Cómo utilizan la inteligencia artificial los hackers y qué papel tiene el pentesting
La inteligencia artificial ya no es una tecnología del futuro. Forma parte del presente y está transformando la manera en la que las empresas trabajan, analizan información y automatizan sus procesos.
Sin embargo, como ocurre con cualquier tecnología potente, también puede utilizarse con fines ofensivos. Los ciberdelincuentes están empleando herramientas de inteligencia artificial para recopilar información, crear mensajes más convincentes, modificar código malicioso y automatizar determinadas fases de sus ataques.
La IA no sustituye por completo los conocimientos ni la experiencia de un hacker, pero sí permite realizar algunas tareas con mayor rapidez, precisión y escala. Un atacante puede analizar una organización, preparar un correo fraudulento o generar distintas variantes de un código en mucho menos tiempo que antes.
Ante este escenario, el pentesting adquiere una importancia especial. Mediante una prueba de penetración es posible simular técnicas reales de ataque, identificar vulnerabilidades y comprobar hasta qué punto los sistemas, las aplicaciones y las personas de una organización están preparados frente a amenazas cada vez más automatizadas.
En este artículo analizamos cómo utilizan la inteligencia artificial los hackers, qué ataques se están potenciando y cómo el pentesting puede ayudar a detectar y corregir las debilidades que podrían aprovechar.
Phishing hiperrealista generado por inteligencia artificial
El phishing continúa siendo uno de los métodos de ataque más utilizados. Su objetivo suele ser engañar a una persona para que entregue sus credenciales, acceda a una página fraudulenta, descargue un archivo malicioso o realice una operación económica.
Tradicionalmente, muchos correos de phishing podían reconocerse por sus faltas de ortografía, traducciones deficientes, expresiones poco naturales o mensajes demasiado genéricos.
La inteligencia artificial está eliminando muchas de estas señales.
Los atacantes pueden generar correos correctamente redactados, traducirlos a diferentes idiomas y adaptar el tono al perfil de la víctima. También pueden analizar páginas web, redes sociales y perfiles profesionales para conocer los nombres, cargos, proveedores y proyectos de una empresa.
Con esa información pueden preparar mensajes personalizados que hagan referencia a situaciones reales y resulten mucho más creíbles.
Por ejemplo, un atacante podría suplantar a un directivo, mencionar un proveedor habitual y solicitar un cambio urgente de cuenta bancaria. También podría hacerse pasar por el departamento técnico y pedir a un empleado que acceda a una página falsa para actualizar sus credenciales.
¿Cómo se analiza este riesgo durante un pentesting?
Dentro de un servicio de pentesting pueden realizarse pruebas de ingeniería social previamente autorizadas para evaluar cómo respondería la organización ante una campaña de phishing dirigida.
Estas pruebas permiten comprobar:
- Si los empleados identifican mensajes fraudulentos bien redactados.
- Si introducen sus credenciales en páginas simuladas.
- Si descargan o ejecutan archivos no autorizados.
- Si comunican rápidamente el intento de ataque.
- Si los controles de correo bloquean enlaces o adjuntos sospechosos.
- Si la autenticación multifactor impide el acceso con credenciales comprometidas.
El objetivo no es señalar a las personas que cometen un error, sino detectar qué medidas técnicas, procedimientos o acciones formativas deben reforzarse.
Clonación de voz, deepfakes y suplantación de identidad
Las herramientas de inteligencia artificial permiten generar voces sintéticas que imitan el timbre y la entonación de una persona. Para ello pueden utilizar muestras procedentes de vídeos, entrevistas, webinars, podcasts o publicaciones en redes sociales.
Esta tecnología puede emplearse en ataques de vishing, en los que el delincuente realiza una llamada o envía un audio simulando ser un directivo, un compañero o un proveedor.
También es posible generar imágenes y vídeos manipulados mediante deepfakes. Aunque su calidad no siempre es perfecta, pueden resultar suficientemente convincentes en comunicaciones breves, llamadas con mala calidad o situaciones en las que existe presión y urgencia.
Estas técnicas incrementan el riesgo de fraude del CEO y de ataques BEC, especialmente cuando la empresa basa la autorización de pagos o cambios bancarios en una simple llamada, un correo electrónico o un mensaje de voz.
¿Qué puede revisar un pentesting?
Las pruebas pueden evaluar si existen procedimientos sólidos para validar operaciones sensibles, independientemente de que la voz, el vídeo o el correo parezcan auténticos.
Por ejemplo, se puede comprobar:
- Si los cambios de cuentas bancarias se verifican por un canal independiente.
- Si las transferencias necesitan una segunda aprobación.
- Si los empleados conocen el procedimiento ante una solicitud urgente.
- Si los datos de contacto se obtienen de fuentes previamente verificadas.
- Si una identidad comprometida puede utilizarse para escalar el fraude.
El pentesting permite detectar no solo vulnerabilidades técnicas, sino también debilidades en los procesos internos que podrían facilitar una suplantación de identidad.
Creación y modificación de malware mediante IA
La inteligencia artificial generativa puede ayudar a crear scripts, fragmentos de código, comandos de PowerShell, macros o funciones que posteriormente se integren en un programa malicioso.
Esto no significa que la IA genere siempre malware completamente funcional de forma autónoma. Normalmente, el código necesita revisión, adaptación y conocimientos técnicos.
Sin embargo, sí puede reducir la barrera de entrada y acelerar determinadas tareas. También puede utilizarse para modificar código existente, cambiar su estructura o generar múltiples variantes de una misma herramienta.
El resultado es un malware más dinámico y potencialmente más difícil de detectar mediante sistemas basados únicamente en firmas conocidas.
El papel del pentesting frente al malware
Durante una prueba de penetración pueden emplearse técnicas controladas para comprobar si las medidas de seguridad detectan comportamientos similares a los utilizados por el malware moderno.
Estas pruebas pueden analizar:
- La ejecución de scripts o comandos no autorizados.
- El uso indebido de PowerShell y otras herramientas legítimas.
- La descarga y ejecución de archivos desde ubicaciones temporales.
- Los mecanismos de persistencia.
- La comunicación con servidores externos.
- El movimiento lateral entre equipos.
- La capacidad de acceder o extraer información sensible.
De este modo, el pentesting no se limita a comprobar si un antivirus reconoce un archivo concreto. También permite evaluar si las soluciones de seguridad detectan el comportamiento del atacante y si el equipo responsable puede responder adecuadamente.
Automatización de la fase de reconocimiento
Antes de atacar una empresa, los ciberdelincuentes suelen recopilar información sobre sus sistemas, empleados, proveedores, aplicaciones y servicios expuestos.
Esta fase se conoce como reconocimiento o recon.
La inteligencia artificial facilita el análisis de grandes cantidades de información pública. Un atacante puede recopilar datos procedentes de la web corporativa, redes sociales, ofertas de empleo, repositorios de código, registros de dominios o documentación técnica.
Posteriormente puede utilizar modelos de IA para clasificar la información, identificar tecnologías, localizar perfiles relevantes y relacionar datos aparentemente independientes.
Una oferta de empleo, por ejemplo, puede revelar qué sistemas operativos, plataformas cloud, herramientas de desarrollo o soluciones de seguridad utiliza la organización.
El reconocimiento dentro de un pentesting
Un pentesting profesional puede comenzar con una fase de reconocimiento similar a la que realizaría un atacante real.
El objetivo es descubrir qué información sobre la organización está expuesta públicamente y cómo podría utilizarse para preparar un ataque.
Durante esta fase pueden identificarse:
- Dominios y subdominios.
- Direcciones de correo corporativas.
- Servicios accesibles desde Internet.
- Tecnologías utilizadas en la página web.
- Versiones de software potencialmente vulnerables.
- Documentos con metadatos sensibles.
- Credenciales expuestas en filtraciones.
- Información sobre empleados, proveedores o proyectos.
Este análisis permite a la empresa conocer su huella digital desde la perspectiva de un atacante y reducir la información que podría facilitar una intrusión.
Priorización de vulnerabilidades mediante inteligencia artificial
Una organización puede tener numerosos sistemas expuestos y distintas vulnerabilidades potenciales. No todas presentan el mismo nivel de riesgo ni pueden explotarse con la misma facilidad.
La inteligencia artificial puede ayudar a los atacantes a analizar resultados de escaneos, interpretar documentación técnica y priorizar los fallos con mayor probabilidad de explotación.
También puede utilizarse para buscar relaciones entre vulnerabilidades, generar fragmentos de código o adaptar pruebas ya conocidas a un entorno concreto.
Esto puede reducir el tiempo transcurrido entre la publicación de una vulnerabilidad y los primeros intentos de explotación.
Por qué un escaneo automático no sustituye al pentesting
Un análisis automático de vulnerabilidades es útil para detectar versiones obsoletas, configuraciones inseguras y fallos conocidos. Sin embargo, no siempre permite determinar si una vulnerabilidad puede explotarse realmente ni qué impacto tendría para la empresa.
El pentesting añade una fase de validación manual y contextual.
El pentester analiza si varias debilidades pueden combinarse, si permiten acceder a información sensible o si facilitan el avance hacia otros sistemas.
Por ejemplo, una vulnerabilidad considerada de forma aislada como poco crítica podría permitir obtener información que, combinada con una mala configuración de permisos, termine dando acceso a un entorno interno.
La inteligencia artificial ayuda a los atacantes a relacionar estos hallazgos. Por ello, las empresas también necesitan pruebas que vayan más allá de una lista automática de vulnerabilidades.
Ataques contra aplicaciones basadas en inteligencia artificial
La IA no solo se utiliza para atacar sistemas tradicionales. Las propias aplicaciones de inteligencia artificial también pueden contener vulnerabilidades.
Las empresas están incorporando asistentes, chatbots, buscadores internos y herramientas capaces de acceder a documentos, bases de datos o servicios corporativos.
Cuando estas aplicaciones no están correctamente protegidas, pueden exponer información o ejecutar acciones que no estaban previstas.
Prompt injection
La prompt injection consiste en introducir instrucciones diseñadas para modificar el comportamiento esperado del modelo.
Un atacante puede intentar que la aplicación ignore sus reglas, revele información interna o ejecute una acción no autorizada.
Este riesgo aumenta cuando el modelo puede consultar documentación confidencial, acceder a correos electrónicos o interactuar con otras herramientas de la empresa.
Fuga de información
Una aplicación puede revelar datos sensibles mediante sus respuestas, su historial, sus registros o las fuentes utilizadas para generar contenido.
También existe riesgo cuando los empleados introducen información confidencial en herramientas de IA públicas o no autorizadas.
Abuso de funciones y permisos
Algunas aplicaciones de IA pueden enviar mensajes, realizar consultas, generar documentos o ejecutar acciones.
Si los permisos no están correctamente limitados, un atacante podría utilizar el modelo como una vía indirecta para interactuar con otros sistemas.
Pentesting de aplicaciones de inteligencia artificial
El pentesting de una aplicación basada en IA debe analizar tanto las vulnerabilidades tradicionales como los riesgos específicos del modelo.
Entre otras comprobaciones, puede evaluarse:
- Si el modelo revela instrucciones internas.
- Si es posible acceder a información de otros usuarios.
- Si procesa instrucciones maliciosas incluidas en documentos externos.
- Si ejecuta acciones sin una autorización suficiente.
- Si sus interfaces permiten consultas masivas o automatizadas.
- Si se registran datos sensibles de forma inadecuada.
- Si los permisos concedidos al sistema son excesivos.
Estas pruebas permiten detectar debilidades antes de que la aplicación se utilice de forma generalizada o quede expuesta a usuarios externos.
¿La inteligencia artificial está sustituyendo a los hackers?
La inteligencia artificial no está reemplazando completamente a los hackers.
Un ataque real requiere interpretar resultados, tomar decisiones, adaptarse a situaciones imprevistas y comprender el funcionamiento de la empresa. La IA también puede generar información incorrecta, código defectuoso o respuestas que no tienen en cuenta el contexto.
Sin embargo, sí amplifica las capacidades del atacante.
Una persona con conocimientos medios puede utilizarla para redactar mensajes convincentes, analizar documentación, crear scripts o recopilar información. Los atacantes experimentados pueden automatizar tareas repetitivas y dedicar más tiempo a las fases estratégicas.
Por ello, la principal amenaza no es una inteligencia artificial actuando de forma completamente autónoma, sino la combinación de IA, conocimientos técnicos y objetivos maliciosos.
Cómo ayuda el pentesting a protegerse frente a ataques potenciados por IA
El pentesting permite adoptar la perspectiva de un atacante y comprobar qué ocurriría si alguien intentara comprometer realmente los sistemas de la organización.
Frente a amenazas potenciadas por inteligencia artificial, una prueba de penetración puede ayudar a:
Identificar la superficie de ataque
El pentesting permite localizar sistemas, aplicaciones, servicios y datos expuestos que podrían ser detectados mediante herramientas automatizadas de reconocimiento.
Validar vulnerabilidades reales
No se limita a enumerar posibles fallos. Comprueba cuáles pueden explotarse y qué consecuencias tendrían.
Analizar la combinación de debilidades
Los ataques rara vez dependen de una única vulnerabilidad. El pentesting permite comprobar si diferentes fallos técnicos, configuraciones inseguras o errores humanos pueden encadenarse.
Evaluar los controles de detección
También permite analizar si el antivirus, el EDR, el SIEM, el firewall o los sistemas de monitorización detectan las acciones realizadas durante la prueba.
Comprobar la capacidad de respuesta
Una organización puede disponer de herramientas de seguridad, pero no detectar o gestionar correctamente una intrusión. El pentesting permite revisar cómo se reciben, analizan y escalan las alertas.
Revisar aplicaciones de IA
Cuando la empresa utiliza chatbots, asistentes o modelos conectados con información interna, el pentesting puede comprobar si existen riesgos de prompt injection, fuga de datos, abuso de permisos o acceso no autorizado.
Concienciar a los empleados
Las pruebas de ingeniería social permiten identificar necesidades de formación y reforzar los procedimientos de verificación ante correos, llamadas o mensajes generados mediante IA.
¿Cada cuánto tiempo debería realizarse un pentesting?
El pentesting no debería considerarse una actividad que se realiza una sola vez.
Los sistemas cambian, aparecen nuevas vulnerabilidades, se incorporan aplicaciones y se modifican las técnicas de ataque. La inteligencia artificial está acelerando además el análisis y explotación de algunas debilidades.
Por ello, resulta recomendable realizar pruebas periódicas y repetirlas cuando se produzcan cambios relevantes, como:
- La publicación de una nueva aplicación.
- Una migración a la nube.
- La incorporación de sistemas basados en IA.
- Cambios importantes en la infraestructura.
- La exposición de nuevos servicios a Internet.
- La modificación de los controles de acceso.
- La detección de un incidente de seguridad.
La frecuencia debe determinarse según el nivel de riesgo, la exposición de los sistemas y los requisitos normativos o contractuales aplicables.
La IA también está mejorando el pentesting
La inteligencia artificial no solo beneficia a los atacantes. También puede ayudar a los profesionales de seguridad durante determinadas fases de un pentesting.
Puede utilizarse como apoyo para organizar resultados, analizar grandes cantidades de información, revisar fragmentos de código o identificar relaciones entre distintos hallazgos.
Sin embargo, no sustituye el criterio del pentester.
Las herramientas automáticas pueden generar falsos positivos, interpretar incorrectamente una configuración o no comprender el impacto de una vulnerabilidad dentro del contexto real de la empresa.
Un pentesting eficaz requiere experiencia, validación manual y conocimiento de los procesos de negocio. La IA puede acelerar algunas tareas, pero las decisiones y conclusiones deben ser supervisadas por profesionales especializados.
Conclusión
La inteligencia artificial está haciendo que determinados ataques sean más rápidos, personalizados y convincentes.
El phishing puede adaptarse mejor a cada víctima, los audios y vídeos falsos dificultan la verificación de identidad, el malware puede generar nuevas variantes y el reconocimiento de una organización puede automatizarse parcialmente.
En este contexto, el pentesting permite comprobar si las medidas de seguridad funcionan ante técnicas similares a las que emplearía un atacante real.
No se trata únicamente de encontrar vulnerabilidades. También permite analizar la exposición pública de la empresa, validar el impacto de los fallos, evaluar la detección de actividades sospechosas y revisar los procedimientos de respuesta.
La combinación de pentesting periódico, monitorización, formación y medidas técnicas permite reducir la superficie de ataque y anticiparse a amenazas que evolucionan cada vez con mayor rapidez.
