septiembre 6, 2026
Cómo la IA facilita la recopilación de información para cometer fraudes
Publicar una fotografía de una reunión, anunciar unas vacaciones o explicar quién ocupa cada puesto en una empresa puede parecer inofensivo.
El problema aparece cuando alguien reúne todas esas piezas.
La inteligencia artificial permite localizar, ordenar y relacionar información pública con mucha más rapidez. El resultado son intentos de fraude mejor contextualizados y, por tanto, más difíciles de detectar.
Ya no es necesario enviar miles de correos mal redactados esperando que alguien caiga. También es posible investigar a una empresa y construir un engaño específicamente pensado para uno de sus empleados.
La IA no inventa el fraude, pero facilita su preparación
La recopilación y el análisis de información pública se conoce como OSINT. Es una disciplina utilizada legítimamente en investigaciones, seguridad, periodismo y verificación de información.
Sin embargo, las mismas técnicas pueden emplearse para preparar ataques.
Antes, relacionar perfiles sociales, fotografías, cargos profesionales, proveedores y contactos requería tiempo y ciertos conocimientos. Ahora, diferentes herramientas de búsqueda, automatización e inteligencia artificial permiten procesar esa información con mayor rapidez.
Esta reducción del esfuerzo permite investigar a más personas y utilizar la información obtenida en campañas de ingeniería social.
Qué información puede interesar a un estafador
Una publicación aislada puede tener poco valor. Varias publicaciones relacionadas pueden revelar bastante sobre el funcionamiento de una empresa:
- Quién dirige el negocio y quién gestiona los pagos.
- Qué empleados pertenecen a administración o contabilidad.
- Qué proveedores utiliza la organización.
- Cuándo está de viaje o de vacaciones una persona responsable.
- Qué proyectos, clientes o eventos tiene en marcha.
- Cómo se llaman internamente determinados departamentos.
- Qué herramientas, bancos o plataformas utiliza la empresa.
También pueden aprovecharse fotografías de acreditaciones, pantallas, oficinas, vehículos, albaranes o videollamadas.
El verdadero riesgo no suele estar en un único dato, sino en la posibilidad de relacionar muchos datos pequeños para construir un contexto creíble.
Del dato público al fraude personalizado
Suplantación de un responsable de la empresa
Un delincuente identifica en LinkedIn quién dirige la empresa y quién trabaja en administración.
Después descubre, a través de una publicación, que el gerente asistirá a un congreso. Durante su ausencia, el empleado recibe un mensaje aparentemente urgente solicitando una transferencia o el pago de una factura.
El correo puede incluir nombres, cargos y referencias reales. Eso reduce las sospechas porque el mensaje encaja con la actividad de la empresa.
Falsas facturas de proveedores
La web corporativa, las redes sociales o una fotografía pueden revelar relaciones con proveedores.
Con esa información puede prepararse un correo comunicando un supuesto cambio de cuenta bancaria. El mensaje puede estar correctamente redactado, utilizar una firma convincente e incluir datos reales de la relación comercial.
El documento no tiene que ser perfecto. Solo necesita resultar suficientemente coherente para que alguien tramite el pago sin comprobarlo por otra vía.
Suplantaciones mediante voz o imagen
Los vídeos, pódcast y mensajes de audio publicados proporcionan material que puede utilizarse para imitar una voz o una apariencia.
Un audio que parece proceder de un directivo no debería considerarse una prueba suficiente para autorizar una transferencia, revelar una contraseña o modificar datos bancarios.
La calidad de la falsificación seguirá variando, pero basar la seguridad únicamente en “reconocer la voz” de otra persona resulta cada vez menos fiable.
El riesgo afecta especialmente a las pymes
Las pequeñas y medianas empresas suelen mantener relaciones cercanas y procedimientos más flexibles. Un empleado puede conocer personalmente al gerente y estar acostumbrado a recibir instrucciones rápidas por WhatsApp.
Esa confianza facilita el trabajo diario, pero también puede ser utilizada en una suplantación.
Además, muchas pymes publican en su web los nombres, cargos, correos y teléfonos directos de buena parte del equipo. En ocasiones, la estructura interna de la organización queda prácticamente expuesta sin que nadie haya evaluado si toda esa información necesita ser pública.
La solución no consiste en desaparecer de Internet. Una empresa necesita comunicar, captar clientes y mostrar quién está detrás del proyecto. Se trata de decidir qué información aporta valor y cuál incrementa el riesgo sin una utilidad clara.
Cómo reducir la información disponible
Revisar la huella digital de la empresa
Conviene buscar periódicamente:
- El nombre de la empresa y sus principales responsables.
- Direcciones de correo y números de teléfono.
- Documentos indexados por buscadores.
- Fotografías antiguas de oficinas, acreditaciones o eventos.
- Perfiles profesionales desactualizados.
- Información publicada por empleados y colaboradores.
- Credenciales o datos corporativos aparecidos en filtraciones.
Esta revisión debe hacerse desde la perspectiva de alguien que intenta conocer el funcionamiento interno de la organización.
Limitar la exposición innecesaria
No siempre es necesario publicar correos personales, teléfonos directos o un organigrama completo.
También conviene evitar mostrar billetes, tarjetas de identificación, códigos QR, pantallas de trabajo, facturas o documentos internos en fotografías y vídeos.
La misma precaución debe aplicarse a las publicaciones personales cuando revelan ausencias, desplazamientos o relaciones profesionales.
Establecer procedimientos de verificación
Reducir la exposición ayuda, pero no elimina el riesgo. La medida más efectiva es establecer controles que no dependan de si un mensaje parece auténtico.
Por ejemplo:
- Verificar por un canal distinto cualquier cambio de cuenta bancaria.
- Exigir una segunda autorización para determinados pagos.
- No aceptar instrucciones económicas únicamente por correo o mensajería.
- Utilizar números de teléfono previamente registrados, no los incluidos en el mensaje sospechoso.
- Definir una palabra o procedimiento interno para solicitudes especialmente sensibles.
Formar con situaciones reales
La formación debería mostrar cómo se construye un fraude utilizando información pública de la propia empresa.
Un empleado comprenderá mejor el riesgo si observa cómo una fotografía de LinkedIn, una ausencia anunciada y el nombre de un proveedor pueden convertirse en un correo personalizado.
El objetivo no es desconfiar de todo, sino aprender a detenerse cuando una petición implica dinero, credenciales o información sensible.
La seguridad también consiste en controlar el contexto
Durante años hemos centrado la prevención del phishing en detectar faltas de ortografía, logotipos defectuosos o mensajes genéricos.
Esas señales siguen siendo útiles, pero ya no son suficientes.
La inteligencia artificial permite redactar mejor y adaptar el engaño al idioma, al sector y a la persona que lo recibe. Por eso, la pregunta importante no es solo si el mensaje parece auténtico, sino si la petición ha sido verificada mediante un procedimiento seguro.
La huella digital de una empresa no puede eliminarse por completo. Sí puede revisarse, reducirse y gestionarse para evitar que proporcione a un estafador más información de la necesaria.
Internet cambia rápido, y los métodos para engañarnos y las normativas todavía más.
Si gestionas una web o una entidad, la seguridad no debería ser un dolor de cabeza constante.
Únete a la newsletter para recibir consejos cortos y prácticos sobre:
- Protección de Datos: Cómo cumplir la ley correctamente para protegerte de multas y sanciones.
- Seguridad Web: Mantén tu página a salvo de intrusos.
- Ciberseguridad: Hábitos sencillos para blindar tu día a día.
- IA: Cómo usar la inteligencia artificial de forma segura.