Durante años, la respuesta estándar al phishing fue la misma: detectar el dominio malicioso, añadirlo a una lista negra y bloquearlo. El sistema funcionaba cuando los atacantes usaban la misma infraestructura durante semanas. Ya no funciona. Y la inteligencia artificial ha terminado de romperlo.
El 89% de los dominios de phishing activos hoy duran menos de dos días. Para cuando un dominio fraudulento llega a una lista de bloqueo — después de ser detectado, analizado, reportado e incorporado — la campaña ya ha rotado a nueva infraestructura y el dominio original ha sido abandonado. Las listas negras persiguen una sombra que se mueve más rápido de lo que pueden actualizarse.
🔍 ¿Dudas de un mensaje recibido?
Analiza remitentes, enlaces o archivos en tiempo real con nuestro scanner.
Qué ha cambiado con la IA
Los atacantes siempre han rotado dominios. Lo que ha cambiado es la velocidad y el coste de hacerlo. Generar una página de phishing convincente — con el logo correcto, el formulario adecuado, el tono exacto de la marca suplantada — requería tiempo y habilidad. Ahora un atacante puede capturar una pantalla de la web legítima de un banco y generar en minutos un clon funcional con código completamente nuevo, sin ningún patrón reconocible que los sistemas de análisis estático puedan identificar.
El resultado es infraestructura diseñada para ser desechable desde el principio. Los atacantes no esperan a ser detectados para cambiar de dominio — rotan proactivamente, tratando cada página como de un solo uso. Combinado con el uso de plataformas legítimas (Cloudflare Workers, Google Firebase, SharePoint, Adobe, Jotform) para alojar el contenido malicioso, el dominio que ve la víctima puede tener una reputación impecable que ninguna lista negaría.
El problema de las listas de firmas
Cuando los dominios dejaron de ser suficientes para identificar el phishing, la respuesta del sector fue detectar por firma de kit — analizar la estructura del JavaScript, los patrones del HTML, las huellas del código del ataque. Un kit de phishing identificado podía generar detecciones que sobrevivían aunque la infraestructura rotara.
Ese nivel de detección también está erosionándose. Los kits de phishing se fragmentan, se bifurcan y se modifican con ayuda de IA a una velocidad que hace imposible mantener firmas actualizadas. El device code phishing — una técnica que abusa del flujo de autenticación OAuth para dispositivos sin interfaz — pasó de ser una herramienta exclusiva de grupos de espionaje estatal a estar disponible en más de 25 kits criminales distintos en menos de dos años. Cada kit tiene su propio código, sus propias variantes, sus propias huellas — y ninguna lista de firmas puede cubrirlos a todos a tiempo.
Lo que no cambia: la técnica
Los dominios rotan. Los kits se fragmentan. La infraestructura se abandona. Pero la mecánica de los ataques no cambia con la misma velocidad.
Un ataque adversary-in-the-middle (AiTM) — el tipo de phishing que intercepta la sesión del usuario en tiempo real para capturar credenciales y tokens de MFA — funciona siempre de la misma manera, independientemente del kit que lo implemente o del dominio desde el que se sirva. El atacante actúa como proxy entre la víctima y el servicio legítimo, retransmitiendo credenciales en tiempo real. La infraestructura cambia; la mecánica, no.
Lo mismo ocurre con ClickFix — el phishing que inyecta comandos maliciosos en el portapapeles del usuario y le instruye para que los pegue y ejecute. El envoltorio visual varía (un CAPTCHA falso, una actualización de navegador, un error de pantalla), pero el comportamiento es siempre el mismo: el usuario copia un comando que no ha redactado él y lo ejecuta creyendo que es la solución a algo.
Detectar por técnica en lugar de por indicador es lo que permite que una detección sobreviva a la rotación de infraestructura, a la proliferación de kits y a la fragmentación de firmas. No importa qué dominio use el atacante si el sistema detecta que se está produciendo una intercepción de sesión OAuth. No importa qué kit usó si el sistema detecta que el usuario acaba de pegar y ejecutar un comando inyectado en su portapapeles.
Qué significa esto para el análisis de mensajes
Un análisis basado exclusivamente en listas negras — "este dominio aparece en las bases de datos de phishing conocido" — tiene una ventana de detección cada vez más estrecha. Los dominios fraudulentos que llevan menos de 48 horas activos, los que están alojados en plataformas legítimas de confianza, o los generados con código completamente nuevo sin firmas reconocibles, pueden pasar sin ser detectados por sistemas que solo comparan contra lo conocido.
El análisis forense orientado a comportamiento — que examina si la autenticación del remitente es coherente con quien dice ser, si el dominio tiene una antigüedad incompatible con la entidad que suplanta, si la estructura del mensaje replica los patrones de ingeniería social de campañas activas, si las URLs pasan por cadenas de redirección diseñadas para ocultar el destino final — es más robusto frente a infraestructura nueva precisamente porque no depende de que el dominio esté en una lista.
ORTSLAB analiza los mensajes mediante señales técnicas verificables: autenticación SPF/DKIM/DMARC, antigüedad de dominio via RDAP, reputación de URLs, homoglifos Unicode, patrones de ingeniería social en el texto, presencia de acortadores y redirecciones encubiertas. Ninguna de esas señales depende de que el dominio sea "conocido" — dependen de que el comportamiento del mensaje sea coherente con lo que afirma ser.
Qué hacer cuando recibes un mensaje sospechoso
La evolución de las técnicas de phishing tiene una implicación directa para el usuario: no puedes confiar en que tu navegador o tu cliente de correo te avise a tiempo. Si el dominio tiene menos de 48 horas, probablemente no esté en ninguna lista. Si está alojado en un servicio legítimo de confianza, la reputación del dominio es irreprochable. Si el código es completamente nuevo, no hay firma que lo identifique.
Lo que sí puedes hacer:
- No actuar por urgencia. Los mensajes de phishing diseñados por IA son más convincentes que nunca en tono y presentación — pero la urgencia artificial sigue siendo la señal más constante. Si un mensaje te presiona para actuar en minutos, es el momento de detenerse, no de acelerar.
- Verificar el remitente técnicamente, no visualmente. El nombre visible del remitente no dice nada. El dominio real desde el que se envió el mensaje, su antigüedad y su autenticación sí lo dicen.
- No hacer clic en enlaces de mensajes no solicitados aunque el dominio parezca legítimo. Accede directamente a la web del servicio escribiendo la dirección en el navegador.
- Analizar el mensaje antes de interactuar con él. Si tienes dudas, pégalo en ORTSLAB antes de abrir nada.