Correos falsos escritos con IA: la estafa que ya no se distingue de la real

Durante años, el consejo para detectar un correo fraudulento era sencillo: fíjate en las faltas de ortografía, en las frases raras, en ese “Estimado usuario” que no encajaba. Si sonaba a traducción automática, era estafa.

Ese consejo ha muerto. Los correos falsos de 2026 los escribe una inteligencia artificial, y están perfectamente redactados. En tu idioma, con tu nombre, mencionando tu negocio y con el tono exacto de tu banco, tu proveedor o tu gestoría.

Qué ha cambiado (y por qué España está en el centro)

El phishing —correos que suplantan a alguien de confianza para robarte dinero, claves o datos— existe desde siempre. Lo que ha cambiado es la escala y la calidad: con IA generativa, un atacante redacta en segundos miles de correos distintos, cada uno personalizado con datos reales del destinatario sacados de internet. Los informes del sector hablan de un crecimiento de más del 1.200% en este tipo de ataques desde la llegada de la IA generativa, y España es, año tras año, uno de los dos países del mundo que más phishing recibe.

Y el objetivo favorito no son las multinacionales, que tienen departamentos enteros filtrando correo: son los negocios pequeños, donde el mismo correo lo abre la misma persona que paga las facturas.

La estafa de moda: el falso ChatGPT

Hay una variante nueva que está creciendo muy rápido y va dirigida justo a negocios como el tuyo. Kaspersky, una de las mayores empresas de seguridad del mundo, detectó entre enero y abril de 2026 más de 33.000 ataques a pymes camuflados como herramientas de inteligencia artificial: falsas páginas para “descargar ChatGPT”, falsas suscripciones, falsos instaladores. Cinco veces más que el año pasado. El señuelo más usado es ChatGPT, seguido de otras IA conocidas.

La jugada es lista: saben que ahora mismo miles de autónomos y pequeños negocios quieren probar la IA, y les ponen delante una versión falsa que instala un programa espía o roba la tarjeta. Si quieres usar estas herramientas, entra siempre desde la dirección oficial escrita a mano, nunca desde un enlace de un correo o un anuncio.

El otro lado del problema: que la estafa venga “de ti”

Hay una parte de esta historia de la que se habla menos y que toca de lleno a tu web: los atacantes no solo se hacen pasar por bancos. También se hacen pasar por negocios como el tuyo.

Si tu dominio no está bien configurado, alguien puede enviar correos que parecen salir de tu dirección —con tu nombre y tu marca— pidiendo a tus clientes que “actualicen su forma de pago” o paguen una factura falsa. Y si tu web está desprotegida y la comprometen, puede acabar alojando las páginas falsas de estas estafas, como vimos al contar qué pasa cuando hackean la web de un pequeño negocio. En ambos casos el estafado es tu cliente, pero el nombre que queda manchado es el tuyo.

Que tu dominio esté configurado para que nadie pueda enviar correos en tu nombre, y tu web vigilada para que nadie la use como cebo, no es un detalle técnico: es proteger tu firma.

Qué puedes hacer tú (y qué no depende de ti)

Contra el correo que te llega, la mejor defensa sigue siendo la calma: ningún banco, ningún proveedor y ninguna administración te pide claves o pagos urgentes por correo. Ante la duda, no toques el enlace: llama por teléfono al número de siempre.

Pero la otra mitad —que tu dominio no se pueda suplantar, que tu web no acabe sirviendo de cebo, que un fallo se detecte en horas y no en semanas— no se arregla con sentido común. Se arregla con configuración correcta y vigilancia continua, hecha por alguien que sabe dónde mirar. Es una parte de lo que incluye nuestra protección digital para pequeños negocios: que ni tú ni tus clientes tengáis que distinguir un correo perfecto de una estafa perfecta, porque la puerta ya estaba cerrada antes.

La IA ha hecho que las estafas parezcan reales. Que tu negocio esté protegido de verdad ya no es opcional.