Cómo proteger tu pyme de los ataques potenciados por inteligencia artificial

La inteligencia artificial puede facilitar la creación de mensajes fraudulentos convincentes, la suplantación de identidad y la búsqueda de vulnerabilidades. Para una pequeña empresa, la respuesta empieza por reforzar sus controles básicos y acordar cómo actuar ante una solicitud sospechosa.

El 3 de noviembre de 2026, el Centro Criptológico Nacional (CCN) publicó los resultados de una autoevaluación sobre preparación ante la IA ofensiva. Participaron 618 entidades públicas y privadas y el organismo preparó un plan de acción con 53 iniciativas. Los resultados describen a las entidades participantes, no a todas las empresas españolas ni específicamente a las pymes.

Qué puede cambiar con la IA ofensiva

Un correo falso ya no necesita contener errores evidentes para ser peligroso. Un atacante puede adaptar el tono al destinatario o hacerse pasar por un proveedor, un compañero o un directivo. También puede utilizar contenido generado para apoyar un intento de fraude. Ningún mensaje, audio o llamada debe considerarse auténtico únicamente porque resulte creíble.

Por ejemplo, si llega una petición urgente para cambiar el IBAN de un proveedor, confirma el cambio llamando a un número que ya conste en tus registros. No uses como único canal de verificación los datos incluidos en el mensaje sospechoso.

Cinco medidas para empezar

1. Protege las cuentas importantes. Activa la autenticación multifactor, especialmente en correo, banca y administración. Cuando sea posible, utiliza métodos resistentes al phishing, como claves de seguridad o llaves de acceso compatibles.
2. Actualiza y corrige vulnerabilidades. Mantén un inventario de equipos y servicios, asigna responsables y prioriza las actualizaciones de seguridad. Comprueba también los sistemas expuestos a internet.
3. Verifica los cambios sensibles. Establece una segunda comprobación por un canal conocido para pagos, cambios de cuenta bancaria y solicitudes de acceso. Deja claro quién puede aprobar cada operación.
4. Revisa proveedores y permisos. Identifica qué aplicaciones y servicios de IA acceden a información de la empresa, limita los permisos necesarios y retira los accesos que ya no se usan.
5. Prepara la respuesta. Define a quién avisar, cómo bloquear una cuenta comprometida y cómo recuperar los datos. Comprueba periódicamente que las copias de seguridad se pueden restaurar.

Las prioridades concretas dependen de tus sistemas, datos y exposición. El CCN destaca, entre otras medidas, el parcheo, la autenticación resistente al phishing y el control de la cadena de suministro de componentes de IA; las cinco acciones anteriores son una adaptación práctica para una pyme, no una certificación ni una reproducción completa de su plan.

Señales de una posible suplantación

La urgencia y el cambio inesperado del procedimiento son señales para detenerse, aunque el mensaje parezca escrito por alguien conocido. Tres situaciones frecuentes merecen una comprobación independiente:

• Pago o cambio de cuenta bancaria: un supuesto proveedor pide ingresar una factura en un IBAN nuevo. Llama al contacto habitual y verifica el número completo antes de modificar la ficha.
• Acceso a una cuenta: un mensaje que parece del soporte solicita introducir la contraseña o aprobar un acceso que nadie ha iniciado. Entra por la dirección habitual del servicio y consulta con la persona administradora.
• Petición de dirección: una llamada o audio atribuido a un responsable solicita saltarse la aprobación de un pago. Confirma mediante el canal ya acordado y mantén la doble autorización.

Una voz familiar, un logotipo o una conversación previa no son pruebas suficientes. El canal de confirmación debe obtenerse de un registro fiable, no del propio mensaje.

Qué hacer si ya has interactuado con un mensaje fraudulento

1. Detén la operación y avisa: informa a la persona responsable de seguridad o al proveedor de soporte; si se trata de un pago, contacta inmediatamente con el banco por sus canales habituales.
2. Contén el acceso: si has facilitado credenciales o aprobado un inicio de sesión, utiliza un dispositivo fiable para cambiar la contraseña, revocar sesiones y revisar los métodos de recuperación. Pide ayuda al administrador para revisar reglas de reenvío y accesos de terceros.
3. Conserva la información: guarda el mensaje, las horas y los datos de la operación sin reenviarlos indiscriminadamente. Anota qué cuenta o equipo se vio afectado.
4. Evalúa el alcance y recupera: revisa las operaciones y permisos, restaura desde copias comprobadas cuando corresponda y documenta cómo evitar una repetición. Si hay datos personales afectados, consulta con tu responsable de protección de datos las obligaciones aplicables.

La prioridad y los pasos exactos dependen del incidente. No borres evidencias ni desconectes sistemas críticos sin coordinarlo con quien gestiona la respuesta.

Plan inicial de 30 días para una pyme

Es una propuesta orientativa, no un plazo oficial del CCN. Si una cuenta está comprometida o falta una copia recuperable, atiende ese riesgo sin esperar al calendario.

Una conversación útil con el equipo

Dedica una reunión breve a repasar dos casos: una factura con datos bancarios nuevos y una petición urgente de acceso a una cuenta. Pregunta qué haría cada persona, dónde encontraría el contacto verificado y a quién avisaría. Después, documenta el procedimiento y comprueba que sea fácil de seguir también cuando la persona responsable esté ausente.

Si tu empresa utiliza herramientas generativas, revisa además cómo proteger los datos sensibles al usarlas. La seguridad frente a los ataques externos y el control de la información que se envía a proveedores son problemas relacionados, pero requieren decisiones distintas.

Fuente

Estado de preparación de las entidades frente a la IA ofensiva, CCN-CERT, 3 de noviembre de 2026. Consultado el 9 de noviembre de 2026.