Las campañas de phishing generadas por IA están evolucionando y ya no dependen del malware tradicional. Ahora, los atacantes actúan directamente en el navegador web para secuestrar sesiones activas, evadir la autenticación de múltiples factores (MFA) y saltarse los controles de seguridad convencionales, lo que obliga a los centros de operaciones de seguridad (SOC) a replantear sus estrategias de detección y contención.

Las campañas de phishing generadas por IA están evolucionando rápidamente más allá de la entrega tradicional de malware, trasladando el campo de batalla directamente al navegador web, donde los atacantes pueden secuestrar sesiones activas, saltarse la autenticación de múltiples factores (MFA) y evadir los controles de seguridad convencionales de los endpoints.

Este modelo de amenaza emergente está obligando a los centros de operaciones de seguridad (SOC) a replantearse cómo se detectan, investigan y contienen los ataques de phishing, ya que los adversarios confían cada vez más en técnicas de adversario en el medio (AiTM) y señuelos creados con IA en lugar de cargas útiles ejecutables maliciosas.

Las defensas tradicionales, como las pasarelas de correo electrónico, la detección y respuesta de endpoints (EDR) y el sandboxing basado en archivos, siguen siendo fundamentales, pero ya no son suficientes por sí solas.

Los ataques de phishing modernos a menudo no dejan archivos maliciosos ni procesos sospechosos, sino que se desarrollan enteramente dentro de sesiones de navegador legítimas.

El phishing generado por IA ya no necesita malware

Las cadenas de ataque ahora suelen implicar dominios de confianza, cadenas de redireccionamiento de múltiples etapas, páginas de phishing renderizadas dinámicamente e interfaces de recolección de credenciales que parecen indistinguibles de los servicios empresariales legítimos.

En muchos casos, los atacantes explotan los tokens de sesión en lugar de contraseñas estáticas, lo que les permite saltarse el MFA y mantener un acceso persistente.

El impacto financiero y operativo de este cambio es sustancial:

• Pérdidas por Compromiso de Correo Electrónico Empresarial (BEC): Según el informe IC3 del FBI, el BEC provocó pérdidas de 3.050 millones de dólares en un solo año.
• Cuota de brechas por robo de credenciales: El Informe de Investigaciones de Brechas de Datos de Verizon atribuye el 53% de las brechas al robo de credenciales relacionado con el phishing.
• Tendencias de bypass de MFA: El Informe de Defensa Digital de Microsoft destaca que el 80% de los incidentes de bypass de MFA están directamente vinculados a tokens de sesión robados.
• Ingeniería social generada por IA: El informe del panorama de amenazas de ENISA indica que el 80% de los ataques de ingeniería social ahora involucran contenido generado por IA.

Uno de los principales desafíos para los equipos de SOC es la falta de visibilidad en las sesiones HTTPS cifradas donde ocurren estos ataques. Debido a que la actividad de phishing se oculta frecuentemente dentro del tráfico cifrado legítimo, las herramientas tradicionales de monitoreo de red no logran detectar patrones de comportamiento maliciosos.

Las tecnologías modernas de sandboxing abordan esta brecha de visibilidad desplazando el enfoque hacia el análisis a nivel de navegador. Al permitir que los analistas observen los ataques tal como los experimentan los usuarios, incluyendo cadenas de redireccionamiento en vivo, mutaciones del Modelo de Objeto del Documento (DOM) y scripts inyectados dinámicamente, estas plataformas proporcionan un contexto completo sobre las amenazas nativas del navegador.

Una capacidad central en este marco es el descifrado SSL automatizado, que extrae claves de sesión directamente de la memoria del proceso para revelar el tráfico web cifrado sin depender de proxies invasivos de hombre en el medio.

Como se destaca en el informe de resiliencia al phishing empresarial de ANY.RUN, inspeccionar el tráfico de sesión descifrado permite a los equipos de seguridad verificar las cargas útiles de phishing y las modificaciones del DOM que, de otro modo, permanecerían ocultas tras el cifrado HTTPS.

Más allá de la detección inicial, las investigaciones de phishing modernas dependen en gran medida de los flujos de trabajo de inteligencia de amenazas que convierten los artefactos efímeros de las sesiones del navegador en reglas de detección persistentes.

Los elementos del DOM, las variables de script únicas y los campos de formulario ocultos capturados durante la ejecución del navegador pueden transformarse en reglas YARA. Esto permite a los analistas de seguridad pivotar desde una sola URL de phishing para descubrir infraestructura relacionada, muestras de malware conectadas y campañas más amplias de actores de amenazas.

Al aprovechar la extracción sofisticada de artefactos, la investigación de una sola URL puede descubrir cientos de Indicadores de Compromiso (IOC) relacionados. Integrar estos conocimientos en la búsqueda de amenazas empresariales permite una detección temprana proactiva antes de que la infraestructura de phishing se expanda por las redes corporativas.

Capturar inteligencia solo es efectivo si puede operativizarse rápidamente. Los feeds de inteligencia de amenazas automatizados, integrados directamente en las plataformas SIEM, SOAR y EDR, permiten a las organizaciones detectar continuamente campañas de phishing emergentes sin una gestión manual de los IOC.

Conectar los indicadores en vivo del sandbox con flujos de trabajo de SIEM automatizados capacita a los equipos de SOC para aislar automáticamente las sesiones comprometidas, revocar los tokens de autenticación robados y bloquear la infraestructura de C2 maliciosa en tiempo real.

Métrica / Indicador	Referencia de la Industria	Impacto de la Amenaza
Impacto Financiero de BEC	3.050 Millones de Dólares Anualmente	Pérdidas monetarias directas vía transferencias bancarias fraudulentas
Brechas vía Robo de Credenciales	53% del Total de Brechas	Vector primario para el acceso inicial a la red empresarial
Tasa de Bypass de MFA	80% Vinculado a Tokens Robados	Invalida las capas de seguridad tradicionales de contraseña + OTP
Involucramiento de Contenido de IA	80% de la Ingeniería Social	Entrega señuelos altamente persuasivos y sin errores a gran escala

La transición hacia el phishing sin malware representa un cambio fundamental en la estrategia del adversario. En lugar de confiar en binarios ejecutables, los actores de amenazas están atacando directamente la identidad, la integridad de la sesión y la confianza del usuario dentro del navegador.

Las organizaciones que adapten sus flujos de trabajo de SOC para incorporar visibilidad a nivel de navegador, descifrado SSL basado en memoria e integración automatizada de inteligencia de amenazas estarán mejor posicionadas para mitigar el robo de sesiones impulsado por IA antes de que los sistemas críticos se vean comprometidos.

“En una era donde la superficie de ataque principal reside dentro del navegador web, observar las interacciones del usuario en vivo y los comportamientos dinámicos del DOM es esencial para detener las campañas de phishing impulsadas por IA”.

Fuentes:
https://cybersecuritynews.com/ai-generated-phishing-without-malware/