La estafa invisible con la que están robando información en Gmail: todo lo hacen un usando IA

El uso de inteligencia artificial para potenciar los ataques en correos electrónicos tienen diferentes modalidades, una de ellas es una estafa invisible que se está dando en Gmail, la plataforma de Google.

Organizaciones ya están alertando sobre el incremento de víctimas de este engaño, que se basa en la capacidad para manipular herramientas automatizadas que gozan de la confianza del usuario.

La Asociación Finlandesa de Telemarketing ha sido una de las entidades pioneras en señalar el riesgo de este tipo de ciberataques. Según sus advertencias, la táctica comienza con un correo electrónico que aparenta ser inofensivo y suele pasar desapercibido en una bandeja de entrada saturada de promociones, suscripciones o avisos automáticos.

Lo que diferencia a este mensaje es la inclusión, al final del cuerpo del correo, de un código escrito en color blanco. Este detalle, que no es visible para el usuario común al leer el mensaje en su pantalla, resulta crucial: representa una orden dirigida directamente al motor de inteligencia artificial que interpreta el contenido, en este caso Gemini.

Cuando el correo es procesado, Gemini detecta ese fragmento oculto y, bajo la instrucción camuflada, genera un resumen o advertencia dirigido al usuario. El punto más crítico ocurre cuando esta síntesis, creada por la Inteligencia Artificial, indica falsamente que la contraseña del destinatario ha sido expuesta y sugiere una rápida acción correctiva.

En ese supuesto aviso, el sistema recomienda llamar a un número de atención al cliente cuyo único propósito es traspasar a la víctima a la trampa final: una central telefónica operada por los propios delincuentes.

La eficacia de la estafa invisible en Gmail se apoya en el respeto y la fe que muchos usuarios tienen en las recomendaciones de sistemas inteligentes como Gemini.

Tal como subraya Arto Isokoski, presidente de la Asociación Finlandesa de Telemarketing, “la eficacia de la estafa reside en que resulta fácilmente creíble para quienes confían en el resumen elaborado por el servicio”. La manipulación no se dirige únicamente al usuario final, sino que explota el potencial persuasivo de una inteligencia artificial considerada confiable por defecto.

Esto ha permitido que el fraude pase inadvertido por un tiempo considerable, independientemente del nivel de experiencia digital del destinatario.

La implantación de la IA en el proceso diario de revisión de correos hace ya rutina confiar en resúmenes, alertas automáticas o recomendaciones tecnológicas personalizadas. Los atacantes, al descubrir este comportamiento, han logrado colar su mensaje malicioso justo en la interfaz en la que el usuario siente mayor protección.

El objetivo de los ciberdelincuentes en esta maniobra es robar información sensible para después lucrar con ella o realizar nuevos ataques. Una vez que el usuario marca el número telefónico que presuntamente resolverá el incidente con su contraseña, accede a una línea de atención que generalmente tiene costos adicionales.

Allí, los operadores, en realidad integrantes de la red de fraude, pueden solicitar datos personales, credenciales de acceso, números de documentos, detalles bancarios o información que facilite el acceso a otras plataformas asociadas al usuario (redes sociales, cuentas de tiendas en línea, aplicaciones de banca digital, entre otras).

En otros casos, los atacantes aprovechan la interacción para inducir a la víctima a ingresar a sitios web fraudulentos donde depositan sus datos de acceso pensando que resuelven una eventualidad legítima. El mismo sentido de urgencia inducido por la IA, sumado al temor por la aparente filtración de una contraseña, potencia el riesgo de que el usuario caiga en la trampa sin sospechar.

Detectar la estafa invisible representa un desafío precisamente por su diseño encubierto, pero existen signos y recomendaciones que los usuarios pueden considerar para minimizar riesgos. Los expertos en ciberseguridad aconsejan estar atentos a situaciones como:

• Avisos automáticos o emergentes que informen sobre una supuesta filtración de contraseña y acompañen dicha alerta con un número telefónico o enlace externo no verificado.
• Llamadas o comunicaciones que urjan a entregar información personal, incluyendo contraseñas o códigos suministrados por aplicaciones de autenticación.
• Mensajes de salida inesperados enviados desde la cuenta personal, cambios en la configuración del perfil, o intentos de inicio de sesión desde dispositivos o ubicaciones desconocidas.