Help Net Security publicó el 3 de agosto de 2026 una entrevista en video con Mike Boyle, VP de Unidades de Negocio en GMO GlobalSign, y Rahul Powar, CEO y fundador de Red Sift, que recorre la historia de la seguridad del correo electrónico desde la era previa a SPF hasta hoy. El punto central no es tanto una estadística nueva sino una admisión estructural de dos personas que construyen esta infraestructura para vivir de ello: las señales delatoras que solían marcar un correo de phishing, frases torpes, modismos mal traducidos, saludos genéricos, ya no existen de forma confiable. La IA generativa ahora produce un correo de phishing convincente y contextualizado en el tiempo que antes le tomaba a un atacante encontrar el cargo de su objetivo.
Ese cambio importa porque la mayor parte de la capacitación en seguridad de correo construida en las últimas dos décadas se basa en enseñar a la gente a notar algo raro. Notar algo raro se vuelve cada vez más difícil cuando la herramienta que escribe el mensaje ha leído el historial público de LinkedIn del destinatario y reproduce el tono de voz real de su empleador. La entrevista lo plantea sin rodeos: la defensa tiene que pasar de detectar una mala redacción a verificar la identidad, porque la calidad de la escritura dejó de ser una señal en la que cualquiera de los dos lados pueda confiar.
Por Qué las Señales de Siempre Están Desapareciendo
Durante años, la capacitación en seguridad se apoyó en una lista conocida: revisar la dirección del remitente, buscar errores de tipeo, desconfiar de la urgencia. Esos controles todavía atrapan el spam poco sofisticado, pero nunca iban a resistir frente a un modelo capaz de redactar un correo impecable y específico al contexto, que mencione una relación real con un proveedor, el nombre real de un proyecto o los patrones reales de escritura de un ejecutivo tomados de correspondencia pública previa. Los atacantes ya no necesitan un redactor humano fluido en el idioma y la jerga del sector del objetivo. Necesitan un prompt.
Lo que no cambia con una mejor redacción es el transporte subyacente. Un correo falsificado todavía tiene que afirmar que proviene de un dominio desde el que en realidad no se envió, a menos que el remitente use una cuenta genuinamente comprometida. Esa es la capa que la IA no ha encontrado cómo eludir, y es la capa que DMARC, SPF y DKIM fueron creados para vigilar.
La Autenticación Como la Señal que No Se Puede Generar con un Prompt
DMARC le indica a un buzón receptor si el dominio remitente declarado está respaldado por una autenticación SPF o DKIM válida y alineada con ese dominio. Ningún resultado de un modelo de lenguaje cambia si ese control se aprueba o no. Un atacante puede escribir un correo indistinguible de uno real, pero sin controlar el DNS y las claves de firma del dominio, ese correo sigue fallando DMARC cuando intenta suplantar a un dominio protegido.
BIMI extiende esa misma autenticación hacia algo que un destinatario puede notar sin leer encabezados técnicos. Un logo de marca verificado aparece junto al mensaje en la bandeja de entrada, pero solo para dominios que ya aplican DMARC en p=quarantine o p=reject. Ese requisito es justamente el punto clave. Un logo no vale nada como señal de confianza si cualquier remitente puede adjuntarlo a cualquier mensaje, así que BIMI vincula la visualización al nivel de aplicación de DMARC que un dominio realmente alcanzó, no a una afirmación en el cuerpo del mensaje.
Llevar un dominio hasta ese punto hoy pasa por uno de dos tipos de certificado. Un Verified Mark Certificate exige una marca registrada y muestra una marca de verificación junto al logo. Un Common Mark Certificate, una alternativa más nueva y económica que varios proveedores de bandeja de entrada, incluido Gmail, ya aceptan, solo exige que el logo haya estado en uso público durante al menos doce meses, sin necesidad de registro de marca. Ambos siguen exigiendo el mismo requisito previo de aplicación de DMARC por debajo.
La Industria se Está Consolidando Alrededor de Este Dúo
La entrevista se da en el contexto de una alianza que Red Sift y GMO GlobalSign anunciaron el 15 de junio de 2026, que combina la plataforma OnDMARC de Red Sift con la emisión de certificados de GMO GlobalSign, de modo que un propietario de dominio pueda pasar del monitoreo de DMARC a la emisión de un VMC o CMC y llegar a un logo BIMI activo sin coordinar por separado entre proveedores distintos. Ese tipo de empaquetado es en sí mismo una señal: dos empresas que venden infraestructura de autenticación y certificados de marca para vivir de ello están apostando a que la brecha entre “técnicamente autenticado” y “visiblemente confiable para un destinatario” es hacia donde se dirige la próxima ola de inversión en defensa de correo, precisamente porque la IA volvió al contenido de un mensaje en un indicador peor que nunca.
Lo Que Esto Significa para tu Dominio
Deja de entrenar a tu gente para detectar mala redacción como defensa principal. Ya era un control débil. Frente al phishing generado por IA es casi inútil, y seguir apoyándose en él le da a tu organización una falsa confianza.
Lleva DMARC a nivel de aplicación si aún no lo hiciste. Un registro en p=none te da visibilidad sobre quién envía en nombre de tu dominio, pero no bloquea nada y no es elegible para mostrar BIMI, sin importar cuán bueno sea tu logo.
Trata a BIMI como el paso siguiente a la aplicación, no como uno previo. Un CMC ahora es una opción realista para marcas sin registro de marca, lo que elimina la excusa de que BIMI era solo para grandes empresas litigiosas protegiendo una marca legal.
Espera que los destinatarios se apoyen más en señales visuales y estructurales que textuales. A medida que la IA erosiona la señal de calidad de escritura, un logo verificado junto a un mensaje se convierte en una de las pocas pistas en las que un destinatario puede confiar sin tener que inspeccionar un solo encabezado.
La Conclusión
Lo incómodo de esta entrevista es lo ordinaria que hace sonar la amenaza del phishing con IA. No es un exploit novedoso ni un día cero. Es una herramienta que escribe texto convincente con rapidez, aplicada a un problema, engañar a una persona para que confíe en un mensaje, que existe desde que existe el correo electrónico. La única pieza de esa ecuación que la IA no ha tocado es la autenticación a nivel de dominio, y por eso mismo la aplicación de DMARC y el logo BIMI construido sobre ella se están convirtiendo en la base mínima y no en un extra deseable.
Excello Mail te ayuda a llevar tu dominio a la aplicación de DMARC y te da visibilidad continua sobre tu configuración de SPF, DKIM y BIMI, para que la señal de confianza que un destinatario ve en su bandeja de entrada esté respaldada por autenticación real por debajo. Regístrate gratis en Excello Mail y descubre en qué punto está tu dominio hoy.