El informe semestral de ESET revela cómo la inteligencia artificial está replanteando el panorama de las amenazas, desde malware capaz de adaptarse dinámicamente hasta campañas de phishing y ransomware cada vez más sofisticadas. La inteligencia artificial está transformando el cibercrimen. El informe Threat Report H1 2026 de ESET analiza cómo evolucionan el malware, el phishing, el ransomware y las nuevas técnicas de ataque. Preocupantemente, por acción de la ciberdelincuencia, la inteligencia artificial se está convirtiendo en un acelerador del cibercrimen. El reciente informe ESET Threat Report H1 2026 muestra que los atacantes ya utilizan IA para hacer sus campañas más eficientes, adaptar malware a distintos entornos y perfeccionar técnicas como ClickFix, el quishing y el ransomware, ampliando significativamente la superficie de ataque para organizaciones y usuarios.

Claves de la noticia

• La IA comienza a integrarse directamente dentro del malware.
• ESET identificó más de 3.000 AI Skills maliciosas durante el semestre.
• PromptSpy utiliza IA generativa para adaptarse dinámicamente al dispositivo comprometido.
• ClickFix evoluciona hacia plataformas de IA y servicios cloud.
• El quishing alcanza niveles récord dentro de las campañas de phishing.
• El ransomware mantiene su crecimiento, aunque cada vez menos víctimas pagan los rescates.

Buenos Aires, Argentina, 19 de julio de 2026.— La inteligencia artificial ya no es únicamente una herramienta para fortalecer la ciberseguridad. También comienza a desempeñar un papel cada vez más importante en manos de los atacantes. Lejos de reemplazar las técnicas tradicionales, la IA está permitiendo que amenazas ya conocidas evolucionen con mayor rapidez, sean más adaptables y resulten más difíciles de detectar.

El ESET Threat Report correspondiente al primer semestre de 2026 identifica una tendencia clara: el ecosistema del cibercrimen está incorporando capacidades de inteligencia artificial para automatizar procesos, reducir costos operativos y aumentar la eficacia de campañas de phishing, malware y ransomware.

Entre los hallazgos más relevantes destacan la aparición de PromptSpy, considerado el primer malware para Android que incorpora IA generativa durante su ejecución; el crecimiento del phishing mediante códigos QR o quishing; la expansión de la técnica ClickFix hacia nuevos escenarios y el uso continuo de herramientas capaces de desactivar soluciones de seguridad durante ataques de ransomware. Más que una colección de amenazas aisladas, el informe retrata un cambio estructural en la forma en que evolucionan los ciberataques.

Durante los últimos años, la conversación sobre inteligencia artificial en ciberseguridad estuvo dominada por las oportunidades: automatizar la detección de amenazas, acelerar la respuesta ante incidentes y fortalecer la protección de infraestructuras críticas. Sin embargo, el escenario comienza a cambiar.

Los mismos avances tecnológicos que hoy ayudan a los equipos de seguridad también están siendo aprovechados por los ciberdelincuentes para optimizar sus operaciones. El resultado no es necesariamente la aparición de amenazas completamente nuevas, sino una evolución mucho más rápida de técnicas ya conocidas que ahora pueden adaptarse mejor a cada víctima y evadir con mayor eficacia los mecanismos tradicionales de defensa.

Ese es el principal mensaje que deja el ESET Threat Report H1 2026, un análisis que combina la telemetría global de la compañía con el trabajo de sus equipos de investigación para identificar las tendencias que marcaron el panorama de amenazas entre diciembre de 2025 y mayo de 2026.

El creciente desafío que enfrenta la industria

La historia de la ciberseguridad ha demostrado que cada gran innovación tecnológica genera, casi de inmediato, nuevas oportunidades tanto para defensores como para atacantes. Ocurrió con la virtualización, la computación en la nube, los dispositivos móviles y, más recientemente, con la inteligencia artificial generativa. La diferencia es que esta vez la velocidad del cambio parece mucho mayor.

En lugar de desarrollar herramientas completamente nuevas, los grupos criminales están reutilizando técnicas ampliamente conocidas, pero potenciándolas mediante modelos de IA que les permiten automatizar tareas, adaptarse a distintos entornos y escalar ataques con menos recursos.

Como explica Jiří Kropáč, director de los Laboratorios de Prevención de Amenazas de ESET:

En lugar de recurrir a métodos y herramientas completamente nuevos, los atacantes están adaptando rápidamente técnicas ya establecidas a nuevas plataformas, tecnologías y comportamientos de los usuarios. El número de habilidades de IA dentro de este nuevo ecosistema está creciendo rápidamente en este mismo momento, lo que amplía aún más la superficie de ataque. Por otro lado, PromptSpy ilustra el potencial de una mayor flexibilidad en las amenazas futuras, aunque es probable que las medidas de protección contra el abuso incluidas en los modelos de lenguaje grande (LLM) estén frenando su adopción», explicó Kropáč.

Esta evolución representa un cambio importante para las organizaciones, ya que obliga a revisar estrategias de defensa que hasta hace poco resultaban suficientes frente a amenazas convencionales.

La IA deja de ser una herramienta defensiva

Uno de los aspectos más llamativos del informe es que la inteligencia artificial ya no aparece únicamente como un recurso utilizado por los equipos de seguridad. Comienza a formar parte del propio ciclo de ejecución del malware. Durante el primer semestre de 2026, los investigadores de ESET analizaron cerca de 900.000 AI Skills, pequeños componentes funcionales utilizados por agentes de inteligencia artificial para ejecutar tareas específicas. El resultado fue revelador.

De ese universo identificaron alrededor de 25 mil habilidades sospechosas y más de 3 mil directamente maliciosas, una cifra que evidencia el rápido crecimiento de un nuevo ecosistema de herramientas potencialmente peligrosas.

Muchas de estas habilidades permiten automatizar acciones ofensivas, modificar comportamientos del agente o interactuar con herramientas externas utilizadas habitualmente durante campañas de ataque. Aunque algunas se presentan como utilidades legítimas, otras pueden convertirse en mecanismos de persistencia, evasión o automatización de actividades maliciosas. Más allá de los números, el dato realmente importante es otro: la superficie de ataque comienza a expandirse hacia un territorio completamente nuevo.

PromptSpy: cuando el malware aprende a adaptarse

Uno de los descubrimientos más relevantes del informe es la identificación de PromptSpy, considerado el primer malware para Android conocido que incorpora inteligencia artificial generativa durante su ejecución. En lugar de depender exclusivamente de instrucciones programadas de forma rígida, PromptSpy utiliza el modelo Gemini de Google para interpretar elementos de la interfaz del dispositivo donde se ejecuta.

En términos prácticos, esto significa que el malware puede comprender mejor el contexto donde opera y adaptar determinadas acciones sin requerir múltiples versiones específicamente desarrolladas para distintos dispositivos. Aunque todavía se trata de una amenaza incipiente, representa un cambio conceptual importante. Durante décadas, la mayor parte del malware funcionó siguiendo reglas previamente definidas por sus desarrolladores. La incorporación de IA introduce un nivel adicional de flexibilidad que podría acelerar la evolución de futuras familias de código malicioso.

No obstante, ESET señala que las propias medidas de seguridad implementadas en los grandes modelos de lenguaje todavía limitan, en cierta medida, la adopción masiva de este tipo de enfoques.

ClickFix evoluciona y encuentra nuevos escenarios

Si hubo una técnica que consolidó su crecimiento durante este semestre fue ClickFix. Originalmente conocida por utilizar falsos mensajes de error y verificaciones CAPTCHA para convencer al usuario de ejecutar acciones peligrosas, ahora amplía considerablemente su alcance.

Los investigadores observaron campañas que utilizan páginas de soporte relacionadas con herramientas de inteligencia artificial, falsas extensiones para navegadores y procesos de autenticación en plataformas cloud. En algunos casos, incluso aparecen dominios que imitan servicios populares de IA generativa para inducir al usuario a seguir instrucciones falsas de resolución de problemas. La evolución más interesante es ConsentFix, una variante que ya no busca únicamente obtener credenciales.

Su objetivo consiste en secuestrar sesiones mediante autorización OAuth, robando tokens válidos sin necesidad de conocer la contraseña del usuario. Este enfoque puede incluso evitar mecanismos de autenticación multifactor, aprovechando procesos legítimos de inicio de sesión. Las detecciones relacionadas con este vector crecieron de forma sostenida respecto al semestre anterior, confirmando que se trata de una técnica en plena expansión.

El quishing confirma que el phishing también evoluciona

Durante años, los usuarios aprendieron a desconfiar de enlaces sospechosos enviados por correo electrónico. Los atacantes encontraron entonces un nuevo camino. Los códigos QR.

El denominado quishing utiliza códigos QR para ocultar enlaces maliciosos y trasladar la interacción hacia dispositivos móviles, donde resulta más difícil inspeccionar manualmente la dirección antes de acceder al sitio. Según ESET, aproximadamente el 11 % de todos los correos electrónicos de phishing detectados durante el primer semestre de 2026 incorporaban códigos QR. Estados Unidos, España y México concentraron la mayor cantidad de detecciones. La tendencia refleja cómo los atacantes adaptan constantemente sus campañas al comportamiento cotidiano de los usuarios.

Escanear un código QR se ha convertido en una acción casi automática, especialmente después de la aceleración de los pagos digitales, los menús electrónicos y los servicios sin contacto. Esa confianza es precisamente la que hoy buscan explotar los ciberdelincuentes.

El ransomware mantiene la presión sobre las organizaciones

A pesar de los avances registrados por las plataformas de protección, el ransomware continúa siendo una de las principales amenazas para empresas y organismos públicos. El informe destaca la proliferación de herramientas conocidas como EDR Killers, diseñadas específicamente para desactivar soluciones de seguridad antes de desplegar el cifrado de archivos. Los investigadores documentaron más de un centenar de variantes activas y advierten que siguen apareciendo nuevas versiones con regularidad. Sin embargo, el mercado también muestra una tendencia interesante. Aunque el número de ataques continúa creciendo, cada vez menos organizaciones aceptan pagar los rescates.

Diversos estudios de la industria sitúan actualmente esa cifra entre el 14 % y el 28 % de las víctimas, uno de los niveles más bajos registrados hasta la fecha. Esto sugiere que las estrategias de respaldo, recuperación y resiliencia comienzan a generar resultados frente a este modelo de extorsión digital.

Qué deben hacer las organizaciones ahora

El informe deja varias lecciones para responsables de TI, equipos de ciberseguridad y líderes empresariales. La primera consiste en comprender que la IA ya forma parte del ecosistema de amenazas y que las estrategias defensivas deberán evolucionar al mismo ritmo.

También resulta fundamental fortalecer la capacitación de los usuarios frente a nuevas técnicas de ingeniería social, especialmente aquellas relacionadas con códigos QR, plataformas de inteligencia artificial y procesos de autenticación en servicios cloud.

Al mismo tiempo, las organizaciones deberían revisar sus políticas de gestión de identidades, reforzar el monitoreo de accesos mediante OAuth y mantener actualizados sus mecanismos de detección y respuesta frente a amenazas que buscan desactivar soluciones de seguridad antes de ejecutar un ataque. La tecnología sigue siendo indispensable, pero la preparación de las personas continúa siendo uno de los factores decisivos para reducir el riesgo.

Relación con el clúster

Clúster: Ciberseguridad, Inteligencia Artificial, Gestión del Riesgo, Protección de Endpoints, Seguridad Cloud.

Este informe refuerza una tendencia que IT/USERS® Magazine viene siguiendo durante los últimos años: la convergencia entre inteligencia artificial y ciberseguridad está transformando tanto las herramientas de defensa como las tácticas empleadas por los atacantes. Comprender esta evolución será clave para definir las estrategias tecnológicas de empresas y organismos públicos durante los próximos años.

¿Por qué importa?

La incorporación de inteligencia artificial dentro del ciclo de vida de los ciberataques marca un punto de inflexión para la industria. Si hasta ahora las organizaciones competían contra amenazas relativamente predecibles, la nueva generación de malware y campañas de ingeniería social promete ser más dinámica, adaptable y escalable. Esto obliga a replantear modelos tradicionales de protección y acelerar la adopción de estrategias basadas en inteligencia de amenazas, automatización y respuesta continua.

Visión Estratégica

Más allá de las cifras, el informe de ESET refleja un cambio económico en el cibercrimen. La inteligencia artificial reduce el costo operativo de desarrollar campañas, automatiza procesos que antes requerían intervención humana y permite personalizar ataques con una velocidad sin precedentes. En otras palabras, la IA no está reemplazando a los ciberdelincuentes: está multiplicando su capacidad de operación.

Para las organizaciones, el desafío ya no consiste únicamente en incorporar inteligencia artificial a sus herramientas de defensa. También será necesario anticipar cómo los adversarios utilizarán esa misma tecnología para innovar, escalar y perfeccionar sus ataques. En este nuevo escenario, la ventaja competitiva en ciberseguridad dependerá menos de reaccionar ante incidentes y más de la capacidad para anticipar tendencias, fortalecer la resiliencia digital y construir una cultura de seguridad que evolucione al mismo ritmo que las amenazas.

Datos citables

• ESET analizó cerca de 900.000 AI Skills durante el primer semestre de 2026.
• Se identificaron aproximadamente 25.000 habilidades sospechosas y más de 3.000 maliciosas.
• PromptSpy es el primer malware conocido para Android que utiliza IA generativa durante su ejecución.
• El 11 % del phishing detectado incorporó códigos QR.
• Más de 100 variantes de herramientas EDR Killers permanecen activas.
• Solo entre el 14 % y el 28 % de las víctimas de ransomware terminaron pagando el rescate.

Knowledge Layer

• Tecnologías clave: Inteligencia Artificial Generativa, Android, Gemini, OAuth, MFA, IA Agéntica, AI Skills, EDR, Detección y Respuesta, Ingeniería Social, Phishing, Quishing, Seguridad Cloud.
• Sectores impactados: Empresas, sector público, banca, salud, retail, telecomunicaciones, infraestructura crítica, educación y servicios digitales.
• Concepto central: La inteligencia artificial deja de ser exclusivamente una herramienta de defensa para convertirse también en un acelerador de la evolución del cibercrimen.

Tu Opinión Importa 🗣️

La inteligencia artificial promete fortalecer la seguridad digital, pero también está proporcionando nuevas capacidades a los ciberdelincuentes.

¿Crees que las organizaciones están preparadas para enfrentar una nueva generación de amenazas impulsadas por IA o la velocidad de esta evolución supera la capacidad de respuesta de las empresas? Comparte tu opinión y participa en la conversación con la comunidad de IT/USERS® Magazine. #itusers28aniversario #superfan

Apoya al Periodismo Independiente

¿Te sirvió en algo este contenido?, ayúdanos a combatir la Desinformación, dona desde S/ 1.00 a nuestro PLIN 943-438-457