14 de agosto de 2026

Contraseñas robadas con IA: cómo proteger los accesos de tu pyme

En una gestoría, una administrativa recibió un correo que parecía venir de su propio dominio. Asunto: «Tu buzón está cerca del límite — amplía el espacio». Logotipo correcto, firma corporativa correcta, ni una falta de ortografía. Hizo clic, escribió su usuario y su contraseña del correo, y la página la devolvió al buzón real. No pasó nada raro. Nada, hasta que dos semanas después tres clientes recibieron un cambio de número de cuenta para domiciliar sus cuotas.

Nadie entró por la puerta. Entraron con las llaves.

Por qué ahora cuesta más detectarlo

El phishing de toda la vida se delataba solo: traducciones raras, «Estimado cliente», enlaces absurdos. Con herramientas de IA generativa, quien monta el ataque escribe en un castellano impecable, imita el tono interno de una empresa y personaliza cada correo con información pública: el nombre de tu gestor, el programa de facturación que usas, la campaña que acabas de anunciar en tu web.

Y no hace falta ser un objetivo grande. Los ataques se hacen a escala: un correo bien hecho se reutiliza para cientos de empresas pequeñas cambiando cuatro datos. Una pyme de ocho personas es, a menudo, más rentable de atacar que una corporación con departamento de seguridad.

El botín tampoco es la contraseña en sí. Es lo que hay detrás: el correo —desde donde se piden cambios de cuenta bancaria a tus clientes—, el gestor documental, la banca electrónica, el programa de nóminas.

Las señales de alerta

Un correo que te empuja a hacer clic para resolver una urgencia. Buzón lleno, factura pendiente, contraseña que caduca hoy, paquete retenido. La prisa es la herramienta, no la excusa.

Una pantalla de inicio de sesión justo después de un enlace. Los servicios legítimos rara vez te piden la contraseña inmediatamente después de un correo.

La dirección del remitente no coincide con el dominio real. Mira el dominio entero, no el nombre que se muestra: microsoft-soporte.net no es microsoft.com.

Te piden el código de verificación por teléfono, WhatsApp o chat. Ninguna empresa legítima lo pide jamás.

Notificaciones de segundo factor que tú no has provocado. Si el móvil te pregunta «¿Apruebas el inicio de sesión?» y tú no estás entrando en ningún sitio, alguien ya tiene tu contraseña.

Correos tuyos que desaparecen. Los atacantes suelen crear reglas para mandar a la papelera los avisos del banco o las respuestas de los clientes.

Cuatro medidas que valen la pena

1. Verificación en dos pasos en todo, con app y no con SMS. Es lo que más frena por unidad de esfuerzo. Los SMS se pueden interceptar o desviar duplicando la SIM; una app de autenticación en el móvil, no. Empieza por el correo corporativo, la banca y el gestor documental.

2. Un gestor de contraseñas para el equipo. No para que las contraseñas sean más largas, sino para que dejen de repetirse. Si la contraseña del correo es la misma que la de una tienda online que sufrió una filtración hace tres años, ya no es secreta. Además, el gestor no rellena los datos en un dominio falso: si no reconoce la página, no autocompleta — y ese silencio avisa mejor que cualquier formación.

3. Un canal de verificación fuera del correo. Cualquier cambio de cuenta bancaria, datos de pago o accesos se confirma por teléfono a un número que ya teníais apuntado antes. Nunca al número que aparece en el correo. Ponlo por escrito y que lo sepa todo el mundo que toca pagos.

4. Revisa quién tiene acceso a qué, dos veces al año. Cuentas de exempleados todavía activas, cuentas compartidas sin dueño, permisos de administrador que ya no hacen falta. Es media hora de trabajo y reduce la superficie de ataque más que ninguna herramienta.

Si crees que ya ha pasado

El orden importa, porque el tiempo juega en contra:

1. Cambia la contraseña y cierra todas las sesiones abiertas de la cuenta afectada: todos los servicios grandes tienen la opción «cerrar sesión en todos los dispositivos».

2. Activa la verificación en dos pasos si aún no la tenías.

3. Revisa las reglas del buzón y los reenvíos automáticos. Es el rastro que casi siempre queda y que casi nadie mira.

4. Avisa al banco si esa cuenta tenía acceso a información de pagos, y avisa a clientes o proveedores con quienes haya conversaciones abiertas sobre dinero.

5. Denúncialo a los Mossos d'Esquadra o a la Policía Nacional y conserva los correos originales. Parece inútil, pero es lo que después te pedirá la aseguradora.

6. Cambia esa misma contraseña allí donde estuviera repetida. Aquí es donde el problema se multiplica.

No hace falta un departamento de informática

Nada de esto requiere un presupuesto de seguridad ni personal técnico. Requiere decidirlo una tarde y que el equipo lo sepa. La tecnología que hace posible el ataque es la misma que puede ahorrarte horas de trabajo cada mes: lo que cambia no es la herramienta, sino si tienes dos o tres normas claras antes de necesitarlas.