por los responsables. El término se utiliza para describir a personas que manifiestan aversión, desconfianza o rechazo hacia la humanidad y la convivencia social.

El caso está siendo investigado por la Defensa Civil Nacional en conjunto con la Agencia Nacional de Telecomunicaciones (Anatel). La sospecha es que el incidente haya involucrado un acceso indebido a la Interfaz de Difusión de Alertas Públicos (Idap), plataforma utilizada por el Ministerio de Integración y Desarrollo Regional (MIDR), con el apoyo de la Defensa Civil Nacional, para el envío de alertas relacionadas con riesgos de desastres naturales y otras emergencias.

En las primeras horas posteriores al incidente, un usuario identificado como “Misantropo”, en la red social X, publicó imágenes y un video adjudicándose la autoría de los mensajes. El material difundido sugiere el uso de una plataforma gubernamental para el envío de las alertas.

En una entrevista con el portal TecMundo, el presunto atacante afirmó haber utilizado credenciales antiguas del Idap que habrían sido expuestas en filtraciones previas. Según su relato, el acceso habría sido obtenido mediante la técnica conocida como credential stuffing, que consiste en la reutilización automatizada de combinaciones de usuario y contraseña previamente comprometidas en otros incidentes.

“Aunque la autoría y los detalles de la invasión aún están bajo investigación, el episodio refuerza la importancia de adoptar mecanismos robustos de autenticación, monitoreo continuo y revisión periódica de credenciales en sistemas considerados críticos para la seguridad pública”, agregan de ESET.

La respuesta de las autoridades fue la desactivación temporal de la plataforma. En un comunicado oficial, la Defensa Civil del estado de São Paulo informó que el mensaje recibido por la población no fue emitido por el organismo y que inició de inmediato procedimientos de verificación junto con la Defensa Civil Nacional, Anatel y otras instituciones involucradas en la operación del sistema. “Hasta el momento, no existe registro de ningún evento que justifique la emisión de una alerta extrema relacionada con el contenido reportado”, afirmó el organismo.

“El incidente evidencia los riesgos asociados a la protección de sistemas gubernamentales responsables de servicios esenciales. Los incidentes cibernéticos en plataformas de infraestructura crítica exponen vulnerabilidades que trascienden la esfera tecnológica, evidenciando fallas en políticas y procedimientos de seguridad. El uso de credenciales supuestamente filtradas refuerza la urgencia de prácticas de gobernanza, como la aplicación del principio de privilegio mínimo, la obligatoriedad de la autenticación multifactor (MFA) y la rotación periódica de contraseñas. Para sistemas de alto impacto social, resulta indispensable la implementación del principio de doble control (Four-Eyes Principle). Esta capa de validación mitiga el riesgo de acciones aisladas, ya sean maliciosas o accidentales, evitando que falsas alertas generen pánico y desinformación y, sobre todo, preservando la confianza de la población en los mecanismos legítimos de protección del Estado”, concluye Jonathan Ramos de ESET.

El resultado de la investigación deberá esclarecer si efectivamente hubo una intrusión en los sistemas de la Defensa Civil o si el incidente fue provocado por el uso indebido de credenciales válidas obtenidas en filtraciones anteriores.

Para saber más ESET puede ingresar a: https://www.welivesecurity.com/es/seguridad-digital/falsas-alertas-emergencia-brasil-acceso-indebido-defensa-civil

Correo hackeado: los pasos clave para recuperar el control de tus cuentas

Un hackeo de mail hoy no significa solamente perder el acceso a “los correos”, sino que toda la vida digital: WhatsApp, Instagram, Facebook, Netflix, Spotify, Mercado Pago, homebanking y muchas otras plataformas y servicios que tienen el correo como llave en ingreso, pueden estar en riesgo. ESET, compañía líder en detección proactiva de amenazas, comparte un paso a paso sobre qué se debe hacer si un mail fue hackeado, para reducir sensiblemente el impacto del incidente. A su vez, analiza cómo pudo haber sido hackeado, qué señales dan indicios del hackeo y qué medidas se pueden tomar para protegerse.

“Hoy el mail dejó de ser solo una herramienta de comunicación para convertirse en la puerta de entrada a tu vida digital, y justamente por eso es uno de los blancos más explotados por el cibercrimen. Así, ya no alcanza con “tener cuidado”, ya que muchas amenazas están diseñadas para pasar desapercibidas incluso para usuarios atentos”, comenta Mario Micucci, investigador de ESET Latinoamérica.

A continuación, el equipo de ESET detalla qué se debe hacer para mitigar el daño y recuperar el control total de una cuenta de correo hackeada:

Recuperar el acceso: El primer paso clave es intentar ingresar a la cuenta hackeada, sea desde el sitio o la aplicación oficial. Si se puede ingresar normalmente, se debe cambiar de inmediato la contraseña por una nueva, que sea robusta y única. Nunca reutilizar claves viejas ni variantes similares.

También es importante cerrar todas las sesiones que estén abiertas en otros dispositivos. Servicios como Gmail y Outlook permiten identificar en qué equipos o ubicaciones hay sesiones activas, y forzar el cierre de manera remota. Si ya no se puede ingresar al correo debido a que el ciberatacante cambió la contraseña, se debe recurrir de inmediato al proceso oficial de recuperación de cuenta, que se encuentra disponible en la página de inicio de sesión de tu proveedor. 

Activar el doble factor de autenticación: Una vez que se haya recuperado el acceso al mail, activar la autenticación es dos pasos (también conocida como 2FA). Esto agrega una barrera de seguridad extra, y por más que el ciberatacante tenga en su poder la contraseña, sin este doble factor no podrá ingresar.

Revisar el impacto en otras cuentas y servicios: Un mail es la llave maestra que da acceso a otras cuentas y servicios, por eso es fundamental revisar todo lo que esté vinculado a esa cuenta: redes sociales, plataformas de streaming, billeteras virtuales, homebanking, apps de mensajería, cuentas laborales, tiendas online, servicios en la nube, entre otros. Lo ideal es cambiar las contraseñas de cada una, para evitar cualquier tipo de inconveniente.

Identificar si hubo actividad maliciosa: Con la cuenta de correo en su poder, muchos ciberatacantes la utilizan de inmediato para lanzar estafas y encontrar nuevas víctimas. Se deben revisar los correos enviados recientemente, si hay nuevas reglas automáticas sospechosas, si se aplicaron filtros desconocidos o si se eliminaron mensajes. Aquí se puede consultar a los contactos si recibieron algún mensaje extraño desde la cuenta.

Analizar los dispositivos: El hackeo de un mail pudo deberse a diversos motivos: el robo de credenciales, un ataque de phishing, o bien la infección por malware. Siempre conviene realizar un análisis de seguridad en todos los dispositivos en los cuales se utiliza esa cuenta. Ya sea teléfono celular, tablet, PC o notebook. Luego, realizar todas las actualizaciones correspondientes al sistema operativo, navegador y aplicaciones, y eliminar cualquier tipo de extensión sospechosa o app que no se conozca.

En cuanto a las señalas de hackeo, si bien hay algunas señales que son muy obvias, hay otras que no, ya que el ciberatacante intentará pasar desapercibido el mayor tiempo posible. Por eso, desde ESET repasan las 5 principales alarmas que indican que un mail fue vulnerado:

No puedes ingresar con tu contraseña habitual: Sin dudas, esta es la señal más evidente. Si ya no puedes ingresar con tu clave, es porque alguien la cambió (los actores maliciosos suelen hacerlo de inmediato).

Recibes alertas de inicio de sesión: Los proveedores de servicio de mail envían notificaciones a los usuarios cuando identifican algún acceso extraño, sea desde un dispositivo nuevo, de alguna ubicación desconocida o de un país desde el cual nunca te conectaste. Y si bien algunas personan desestiman esas alertas creyendo que se trata de un error, es clave prestar más atención a este tipo de avisos. A su vez, si recibes correos para “restablecer contraseña” desde tus redes sociales, servicios financieros o cualquier otro servicio online, pero que nunca solicitaste, es otro indicio que un actor malicioso está intentando utilizar tu mail para vulnerar otras cuentas.

Contactos reciben mensajes que no enviaste: Otra señal clara que la cuenta fue comprometida. Es muy común que una vez que logran el acceso, los ciberatacantes usen el correo hackeado para lanzar nuevas estafas. Además, revisar si existen correos eliminados, que fueron movidos de carpeta o marcados como leídos.

Cambios en los datos de tu cuenta: Si en tu cuenta evidencias cambios que nunca realizaste, puedes estar en riesgo. Una señal podría ser que haya un nuevo número telefónico asociado, no se reconoce la dirección de recuperación, la firma es diferente, el idioma cambió, existen nuevas reglas o hay dispositivos vinculados que no conoces.

Actividad extraña en plataformas vinculadas: Muchas veces, el indicio de un hackeo se evidencia en otros servicios asociados. Por ejemplo: Facebook te informa un cambio de contraseña, Netflix detecta un nuevo inicio de sesión, o WhatsApp envía códigos inesperados. Recordá que el mail es la llave para recuperar accesos en otras plataformas y su compromiso puede desencadenar el hackeo de otras plataformas.

Por otro lado, también es útil conocer de qué manera un ciberatacante puede vulnerar una cuenta de correo electrónico. Las opciones más comunes pueden ser los ataques de phishing, la reutilización de contraseñas en más de un servicio, una Infección con malware, o la conexión en redes inseguras de Wi-Fi.

Para prevenir el hackeo, ESET comparte algunas hay acciones concretas que se pueden implementar para reforzar la seguridad:

Utilizar contraseñas robustas y únicas

Activar el doble factor de autenticación

Prestar atención antes de descargar un archivo o hacer clic en un correo inesperado

Revisar accesos y dispositivos conectados regularmente

Eliminar aquellas apps o servicios que tengan acceso a las cuentas y no reconozcas

Mantener todos los dispositivos actualizados

Verificar que el mail y teléfono de recuperación sean correctos

Evitar redes Wi-Fi públicas para accesos sensibles

“En este contexto, tener una capa adicional de protección que actúe en tiempo real es clave, para analizar enlaces, detectar comportamientos sospechosos y bloquear cualquier intento de fraude antes de que lleguen a tu bandeja de entrada. Es allí donde soluciones especializadas, con tecnologías de detección proactiva, antiphishing y análisis basado en inteligencia artificial, marcan la diferencia y son un factor clave para proteger tu identidad digital”, concluye Micucci de ESET.

Falsas ofertas laborales suplantan a grandes empresas para robar datos personales en Latinoamérica.

La búsqueda de una nueva oportunidad profesional puede ser un momento de expectativa y entusiasmo. Sin embargo, los ciberdelincuentes aprovechan este contexto para llevar adelante estafas cada vez más sofisticadas.  Recientemente, el equipo de investigación de ESET, compañía líder en detección proactiva de amenazas, identificó una campaña de correos electrónicos falsos que usan el nombre de reconocidas empresas como L’Oréal, Coca-Cola y Red Bull, que ofrecen supuestas oportunidades de empleo como anzuelo para captar datos personales. 

Es importante señalar que las empresas afectadas son también víctimas de los ciberdelincuentes ya que son utilizadas como parte de la estafa. Los atacantes aprovechan el reconocimiento de estas marcas para intentar legitimar el engaño y mediante el uso de su imagen aumentar la probabilidad de éxito del fraude. 

“Esta estafa no es nueva, y varios usuarios llevan advirtiendo sobre este mismo fraude desde al menos 2025. En algunos casos, los delincuentes también usaron el nombre de otras empresas, como Meta, y otras compañías para dar credibilidad al esquema”, advierte Mario Micucci, investigador de ESET Latinoamérica.

Correos falsos que suplantan grandes marcas 

La estrategia comienza de forma relativamente sencilla: los delincuentes envían correos electrónicos que parecen haber sido enviados desde alguna oficina de recursos humanos de las empresas suplantadas o por supuestos reclutadores, con una oferta concreta, dirigida a nombre del remitente, para ofrecerle participar en un proceso de selección de personal. 

El mensaje suele presentar una vacante atractiva e incluye un enlace para que la parte interesada avance en las siguientes fases de la solicitud.  

En uno de los casos analizados, podemos observar que el mensaje inicial ya tiene señales de alerta que anuncian que se trata de una comunicación falsa: el nombre mostrado es el de un supuesto reclutador de L'Oréal, la dirección de correo electrónico utilizada no tiene relación con los dominios oficiales de la empresa. 

En algunos casos, como el que detectó ESET que simula ser de Adidas, el remitente es una persona real, que posiblemente los delincuentes investigaron que pertenece a la empresa.  

En este punto, plataformas profesionales como LinkedIn pueden jugar un rol clave: los atacantes pueden recopilar información pública sobre empleados, roles y estructuras internas para hacer más creíble la suplantación de identidad. Lo que les permite personalizar los ataques y aumentar significativamente la tasa de éxito.  

Al hacer clic en el enlace, en los distintos correos que se distribuyeron suplantando a las empresas, el usuario accede a una página que imita un formulario legítimo, similar a los servicios ampliamente utilizados por las empresas para el reclutamiento. La apariencia profesional del sitio contribuye a transmitir una falsa sensación de confianza y legitimidad.  

Este tipo de inconsistencia es una de las principales señales de phishing y debería servir de advertencia para los candidatos.  

Una vez en el sitio, se anima al candidato a entregar información personal y profesional, como nombre, número de teléfono, experiencia profesional y dirección de correo electrónico. Hasta ahora, el proceso parece compatible con una candidatura legítima. 

Falsa verificación de cuenta 

Tras completar el formulario, la víctima es redirigida a una pantalla que imita el proceso de inicio de sesión de Google, con el objetivo de robar credenciales. A simple vista, la interfaz resulta familiar y "profesional", ya que reproduce el diseño típico de selección de cuenta de Google. Sin embargo, al observar con atención, es posible detectar inconsistencias clave, como el dominio del sitio web —que no corresponde a Google—, lo que evidencia que se trata de una página fraudulenta. 

“Un aspecto clave para identificar este tipo de engaños es verificar el dominio en la barra de direcciones: aunque la interfaz imite servicios legítimos como Google, las credenciales solo deben ingresarse en sitios oficiales”, señala el investigador de ESET. 

En este punto se revela el verdadero propósito del engaño: lograr que la víctima, bajo engaño, entregue voluntariamente sus credenciales a los ciberdelincuentes. La página solicitará el acceso al correo electrónico, con la excusa de que se trata de un paso necesario para continuar con el proceso de selección.  

La solicitud previa del correo electrónico no ocurre por casualidad. Al recopilar esta información con antelación, los atacantes pueden personalizar la siguiente fase del engaño y aumentar su credibilidad. 

El uso de interfaces conocidas y visualmente legítimas es una táctica habitual en campañas de phishing, ya que reduce la desconfianza del usuario y aumenta la probabilidad de que entregue sus credenciales. 

“Con acceso a la cuenta de correo electrónico de la víctima, los delincuentes pueden restablecer contraseñas de otros servicios vinculados al correo comprometido; acceder a información personal y profesional almacenada en la bandeja de entrada; enviar mensajes falsos en nombre de la víctima a sus contactos e, incluso, usar la cuenta para difundir nuevas campañas de phishing. Dependiendo de los servicios asociados al correo electrónico, el compromiso también puede resultar en un acceso indebido a cuentas bancarias, redes sociales, plataformas corporativas y otros sistemas sensibles, amplificando significativamente el impacto del ataque”, agrega Micucci.

Para reducir el riesgo de caer en este tipo de fraude, desde ESET señalan que es importante adoptar algunas medidas de seguridad: 

Desconfiar de cualquier proceso de selección que  pida la contraseña del correo electrónico. 

Comprobar cuidadosamente la dirección del remitente y el dominio de los enlaces recibidos. 

Confirmar la existencia de la vacante directamente en los canales oficiales de la empresa. 

Activar la autenticación de dos pasos (MFA) en las cuentas. 

Nunca compartir credenciales de acceso a través de formularios online mensajes recibidos por correo electrónico. 

“Aunque las campañas de phishing que involucran oportunidades de empleo falsas no son nada nuevo, los delincuentes siguen perfeccionando sus técnicas para hacerlas más convincentes. Por lo tanto, ante cualquier proceso de selección que solicite credenciales de acceso o presente inconsistencias en las direcciones de correo electrónico y enlaces utilizados, la recomendación es detener inmediatamente la interacción y verificar la autenticidad de la vacante a través de los canales oficiales de la empresa”, concluye el investigador de ESET. 

Además, desde ESET adviertes que si bien las empresas legítimas pueden solicitar currículums, información de contacto y datos profesionales durante el proceso de reclutamiento. Sin embargo, nunca pedirán la contraseña de una cuenta de correo electrónico como requisito para participar en un proceso de selección. Ante cualquier solicitud de este tipo, detener inmediatamente la interacción y confirmar la autenticidad de la vacante a través de los canales oficiales de la organización.

Para saber más ESET puede ingresar a: https://www.welivesecurity.com/es/estafas-enganos/ofertas-laborales-falsas-phishing-suplantan-grandes-marcas

¿Le pedirías consejo médico a una IA? Aspectos clave antes de hacerlo.

Los chatbots están cambiando la forma en que pensamos, aprendemos y percibimos el mundo que nos rodea. Este tipo de disrupción se manifiesta en muchas áreas de la vida, pero quizás una de las más sensibles sea el creciente uso de herramientas de inteligencia artificial generativa (GenAI) en el ámbito de la salud. Grandes empresas tecnológicas han incursionado en la IA de salud orientada al consumidor con el lanzamiento de servicios como Copilot Health, ChatGPT Health y Amazon’s HealthAI, cuyos modelos ayudan a los usuarios a interpretar sus historiales médicos y a hacer preguntas sobre sus síntomas, resultados de laboratorio y opciones de tratamiento. Sin embargo, ESET, compañía líder en detección proactiva de amenazas, advierte que existen riesgos al esperar que una herramienta de IA asuma el rol de tu médico. 

“El riesgo no es solo recibir un consejo incorrecto, sino también que los usuarios compartan información personal altamente sensible con sistemas cuyas protecciones de privacidad, prácticas de intercambio de datos y obligaciones legales pueden diferir de las de un médico o un hospital, así como que sus datos queden expuestos a entidades inesperadas. El mal uso de los chatbots de IA en general es actualmente el principal riesgo tecnológico en salud, según una organization de seguridad del paciente de EE. UU”, comenta Mario Micucci, investigador de Seguridad Informática de ESET Latinoamérica.

Segú Microsoft, las personas en sus dispositivos móviles hablan sobre su salud y la de sus seres queridos más que de cualquier otro tema. Los chatbots están disponibles las 24 horas, los 7 días de la semana, con una respuesta para todo, expresada en un tono seguro que ayuda a tranquilizar a los pacientes nerviosos.

En un momento en que los sistemas nacionales de salud están cada vez más presionados, es probable que muchas personas se auto diagnostiquen con ayuda de la IA antes de decidir si deben buscar atención médica. 

Sin embargo, ya están surgiendo preocupaciones. La primera es la de las alucinaciones o el asesoramiento incorrecto. Un estudio de la Universidad de Oxford de febrero, publicado en Nature Medicine, encontró que los usuarios a menudo no sabían qué información debían compartir, que se les proporcionaban respuestas muy diferentes, incluso si las preguntas variaban solo ligeramente y que los modelos a menudo ofrecían tanto buenos como malos consejos, pero los usuarios tenían dificultades para distinguir entre ambos.

“A pesar de todo el entusiasmo, la IA simplemente no está lista para asumir el rol de médico”, advirtió la autora principal del estudio, la doctora Rebecca Payne. “Los pacientes deben ser conscientes de que preguntarle a un modelo de lenguaje sobre sus síntomas puede ser peligroso, generar diagnósticos erróneos y no reconocer cuándo se necesita ayuda urgente”.

Riesgos de privacidad

El compartir información médica sensible con un chatbot público puede implicar que esos datos se utilicen para entrenar al modelo y, por lo tanto, puedan terminar reapareciendo en respuestas a otros usuarios. Incluso de forma involuntaria, ya hubo casos de modelos que han expuesto datos introducidos por sus usuarios.

Algunos proveedores pueden utilizar los datos para mejorar sus modelos, a menos que los usuarios opten por no participar, mientras que otros hacen promesas más firmes de no usar información relacionada con la salud para el entrenamiento. En cualquier caso, todos deberían saber con qué tipo de servicio están interactuando antes de subir información sensible. Por otro lado, la mayoría de los principales chatbots centrados en salud prometen no usar estos datos para entrenamiento. Aun así, el entrenamiento es solo una parte del panorama de privacidad, y es posible que estos servicios no hagan las mismas promesas respecto al intercambio de datos con terceros. La información médica personal podría terminar en manos de un agregador de datos, un tercero que actúa como intermediario entre el proveedor del modelo y el  proveedor de salud. También podría compartirse con anunciantes, ya sea directamente o a través de estos intermediarios, aunque normalmente se anonimiza antes de su uso. Aun así, conviene actuar con cautela: los datos de salud son especialmente sensibles, y la anonimización no siempre elimina todos los riesgos.

El problema de que datos sensibles circulen por tantas organizaciones es que hay mayores probabilidades de que queden expuestos a ciberdelincuentes y estafadores. Legisladores estadounidenses afirman haber identificado pérdidas por valor de 21.000 millones de dólares vinculadas a un puñado de brechas en empresas de intermediación de datos. Los datos de salud son altamente valiosos para los delincuentes ya que mantienen su valor durante largos períodos, pueden incluir información de seguros para presentar reclamaciones fraudulentas o recibir servicios médicos a nombre de otra persona, y pueden usarse para extorsiones.

“Cuantas más empresas tengan estos datos, más oportunidades existen para que los atacantes las comprometan y los roben. El desafío es que la mayoría de las herramientas de IA para salud no están reguladas por HIPAA, ya que se consideran servicios para consumidores y no de nivel empresarial. Esto implica que los proveedores pueden no estar sujetos a las estrictas normas de protección de datos que normalmente cabría esperar”, destaca Micucci.

Para minimizar la exposición a los riesgos de la GenAI en salud, desde ESET detallan que es importante evitar los bots de uso general y optar por aquellos diseñados específicamente para responder preguntas relacionadas con la salud. Además, revisar si el servicio explica cómo gestiona los datos, si se utilizan las interacciones para entrenamiento, si se comparte información con terceros y si está cubierto por HIPAA o un régimen de privacidad equivalente en el país.

“No confíes ciegamente en los resultados, a menos que haya enlaces de citación para verificarlos. Incluso así, no tomes las respuestas como una verdad absoluta: consulta siempre con un profesional de la salud y/o con fuentes oficiales (por ejemplo, NHS, MedlinePlus)”, advierte el investigador de ESET.

Para proteger la privacidad, ESET aconseja considerar lo siguiente:

Nunca compartir o subir documentos médicos, resultados de laboratorio u otra información sensible con una herramienta de IA sin entender cómo maneja esos datos

Evitar introducir nombres, direcciones, datos de seguros, números de paciente u otros identificadores

Asegurarse de desactivar las funciones de entrenamiento y el historial de chat

Compartir solo la información mínima necesaria para la tarea

Asumir que todo lo que se escriba podría almacenarse o exponerse y ajustar sus consultas en consecuencia

“En última instancia, los chatbots de IA pueden servir para ayudarte a pensar preguntas sobre una condición específica antes de acudir al médico o para explicar un término médico que no conoces. Pero hay una gran diferencia entre usar la IA para prepararte para la atención médica y usarla como sustituto de esta. No tomes una respuesta con tono seguro como un diagnóstico, y no ignores síntomas urgentes porque una máquina haya sonado tranquilizadora”, concluye Mario Micucci, investigador de ESET.

Falsos sitios de FIFA estafan previo a la Copa del Mundo 2026

ESET, compañía líder en detección proactiva de amenazas, identificó 5 páginas apócrifas que suplantan al máximo organismo del fútbol con la excusa de ofrecer entradas y merchandising de la Copa Mundial 2026. Los estafadores buscan obtener información sensible de sus víctimas, sus datos bancarios y hasta dinero. Estos sitios apócrifos pueden aparecer patrocinados en búsquedas en Google, pero también en anuncios en redes sociales, o incluso llegar por mensajes o correos.

“Si bien informan desde FIFA (ente organizador del evento) que los boletos para todas las fases del torneo están “disponibles exclusivamente en FIFA.com/tickets”,  desde ESET encontramos cinco sitios falsos que se hacen pasar por el sitio oficial de Copa del Mundo 2026 de la FIFA”, comenta Mario Micucci, investigador de Seguridad Informática de ESET Latinoamérica. 

ESET analiza cada uno de estos sitios que imitan el sitio oficial, de manera de ayudar a identificarlos:

Sitio falso N°1: “fifa26.shop”, busca engañar a sus víctimas desde la similitud de su URL con la oficial. Utiliza la técnica llamada Typosquatting que se caracteriza por crear dominios idénticos a los legítimos, con modificaciones sutiles (cambio, omisión o adición de caracteres, o uso de números en vez de letras).

La página imita con exactitud a la de FIFA: desde su diseño, colores y disposición, a las pestañas que permiten recorrer el resto del sitio. Logra replicar el flujo de la web oficial, haciendo sentir a la víctima que la experiencia es legítima. Esto confirma que los ataques de phishing de hoy buscan copiar experiencias completas para generar confianza.

En caso de que la víctima desee avanzar con la compra de entradas o merchandising, la página falsa solicita el registro de la persona. Lo riesgoso, según ESET, es que copia al detalle a la página oficial de la FIFA, que también pide registro. Aprovecha así un elemento clave como el FIFA ID, para generar confianza: 

Este sitio apócrifo, además, se vale de la promesa de la venta de merchandising para engañar a sus víctimas. La similitud con el sitio oficial es clara, al punto que ofrece camisetas de todas las selecciones participantes y permite seleccionar cualquier producto y agregarlo al carrito de compra:

En caso de que la víctima ingrese los datos de su tarjeta, ESET advierte que no se obtendrá ninguna camiseta, sino que se entrega información confidencial al actor malicioso detrás del sitio apócrifo:

Si la víctima continua el proceso, sus datos bancarios viajarán a las manos del cibercriminal detrás del sitio falso, sin obtener ninguna entrada para la Copa Mundial.

Sitio falso N°2: “26-fifa.com”. Al igual que el ejemplo anterior, busca a través de la URL no levantar sospechas, aprovechando su similitud con la web oficial. El diseño de la web falsa en general, como las pestañas para navegar son idénticas a la web oficial de la FIFA.  

Se le pide a la víctima que se registre (que entregue sus datos personales), para después habilitar la supuesta compra de entradas y merchandising del Mundial. Al obtener el nombre completo de la víctima, su email, teléfono y contraseña, el ciberatacante puede iniciar un ataque de robo de identidad. Desde ESET alertan que dado que muchas personas reutilizan contraseñas en distintos servicios, por lo que entregar credenciales en una página falsa puede derivar en accesos indebidos a correos electrónicos, redes o plataformas bancarias.

Sitio falso N°3: “fifa*.site”, otro sitio falso que imita diseño de la web oficial de FIFA. El objetivo es claro, a través del uso de colores, tipografías y elementos visuales, busca generar una reacción automática de confianza en el usuario, especialmente en contextos donde la ansiedad por conseguir entradas puede reducir la atención a señales de alerta.

Sitio falso N°4: “fifa*.store”. En estos sitios de phishing los ciberatacantes suelen aprovechar extensiones como “.store” o “.shop” para reforzar la apariencia comercial del sitio. “A simple vista, las víctimas pueden interpretar estas URLs como legítimas, especialmente porque los dominios falsos incluyen la palabra “fifa”, un recurso frecuente en campañas de suplantación de identidad.”, agrega Miccuci de ESET.

Sitio falso N°5, “fifa*.shop”. Esta similitud de técnicas demuestra para ESET que no se tratan de casos aislados, sino de campañas organizadas. “Los actores maliciosos suelen registrar diversas variantes de una misma página para maximizar el alcance del engaño y así mantener operativa la campaña incluso si algunos dominios son dados de baja. Esta lógica del phishing es cada vez más frecuente en eventos masivos y de alta exposición mediática, como lo es la Copa Mundial de Fútbol 2026.”, refuerza el investigador de ESET.

No es novedad que los cibercriminales aprovechan la fiebre mundialista. Hasta la FIFA está al tanto de las estafas y engaños que pueden sucederse alrededor del evento de fútbol más importante del mundo. En su página web, el organismo es terminante a la hora de analizar si existe algún riesgo al comprar boletos para la Copa Mundial fuera del sitio oficial: “Sí, existen riesgos al adquirir boletos fuera del sitio oficial. La FIFA recomienda que todas las compras se realicen exclusivamente en FIFA.com/tickets”. En primer término, aclara que “los boletos adquiridos en sitios de reventa no oficiales, redes sociales o a través de terceros pueden ser falsos. Aunque parezcan legítimos, estos boletos fraudulentos se podrían rechazar en la entrada del estadio”.

ESET comparte puntos clave a tener en cuenta para no ser víctimas de estos sitios de phishing:

1 – Verificar la URL: Para todo lo referente a compras vinculadas a la Copa Mundial, se debe visitar el sitio oficial: https://fifa.com. Prestar atención frente a sitios que quieran confundir con su similitud, que agregan palabras, guiones o extensiones como “.shop”, “.store” o “.site”. Cualquier mínima diferencia es un gran indicio de estafa.

2 – No hacer clic en anuncios: Los sitios falsos suelen promocionarse a través de anuncio y patrocinio en redes sociales y apps de mensajería. El consejo es ingresar manualmente a los sitios de confianza, y no a través de links, anuncios promocionales, o compartidos por terceros.

3 - Desconfiar de ofertas “exclusivas” o “imposibles”: La urgencia, la ansiedad, la oportunidad son anzuelos que los ciberdelincuentes suelen utilizar para que sus estafas sean más efectivas. En el contexto de la Copa Mundial, lo hacen a través de frases como “cupos limitados”, “acceso VIP” o “descuentos en entradas”. La máxima es desconfiar de todo lo que parezca demasiado bueno como para ser verdad.

“Los casos encontrados son la clara muestra de una tendencia cada vez más preocupante frente a eventos masivos, los sitios falsos ya no son páginas rudimentarias, improvisadas o fáciles de detectar: hoy replican diseños, experiencias de usuario y flujos de compra completos para parecer legítimos y reducir las sospechas de las víctimas. La principal defensa sigue siendo la atención: desde verificar la URL, desconfiar de aquellas ofertas “imposibles”, hasta acceder únicamente a canales oficiales. Porque durante la fiebre mundialista, no solo hay que estar atentos a lo que pasa dentro de la cancha, sino también fuera de ella”, concluye Mario Micucci de ESET. 

Para saber más puede ingresar a WeLiveSecurity, es sitio de noticias de ESET: https://www.welivesecurity.com/es/