La inteligencia artificial ha dejado de ser un juguete exótico para los cibercriminales. Según un informe de la firma de análisis Flashpoint, AI está ahora integrado en los procesos rutinarios de los atacantes, desde el descubrimiento de las víctimas hasta la demanda final de rescate. Estos ya no son experimentos de los entusiastas sino una herramienta de pleno derecho que está cambiando la economía de los ataques. Y los está cambiando radicalmente: lo que una vez requerido conocimiento técnico profundo está ahora disponible para casi cualquier persona con una suscripción al servicio correcto.
AI se ha convertido en subterráneo
Los investigadores de Flashpoint analizaron un volumen masivo de datos — 3.9 petabytes— recogidos de foros subterráneos, chats cerrados y otras infraestructuras criminales. En los primeros seis meses de 2026, encontraron menciones de herramientas de IA vinculadas al cibercrimen en más de 22 millones de mensajes. La figura en sí es impresionante, pero otra observación es mucho más interesante: una parte significativa de estas herramientas ya ha desaparecido de las comunidades criminales públicas.
Los delincuentes claramente no quieren exponer sus acontecimientos. Están moviendo IA a la infraestructura privada y utilizando cada vez más sus propios modelos de lenguaje con todos los guardias de seguridad completamente despojados. Este es un paso lógico: ChatGPT comercial y servicios similares tienen barreras incorporadas que impiden su uso para escribir código malicioso o crear campañas convincentes de phishing. Un modelo personalizado no tiene tal problema.
En esencia, la IA se está convirtiendo en parte del arsenal estándar, como lugar común, como, por ejemplo, un exploit o un panel de control de botnet. Ya no está relegada a una categoría separada de "tecnologías experienciales" sino que simplemente está construida en el oleoducto de ataque.
Cómo funciona exactamente AI en las manos de los atacantes
El uso de la IA cubre prácticamente todas las etapas de un ataque. Este no es un escenario único, sino todo un espectro de tareas que antes requerían trabajo manual y altos niveles de habilidad.
- Reunir información sobre la víctima. AI ayuda a construir rápidamente un perfil detallado de una empresa o un empleado específico. Analiza fuentes abiertas, redes sociales y filtraciones de datos, y saca exactamente los detalles que pueden ser explotados.
- Crear mensajes de phishing. Este es quizás el caso de uso más obvio. AI genera correos electrónicos que parecen ser escritos por un verdadero colega o banco. Y lo hace a escala, adaptado a las características específicas de cada víctima.
- Escribir guiones para evitar defensas. Los atacantes utilizan AI para crear o modificar scripts maliciosos que ayudan a evadir software antivirus y otras medidas de seguridad.
- Generando código de explotación. Este es un nivel más avanzado. AI ayuda no sólo a encontrar una vulnerabilidad, sino también a escribir rápidamente un programa de trabajo para explotarlo. Esto solía ser el dominio de especialistas estrechos; ahora es casi un proceso automatizado.
El fundador de Flashpoint Josh Lefkowitz captó con precisión la esencia del cambio: AI reduce la brecha entre el surgimiento de una oportunidad y su explotación. Anteriormente, entre descubrir una vulnerabilidad y lanzar un ataque a gran escala, se necesitaba tiempo para escribir manualmente código. Ahora esa etapa se comprime al mínimo. Las tareas que requieren meses de entrenamiento y práctica se completan en minutos.
Economía de los ataques: más barato y más estandarizado
El estudio Flashpoint reveló otra tendencia importante: el cibercrimen se está convirtiendo en un verdadero mercado con bienes y servicios. Las etapas individuales de los ataques se estandarizan y se venden como productos listos. El ejemplo más llamativo es infostealers — programas maliciosos que roban datos de dispositivos infectados. En la primera mitad de 2026, infectaron 7,4 millones de dispositivos en todo el mundo y robaron alrededor de 1.700 millones de credenciales y otros artefactos identificativos.
Las familias más extendidas son Vidar, StealC y Lumma. Notablemente, se distribuyen en un modelo de suscripción: cualquiera puede alquilar un infostealer por un período establecido. Esto reduce la barrera a la entrada — no hay necesidad de escribir código malicioso usted mismo; usted puede simplemente "prender" una herramienta lista.
Of particular value to criminals are not the passwords themselves but active browser session tokens. Con estos, un atacante puede acceder a la cuenta de una víctima sin siquiera saber la contraseña. Esto hace que los ataques sean aún más peligrosos porque los usuarios pueden no sospechar que sus cuentas ya han sido comprometidas.
El costo del acceso inicial a los sistemas comprometidos también ha disminuido. El precio medio de dicho acceso fue de $439 — 69% menor que antes. Esto confirma además que el mercado se está saturando con la oferta y la competencia entre los ciberdelincuentes está creciendo.
Vulnerabilidades crecientes y Ransomware
El número de vulnerabilidades sigue creciendo. Flashpoint registró 21.667 vulnerabilidades en los primeros seis meses de 2026 - 8% más que en el mismo período del año pasado. De ellos, 4.015 (casi uno de cada cinco) fueron acompañados por código de explotación disponible públicamente. Esto significa que incluso un atacante inexperto no necesita entender los detalles ellos mismos — código listo ya está disponible en abierto.
Ransomware también está rompiendo registros. El número de víctimas confirmadas en la primera mitad de 2026 alcanzó 6.256, un 45% respecto del mismo período en 2025. El crecimiento se explica no sólo por el aumento del número de ataques, sino también por el hecho de que AI permite la automatización de su preparación y ejecución.
Conclusión: La lucha tendrá que ser sobre la velocidad
La clave del informe de Flashpoint es que la ciberseguridad está cambiando de dirección. Anteriormente, la defensa se construyó en torno a la lucha contra herramientas específicas y firmas de malware conocidas. Eso ya no es suficiente. AI puede acelerar varios procesos simultáneamente: recopilar información sobre una empresa, preparar mensajes convincentes, analizar código y adaptar herramientas maliciosas a defensas específicas.
Los ataques se están volviendo más rápidos, más baratos y más accesibles. La idea misma de "construir una valla" contra un virus específico se está volviendo obsoleta: la defensa estática está dando paso a la necesidad de responder a la velocidad de toda la cadena de ataque. Mientras que algunos AIs escriben correos electrónicos en nombre de su CEO, otros adaptan código malicioso a su antivirus. Y en esta carrera, la ventaja va a quien sea más rápido, y hasta ahora, eso no es claramente los defensores.
