La Oficina Federal de Seguridad de la Información de Alemania, la BSI, publicó el miércoles 7 de octubre de 2026 un estudio conjunto con la Asociación de Agencias de Inspección Técnica, TUV, y su mensaje es directo. Las empresas alemanas son vulnerables y no están preparadas para una creciente ola de ciberataques impulsados por IA, y la exposición ya es tan amplia que el vicepresidente de la BSI, Thomas Caspers, describió la IA como algo con “consecuencias inmediatas y estratégicas para la seguridad nacional”.
El estudio encuestó a unas 500 empresas con al menos 20 empleados. Los números describen una amenaza que ya llegó. Una de cada seis empresas reportó haber sufrido “un ciberataque o intento de fraude en el que la IA jugó, o pudo haber jugado, un papel” en los últimos doce meses. Solo una de cada diez tiene procedimientos específicos para manejar incidentes de seguridad relacionados con IA. El cuarenta y tres por ciento confía en sus procesos generales de seguridad informática sin haberlos complementado con directrices específicas para IA, y el 71 por ciento admite estar poco informado sobre las obligaciones que la Ley de IA de la Unión Europea le impone.
El vector número uno sigue siendo el correo
El estudio identifica el método de ataque más común: correos de phishing generados por IA descritos como “altamente convincentes y adaptados con precisión a individuos o empresas específicas”. Le siguen scripts de ataque automatizados que exploran vulnerabilidades de seguridad informática por sí solos y se adaptan dinámicamente. El tercer problema creciente son los deepfakes, audio o video manipulados que imitan las voces de directivos de la empresa para engañar a los empleados y que aprueben transferencias fraudulentas.
Vuelve a leer esa lista. La amenaza principal y la tercera convergen en el mismo punto débil: la confianza que un destinatario deposita en un mensaje que parece provenir de alguien legítimo. Los modelos generativos han desplomado el costo de escribir un señuelo convincente y personalizado. Lo que antes era un correo lleno de faltas de ortografía enviado a millones de personas es ahora un mensaje fluido y bien investigado dirigido a un solo jefe de compras, y el filtro humano tradicional de detectar mala redacción ha desaparecido.
Ahí es precisamente donde la autenticación de dominio gana su lugar. DMARC con una política aplicada no se preocupa de lo bien escrito que esté el señuelo. Si el mensaje dice venir del dominio de tu CEO y falla la alineación de SPF o DKIM, una política p=reject lo detiene antes de que un humano lo lea. La aplicación de la política elimina la forma más barata de suplantación, el spoofing de tu dominio exacto, y empuja a los atacantes hacia dominios parecidos que son más fáciles de detectar, más difíciles de colocar en la bandeja de entrada y mucho más visibles en los reportes agregados de DMARC.
Cómo se ve una empresa preparada
La brecha que describen la BSI y TUV es tanto procedimental como técnica. Solo una de cada diez empresas tiene un manual de incidentes específico para IA, pero una de cada seis ya está siendo atacada. Cerrar esa brecha no exige herramientas exóticas. Exige los fundamentos aburridos aplicados por completo:
Aplica DMARC en p=reject en todos tus dominios. Monitorear con p=none observa los ataques pero no los detiene. Las medias tintas dan reportes sin protección.
Vigila los reportes agregados de forma continua. Cuando aparece una fuente de envío nueva para tu dominio, o cambian los resultados de autenticación, esa es la capa de telemetría donde las campañas impulsadas por IA se ven primero.
Prepárate para el fraude de voz con deepfakes con controles de proceso, no solo conciencia. Cualquier solicitud de mover dinero que llegue por voz debe exigir confirmación por un canal independiente. El estudio señala que este patrón está diseñado para explotar precisamente a los empleados que manejan transferencias.
Cierra la brecha de conocimiento sobre la Ley de IA. El 71 por ciento de las empresas dice estar poco informada sobre obligaciones que ya tienen bajo una ley adoptada en 2024. Los dominios de envío son parte de esa superficie de cumplimiento, especialmente cuando se usa IA para generar contenido de marketing.
La conclusión
El estudio de la BSI y TUV es una advertencia sobre Alemania, pero el patrón que documenta es global. La IA ha abaratado el phishing personalizado, los ataques llegan de forma abrumadora por correo, y la mayoría de las organizaciones ejecuta procesos generales de seguridad informática contra un adversario que ya no se parece al que esos procesos fueron diseñados para enfrentar. DMARC aplicado, alineación limpia de SPF y DKIM, y alguien que realmente lea los reportes agregados son la base mínima. Construye ese suelo primero y trabaja hacia arriba.
Cada intento de phishing contra tu dominio deja una huella en tus datos de autenticación. Excello Mail convierte tus señales de DMARC, SPF y DKIM en una vista en vivo de quién envía en tu nombre, para que las campañas creadas con IA aparezcan en el momento en que empiezan. Regístrate gratis en Excello Mail y descubre lo que tu dominio está diciendo al mundo.