Durante años el phishing ha funcionado por una razón sencilla: explota el eslabón más débil, el usuario. La estrategia defensiva ha seguido la misma fórmula: mejores filtros de correo electrónico, mayor concienciación de los usuarios y una capa adicional de autenticación. No era perfecta, pero ofrecía un equilibrio razonable.
Ese equilibrio se ha roto. El phishing generado por IA no solo está creciendo, sino que resulta cada vez más convincente. Según el informe Microsoft Digital Defense Report 2025, las campañas de phishing generadas por IA alcanzan una tasa de clics del 54 %, frente a solo el 12% de las campañas tradicionales. Lo que persiguen los atacantes con ese clic es obtener credenciales válidas. De acuerdo con el informe M-Trends 2025 de Mandiant, las credenciales robadas se convirtieron en 2024 en el segundo vector de acceso inicial más habitual, al representar el 16 % de todas las intrusiones, el nivel más alto registrado hasta la fecha. Detrás de esta tendencia se encuentra el auge de los infostealers, un tipo de malware diseñado específicamente para robar las credenciales almacenadas en los dispositivos de los usuarios.
Ambas tendencias apuntan a una misma realidad: los atacantes están centrando sus esfuerzos en las credenciales, mientras que a los usuarios les resulta cada vez más difícil distinguir los correos legítimos de los maliciosos. La identidad se ha convertido al mismo tiempo en el objetivo y en la puerta de entrada. Y cuando una empresa protege a otras organizaciones, este problema pasa a ser suyo antes de convertirse en el de sus clientes.
Cuando el phishing deja de parecer phishing
Lo que ha cambiado no es el volumen de los ataques de phishing, sino la calidad del engaño. La IA ha eliminado muchas de las señales de alerta que antes facilitaban su identificación: faltas de ortografía, expresiones poco naturales, formatos incoherentes y URL claramente sospechosas. Los correos de phishing actuales están bien redactados, personalizados y adaptados al contexto del destinatario. Muchos incluso utilizan servicios legítimos para parecer todavía más auténticos.
Ya no existe una única plantilla que se pueda bloquear. Las campañas generan variaciones únicas en tiempo real, lo que dificulta mucho más que los filtros de seguridad identifiquen patrones consistentes. El resultado es un phishing que tanto la tecnología como las personas tienen cada vez más dificultades para detectar con la misma eficacia que antes.
Según el estudio de WatchGuard Del soporte de TI a referente en ciberseguridad: el nuevo imperativo para el crecimiento de los MSP, el 91 % de las organizaciones está preocupada por los ciberataques impulsados por IA. Este es precisamente uno de los ámbitos en los que sus clientes esperan que los MSP tomen la iniciativa y en el que están cada vez más dispuestos a invertir.
La identidad se ha convertido en el principal punto de entrada
El objetivo del atacante no es el correo perfectamente elaborado; este es solo el mecanismo de entrega. Lo que busca es una credencial válida, porque iniciar sesión con un nombre de usuario y una contraseña legítimos sigue siendo una de las formas más eficaces de comprometer una organización.
Una vez que los atacantes acceden mediante una cuenta legítima, su actividad suele despertar pocas sospechas. Para los sistemas de seguridad parece un inicio de sesión normal. No hay exploits, malware ni alertas evidentes; solo alguien que aparenta ser exactamente quien dice ser.
Para los proveedores de servicios gestionados esto cambia el punto de partida de la seguridad. Ya no se puede asumir que todas las intrusiones se detendrán antes de que se produzcan. Lo más realista es partir de la premisa contraria: tarde o temprano, alguna de las credenciales de sus clientes se verá comprometida. No es pesimismo, sino lo que muestran los datos. En ese mismo estudio de WatchGuard, el 32 % de las organizaciones afirmó estar expuesto de forma constante a ataques de phishing y de compromiso del correo empresarial (BEC). Por tanto, la estrategia ya no puede centrarse únicamente en evitar el robo de credenciales, sino también en limitar su impacto cuando este se produzca.
La identidad es el nuevo perímetro de seguridad
La formación en concienciación sobre seguridad sigue siendo importante, pero ya no es suficiente. Cuando los correos de phishing resultan prácticamente indistinguibles de las comunicaciones legítimas, se está pidiendo a los usuarios que tomen decisiones cada vez más difíciles. El problema se ha vuelto estructural y la identidad ocupa ahora una posición central.
Proteger la identidad se ha convertido en la primera línea de defensa. Podría pensarse que la autenticación multifactor (MFA) debería ser suficiente y, hasta cierto punto, continúa siendo la base. Sin embargo, las notificaciones push y los códigos de un solo uso presentan un punto débil. Los sofisticados ataques de adversario en el medio (AiTM) pueden interceptar en tiempo real tanto las contraseñas como los códigos de autenticación, situándose entre el usuario y el sitio web legítimo. La MFA tradicional detiene la mayoría de los ataques, ero estos funcionan de otra manera.
Las passkeys eliminan esta debilidad. Como método de autenticación sin contraseña, permiten a los usuarios identificarse de una forma similar a como desbloquean sus smartphones, mediante la huella dactilar o el reconocimiento facial. Al mismo tiempo, utilizan una credencial criptográfica vinculada directamente al sitio web legítimo. No existe ninguna contraseña que robar ni ningún código de autenticación que interceptar o reutilizar. Los atacantes pueden clonar un sitio web a la perfección, pero no pueden replicar la confianza criptográfica en la que se basan las passkeys.
Las passkeys son aún más eficaces cuando se combinan con controles de acceso basados en el riesgo, capaces de evaluar cada intento de autenticación según su contexto y no solo en función de la credencial. ¿Quién está iniciando sesión? ¿Desde dónde? ¿En qué condiciones? Incluso cuando una credencial se ve comprometida, siguen existiendo salvaguardas adicionales entre el atacante y los datos críticos del cliente. Además, la identidad no funciona de forma aislada: está directamente conectada con los endpoints y la red, las otras dos grandes superficies de ataque que explotan los adversarios.
No se trata simplemente de añadir otro elemento a la lista de comprobación de ciberseguridad. Es el punto en el que un servicio deja de ser intercambiable para convertirse en imprescindible. Cuando el control de acceso pasa a ocupar el centro de la estrategia de seguridad, el proveedor que gestiona las identidades de los clientes está protegiendo la capa más crítica de las defensas de la organización. Eso es un servicio estratégico, no una casilla más que marcar.
Una credencial puede ser robada hoy por un infostealer y utilizarse discretamente semanas después por un atacante que inicia sesión como si fuera un empleado legítimo. Evitarlo no exige seguir añadiendo herramientas de seguridad sin límite, sino trasladar el control a la identidad, convertida ya en el nuevo perímetro de seguridad y en la base de cualquier estrategia zero trust. La clave está en integrar la seguridad de red, endpoint e identidad en un enfoque unificado que permita a los MSP dejar de reaccionar ante las brechas de sus clientes y empezar a prevenirlas desde el origen.
Carlos Arnal
Product marketing manager en WatchGuard Technologies
