¿Sabes realmente quién está al otro lado cuando recibes un correo de tu exchange pidiéndote que verifiques tu cuenta? Esa es la pregunta que deberías hacerte cada vez que abras la bandeja de entrada, y la advertencia que acaba de lanzar el CERT-In (el equipo de respuesta a emergencias informáticas del gobierno indio) le da un peso nuevo.
El CERT-In, organismo de ciberseguridad del gobierno de India, ha alertado de un grupo de atacantes que utiliza herramientas de inteligencia artificial para dirigirse contra empresas de criptomonedas y fintech del país. Los atacantes emplean IA para automatizar la búsqueda de vulnerabilidades y lanzar campañas de phishing y suplantación de identidad más creíbles y a mayor escala. La advertencia afecta a plataformas de intercambio, wallets y servicios de pago, y por la naturaleza global del ecosistema cripto, sus efectos pueden alcanzar a usuarios fuera de India.
Qué ha pasado y por qué debería importarte aunque vivas en Almería
El CERT-In no es un organismo cualquiera. Es el equipo gubernamental indio que coordina la respuesta a incidentes de ciberseguridad, y cuando emite una alerta sobre un grupo concreto de atacantes, normalmente significa que hay patrones observados, no solo teoría. En este caso, la advertencia describe a un colectivo que usa modelos de inteligencia artificial para hacer más eficientes varias fases del ataque: reconocimiento de objetivos, generación de señuelos y ejecución de campañas de ingeniería social.
Lo que esto significa en la práctica es que el coste de lanzar un ataque sofisticado ha bajado. Mucho. Antes, un phishing convincente requería un atacante que dominara el idioma, conociera la plataforma y dedicara horas a redactar un correo creíble. Ahora un modelo de lenguaje puede generar cientos de variantes en minutos, adaptadas al perfil de cada víctima.
Y aquí viene lo que mucha gente no sabe: el CERT-In no ha detallado públicamente las herramientas exactas ni los nombres de las plataformas afectadas. Eso no es un fallo de la alerta, es la norma en estos comunicados. La información técnica se comparte de forma reservada con los sectores implicados para no dar ventaja a los atacantes.
La IA como multiplicador ofensivo: contexto técnico
Del reconocimiento manual al escaneo automatizado
Durante años, el trabajo previo de un ciberataque era artesanal. El atacante revisaba foros, estudiaba la infraestructura del objetivo, buscaba APIs mal configuradas, probaba credenciales filtradas. Ese proceso consumía tiempo y filtraba a los atacantes menos pacientes. La IA rompe ese cuello de botella. Los modelos actuales pueden procesar grandes volúmenes de información pública sobre una empresa (documentación técnica, repositorios, ofertas de empleo que revelan el stack tecnológico) y señalar los puntos débiles con una velocidad que un humano no alcanza.
Para mí, la clave está en que la IA no inventa vulnerabilidades nuevas. Lo que hace es encontrarlas y explotarlas más rápido. El fallo sigue siendo humano: una API sin autenticación, un empleado que reutiliza contraseña, un proceso de verificación demasiado laxo.
Phishing que ya no se detecta a simple vista
Los errores gramaticales y las traducciones torpes eran la señal de alarma clásica del phishing. Eso se ha terminado. Un modelo de lenguaje bien entrenado escribe en un español perfecto, imita el tono de una marca concreta y personaliza el mensaje con datos que ha recopilado de tus redes sociales o de filtraciones anteriores. Los modelos de visión, por su parte, permiten clonar interfaces de usuario con un nivel de detalle que engaña incluso a usuarios con experiencia.
La IA no cambia el tipo de amenaza (sigue siendo phishing, malware y suplantación), sino su escala, su velocidad y su credibilidad. Eso obliga a subir el nivel de desconfianza por defecto.
El historial: por qué cripto y fintech son el objetivo favorito
Los exchanges, wallets y pasarelas de pago concentran dos cosas que los delincuentes adoran: liquidez y, en muchos casos, procesos de verificación de identidad que dependen de documentación digital. Un ataque exitoso contra una plataforma no solo roba fondos, también puede comprometer datos personales de miles de clientes.
La combinación de alta liquidez con marcos regulatorios todavía en construcción en varios países crea un entorno donde el delito tiene margen de maniobra. No es casualidad que el sector fintech indio, en plena expansión, sea un objetivo declarado. India se ha convertido en uno de los mercados cripto más activos del mundo, y eso atrae tanto a inversores legítimos como a quienes quieren aprovecharse de la falta de madurez de algunos servicios.
Piensa en una wallet que permite recuperar el acceso mediante verificación por correo electrónico. Si un atacante consigue suplantar ese correo con una plantilla generada por IA, el usuario recibe un mensaje que parece exactamente el oficial y entrega sus credenciales sin darse cuenta.
Qué implica esto para ti si operas con cripto desde España
Vamos al grano. La alerta del CERT-In se refiere a India, pero la blockchain no conoce fronteras. Si tienes fondos en un exchange con operativa internacional, o si usas wallets custodiadas por terceros, una brecha en cualquiera de esos servicios puede tocar tu cuenta aunque tú nunca hayas interactuado con el mercado indio. La exposición es indirecta pero real.
Refuerza lo básico, que sigue siendo lo más eficaz
Autenticación de dos factores con aplicación de códigos o llave física (nunca solo por SMS). Wallets hardware para almacenar cantidades que no vayas a mover con frecuencia. Verificación de la URL antes de introducir cualquier credencial. Desconfianza sistemática ante mensajes que piden "verificar tu cuenta con urgencia" o que adjuntan enlaces acortados.
En mi experiencia, el fallo más común no es técnico, es de prisa. La gente opera desde el móvil, con el correo abierto, y pincha sin mirar. Los atacantes con IA cuentan precisamente con eso.
El CERT-In es el equipo nacional de respuesta a incidentes del Ministerio de Electrónica y Tecnología de la Información de India, y sus alertas se coordinan con CERTs de otros países, incluidos los europeos. España cuenta con su propio CERT, el INCIBE-CERT, que publica avisos de vulnerabilidades y amenazas dirigidas a empresas y ciudadanos.
Trazabilidad: el papel que a veces se olvida
Cuando ocurre una estafa o un robo de fondos, la reacción inmediata suele ser denunciar. Pero el valor real está en la documentación previa: registros de transacciones, capturas de los mensajes recibidos, direcciones de wallet implicadas. Sin esa trazabilidad, reconstruir lo sucedido es muy complicado. Servicios especializados como Solcrip trabajan precisamente en esa línea de documentación y peritaje, y también en el cumplimiento normativo que las plataformas y algunos usuarios necesitan cubrir.
La carrera tecnológica entre atacantes y defensores
Hay una lectura que me parece importante y que se pierde entre titulares alarmistas. La misma IA que facilita el ataque también se usa para detectarlo. Los sistemas de análisis de comportamiento, la detección de anomalías en patrones de acceso, los filtros de correo que identifican señales sutiles de phishing generado por máquina: todo eso se apoya en modelos que compiten con los de los atacantes.
Pero la ventaja, hoy, la tiene quien ataca. Por una razón simple: el atacante solo necesita un acierto, el defensor necesita acertar siempre. La IA inclina la balanza hacia el que tiene más margen de error.
El regulador europeo, con el marco MiCA en fase de aplicación, está poniendo el foco en la resiliencia operativa de los proveedores de servicios cripto. Eso significa que los exchanges que operen en España deberán demostrar que tienen protocolos de seguridad auditables. A largo plazo, eso protege al usuario. A corto plazo, la responsabilidad individual sigue siendo la primera línea de defensa.
Una idea final que no suele decirse
La sofisticación de los ataques con IA no debería llevarte a la parálisis, sino a cambiar el marco mental. Ya no basta con "tener cuidado". Hay que asumir que cualquier comunicación que recibas sobre tus cripto puede ser falsa hasta que verifiques por un canal independiente. Llama tú al exchange. Entra en la web escribiendo la dirección a mano. No hagas clic en nada que venga por correo o mensaje, por muy oficial que parezca.
Y una pregunta que merece la pena hacerse: si mañana recibieras un correo perfecto, sin errores, con tu nombre y tu historial de operaciones, ¿sabrías distinguirlo de uno real? Si la respuesta es que no estás seguro, ese es el punto exacto donde empieza tu verdadera seguridad. Si además tus operaciones generan ganancias, un especialista como Solcrip puede ayudarte con la declaración.
