Una nueva técnica de phishing automatizado logra que los propios asistentes virtuales recomienden páginas fraudulentas. Los ciberdelincuentes detectan los errores de diseño de la tecnología y compran dominios falsos por pocos dólares
La Inteligencia Artificial no está programada para estafarte, pero los hackers ya aprendieron a usar sus defectos de fábrica para lograrlo. Una investigación de la firma Unit 42 reveló el auge del phantom squatting (u «okupación digital fantasma»), una técnica emergente donde los delincuentes controlan los enlaces falsos que las IA inventan.
El peligro de esta modalidad radica en la confianza ciega del usuario. El internauta común asume que el asistente virtual le está dando una fuente confiable, hace clic sin dudarlo y termina entregando sus credenciales bancarias en una bandeja de plata.
Las alucinaciones son un problema endémico de los modelos de lenguaje. Cuando una IA no tiene la respuesta exacta o carece de datos actuales, su propia programación la obliga a responder de todos modos, lo que a menudo resulta en la invención de datos ficticios.
Esto genera la creación de libros, citas o direcciones URL plausibles que nunca han existido. Un reciente informe estimó que entre el 3% y el 13% de todas las URL compartidas por las inteligencias artificiales son en realidad inventos sin correspondencia con el mundo real.
El modus operandi de los ciberdelincuentes es sumamente ágil y coordinado. Primero bombardean a la IA con preguntas repetitivas sobre marcas masivas, como servicios postales conocidos, pasarelas de pago o tiendas de comercio electrónico.
Cuando la IA alucina y genera un subdominio falso de apariencia lógica, los atacantes detectan el error de inmediato. Registran ese dominio web por muy poco dinero y levantan una infraestructura de fraude profesional en cuestión de horas, esperando que la IA lo vuelva a recomendar.
El alcance de este peligro es masivo y ya está en marcha. Los analistas evaluaron 913 marcas globales y generaron más de dos millones de URL a través de distintos modelos de inteligencia artificial, logrando identificar unos 250.000 dominios fantasma potenciales.
Lo preocupante es que ya detectaron más de 13.000 direcciones URL abiertamente maliciosas vinculadas a estos dominios que los chats virtuales recomiendan. Kits de phishing como Montana Empire clonan a la perfección webs legítimas para robar datos de tarjetas y documentos de identidad.
Esta situación no solo golpea los bolsillos de los ciudadanos, sino que añade una enorme presión sobre los presupuestos de ciberseguridad de las empresas. Las marcas sufren graves daños reputacionales cuando sus clientes caen en trampas sugeridas por la propia tecnología.
Para frenar esta ola, los expertos recomiendan a las organizaciones monitorizar proactivamente los dominios que generan sus herramientas internas. A los usuarios finales se les sugiere implementar verificaciones estrictas y desconfiar de cualquier enlace, incluso cuando provenga de su asistente de IA favorito.
El secretario general de la ONU pidió abandonar la dependencia de los combustibles fósiles y exigió mayor transparencia a las empresas de inteligencia artificial por el consumo de agua, energía y suelo de sus centros de datos
El debate sobre la IA no se limita a su impacto energético o laboral. Su huella hídrica también se perfila como un nuevo desafío ambiental
Amnistía Internacional advierte que las principales plataformas de inteligencia artificial generativa fueron entrenadas con extracción masiva de datos personales desde internet, muchas veces sin consentimiento
