El phishing está cambiando. Y esta vez, el objetivo no somos solamente nosotros.
Durante años, la seguridad del correo electrónico ha vivido una carrera constante entre atacantes y defensores. Cada vez que una organización desarrolla una nueva forma de identificar mensajes maliciosos, los ciberdelincuentes encuentran una manera de modificar sus técnicas para intentar pasar desapercibidos. Primero fueron los correos masivos llenos de errores evidentes; después llegaron campañas mucho más cuidadas, capaces de imitar la identidad visual de bancos, plataformas digitales, proveedores e incluso compañeros de trabajo. Hoy, con la inteligencia artificial integrada en las herramientas de seguridad, esa carrera está entrando en una nueva etapa: los atacantes ya no solamente buscan engañar a las personas, también están buscando la manera de engañar a las máquinas que intentan protegerlas.
Esta evolución resulta especialmente interesante porque la inteligencia artificial ha cambiado de manera importante la forma en que se analiza un correo electrónico. Los sistemas modernos ya no dependen exclusivamente de una lista de palabras prohibidas, una firma conocida o una regla que indique que determinado dominio es sospechoso. Pueden analizar lenguaje, contexto, patrones de comportamiento, reputación, estructura del mensaje y múltiples señales que, combinadas, permiten determinar si un correo representa un riesgo. El problema es que, cuando una tecnología se convierte en una parte importante de la defensa, también se convierte en un objetivo para quien intenta evadirla.
El correo que ves no siempre es todo lo que contiene
Aquí es donde aparece una técnica conocida como text salting, una estrategia que aprovecha una característica fundamental de los correos electrónicos: lo que el usuario observa en pantalla no necesariamente representa todo lo que existe dentro del mensaje.
Un atacante puede construir un correo que, para una persona, parece completamente normal. Puede mostrar una promoción, una notificación de una cuenta, una supuesta recompensa o cualquier otro mensaje diseñado para provocar una acción. Sin embargo, dentro del código HTML puede incorporar grandes cantidades de texto adicional que permanecen ocultas para el destinatario. Ese contenido puede utilizar palabras y frases aparentemente inocentes con el objetivo de modificar la interpretación que realizan los sistemas automatizados.
La diferencia puede parecer pequeña, pero tiene implicaciones importantes. El usuario ve un mensaje; el sistema de seguridad analiza una estructura mucho más compleja. Si esa estructura está deliberadamente manipulada, el atacante puede intentar alterar las señales que utiliza una herramienta para determinar si el correo es legítimo o malicioso.
El concepto no es completamente nuevo. Durante años, los atacantes han utilizado diferentes técnicas de ofuscación para esconder contenido, modificar patrones o dificultar el trabajo de los filtros. Lo que cambia ahora es el escenario en el que se utilizan. Cuando los sistemas de defensa incorporan inteligencia artificial y modelos capaces de interpretar lenguaje, los atacantes tienen un nuevo objetivo: influir en la información que recibe el modelo para intentar influir en su decisión.
De esconder Malware a esconder la intención
El text salting es particularmente interesante porque no necesariamente busca ocultar un archivo malicioso o un enlace de manera tradicional. Su objetivo puede ser mucho más sutil: alterar el contexto que utiliza el sistema de seguridad para interpretar el mensaje.
Imaginemos un correo cuyo contenido visible habla de una recompensa o de una supuesta promoción. Detrás de ese mensaje puede existir una cantidad considerable de texto irrelevante introducido mediante diferentes técnicas de HTML y CSS. El texto puede utilizar tamaños de fuente prácticamente invisibles, desplazarse fuera del área visible o permanecer dentro de elementos que el usuario no percibe. Desde la perspectiva del destinatario, nada parece fuera de lo común; desde la perspectiva de un sistema automatizado, en cambio, existe mucho más contenido que analizar.
Y cuanto más sofisticados se vuelven estos sistemas, más sofisticados pueden intentar ser los atacantes.
La inteligencia artificial generativa permite producir grandes cantidades de contenido de forma rápida y crear variaciones de un mismo ataque. Esto significa que un atacante puede modificar estructuras, palabras y contenidos para evitar depender de un único patrón que pueda ser identificado. En lugar de enviar miles de copias idénticas de un correo, puede generar múltiples versiones que mantengan el mismo objetivo mientras cambian su apariencia y composición.
La consecuencia es importante: la seguridad del correo ya no puede depender únicamente de encontrar una palabra sospechosa o reconocer una estructura previamente identificada.
El verdadero desafío esta en entender el contexto
Aquí es donde la inteligencia artificial puede convertirse, paradójicamente, en una herramienta de defensa y en un nuevo campo de batalla al mismo tiempo.
La IA permite analizar cantidades enormes de información y encontrar relaciones que serían difíciles de detectar mediante reglas tradicionales. Puede ayudar a identificar comportamientos anómalos, analizar comunicaciones, reconocer patrones lingüísticos y relacionar diferentes señales para determinar si un mensaje representa una amenaza.
Pero un modelo es tan bueno como la información que recibe y la forma en que esa información es interpretada.
Por eso, frente a técnicas como el text salting, la pregunta ya no debería limitarse a “¿qué contiene este correo?”. Una solución de seguridad realmente robusta necesita plantearse preguntas adicionales: ¿qué contenido puede ver realmente el usuario?, ¿qué elementos existen únicamente dentro del código?, ¿quién envió el mensaje?, ¿desde dónde se originó?, ¿qué relación tiene con el destinatario?, ¿qué intenta provocar?, ¿el comportamiento del mensaje coincide con el comportamiento habitual de ese remitente?
La diferencia es fundamental. Analizar únicamente el contenido es como juzgar un libro por todas las palabras que aparecen impresas sin preguntarse cuáles forman realmente parte de la historia.
Este fenómeno también revela algo más profundo sobre la evolución de la ciberseguridad. Durante mucho tiempo hablamos de inteligencia artificial como una herramienta que permitiría a los defensores adelantarse a los atacantes. Y, en buena medida, así está ocurriendo. Sin embargo, la misma tecnología que permite automatizar la defensa también puede utilizarse para automatizar el ataque.
La IA puede ayudar a un sistema de seguridad a encontrar patrones, pero también puede ayudar a un atacante a generar variaciones que intenten romper esos patrones. Puede analizar lenguaje para determinar si un mensaje parece legítimo, pero también puede utilizarse para construir mensajes que imiten con mayor precisión la comunicación humana. Puede ayudar a detectar anomalías y, al mismo tiempo, facilitar la creación de contenido diseñado para parecer normal.
Por eso, la evolución del correo seguro no consiste simplemente en “poner más IA”. La verdadera cuestión es cómo utilizar esa inteligencia dentro de una arquitectura capaz de observar múltiples señales y relacionarlas entre sí.
Un correo no debería considerarse seguro únicamente porque su texto parezca normal. Tampoco debería considerarse peligroso por una sola palabra o característica aislada. La seguridad necesita observar el mensaje como un conjunto: identidad, autenticación, reputación, contenido, estructura, enlaces, comportamiento, contexto y cualquier elemento que pueda revelar una intención diferente a la que el usuario percibe.
La próxima batalla no será visible
Quizá lo más preocupante del text salting es precisamente que no necesita llamar la atención.
El phishing tradicional intenta conseguir que una persona haga clic. El atacante construye una historia suficientemente convincente para provocar una reacción: miedo, urgencia, curiosidad o confianza. Las nuevas técnicas de evasión añaden otra capa al problema: mientras el usuario es persuadido por el mensaje, la tecnología que debería protegerlo también puede estar siendo manipulada.
Esto cambia la naturaleza de la defensa.
Ya no basta con preguntarnos si el usuario puede identificar un correo sospechoso. Tampoco basta con saber si una plataforma incorpora inteligencia artificial. La pregunta realmente importante es si esa inteligencia puede comprender el correo de la misma manera en que debería comprenderlo un usuario, distinguiendo entre el contenido visible, el contenido oculto, el contexto y la intención.
Porque el futuro de la seguridad del correo no será una batalla entre humanos y máquinas. Será una batalla entre máquinas que protegen y máquinas que atacan.
Y en esa carrera, la ventaja no necesariamente la tendrá quien tenga más inteligencia artificial, sino quien sea capaz de interpretar mejor lo que realmente está sucediendo detrás de cada mensaje.
La inteligencia artificial está transformando la seguridad del correo. Pero también está obligando a replantear una pregunta fundamental:
Si un atacante consigue engañar a la inteligencia que nos protege, ¿cómo podemos asegurarnos de que la amenaza nunca llegue a la bandeja de entrada?
Ese es el verdadero reto de la nueva generación de seguridad de correo electrónico.
Conoce más en el siguiente video
