Ocho de cada diez emails de phishing ahora contienen contenido generado por IA, según el 2026 Kaseya INKY Email Security Report, que cifra la proporción en el 83% y describe el phishing como una evolución desde una molestia de alto volumen hacia un instrumento de fraude de precisión quirúrgica. El informe, publicado por Kaseya el 17 de marzo de 2026, se basa en el análisis de más de 4.500 millones de emails procesados a través de su plataforma INKY durante 2025 y representa uno de los análisis más detallados realizados hasta la fecha sobre cómo la IA generativa ha redefinido el panorama de amenazas para empresas de cualquier tamaño.
Para los especialistas en email marketing y propietarios de empresas que dependen de la entrega en bandeja de entrada y la reputación del remitente, esto no es un problema de seguridad lejano. Cuando los atacantes suplantan las mismas marcas y plataformas que utilizas para llegar a los clientes, y lo hacen de forma convincente para engañar a los destinatarios, el daño colateral impacta directamente en tu entregabilidad, la confianza en tu dominio y la disposición de tu audiencia a interactuar.
Las Cifras Detrás del Cambio
Kaseya señala investigaciones del sector que demuestran que el 83% de los emails de phishing ahora utilizan contenido generado por IA en alguna forma, con el 40% de los ataques de compromiso de email empresarial (BEC) implicando IA generativa. Quizá más revelador aún: los emails de phishing generados por IA tienen una tasa de clics del 54%, comparado con apenas el 12% en mensajes maliciosos estándar.
El informe también destaca que mientras las pérdidas por ransomware cayeron un 79%, el coste financiero del phishing aumentó un 275%, pasando de 18.700 millones a 70.000 millones de dólares anuales, siendo ahora el phishing responsable del 26% de todas las denuncias de ciberdelitos presentadas al FBI.
De los 4.500 millones de emails que INKY procesó en 2025, se suplantaron 281 marcas únicas, con diseños generados por IA que permiten a los atacantes replicar más fielmente el lenguaje visual de las principales instituciones financieras y marcas minoristas.
Esta escala importa a cualquiera que gestione un programa de email. Si tu marca está entre las suplantadas, tus suscriptores pueden estar recibiendo falsificaciones convincentes que erosionan la confianza que has construido durante años.
Por Qué las Señales de Alerta Tradicionales Ya No Funcionan
Dave Baggett, SVP de Security Suite en Kaseya, lo expresó claramente: "En el último año, el phishing generado por IA se convirtió en la norma. Los atacantes ahora pueden producir mensajes altamente convincentes a escala, lo que significa que las señales tradicionales en las que las herramientas de seguridad confiaban durante años, como la mala gramática, dominios sospechosos y enlaces obvios, están desapareciendo. Los defensores ahora tienen que evaluar la intención y el contexto, no solo indicadores".
Los modelos de lenguaje grandes han reducido el tiempo necesario para elaborar una campaña de phishing convincente de 16 horas a aproximadamente cinco minutos. La investigación de IBM X-Force pone la ganancia de eficiencia de forma aún más clara, encontrando que la IA puede generar emails de phishing altamente convincentes en cinco minutos en comparación con las dieciséis horas típicamente requeridas por operadores humanos experimentados, una mejora de 192 veces.
El resultado práctico: el antiguo consejo de "simplemente busca errores tipográficos" es obsoleto. Los atacantes cada vez confían más en plataformas e infraestructura de confianza, haciendo que las señales de detección tradicionales sean menos fiables.
La Infraestructura de Confianza Es Ahora la Superficie de Ataque
Uno de los hallazgos más reveladores del informe de Kaseya es dónde se originan ahora los ataques. Las cinco plataformas legítimas principales utilizadas para enviar emails de phishing incluyen DocuSign, PayPal, Microsoft, Google Drive y Salesforce. Los atacantes ya no registran dominios obviamente sospechosos. Están enrutando mensajes maliciosos a través de la misma infraestructura SaaS que las empresas utilizan todos los días.
El informe también encontró que el phishing sin carga útil es cada vez más común, con emails de suplantación de marca que eliminan completamente enlaces y adjuntos maliciosos. En su lugar, los atacantes utilizan números de teléfono, engañan a los destinatarios para que respondan, o incluyen códigos QR. "Estas técnicas reducen los indicadores detectables mientras aumentan la dependencia de la toma de decisiones del usuario", señaló el informe.
El phishing con códigos QR, conocido como quishing, aumentó un 400% entre 2023 y 2025 según Abnormal Security.
Para los especialistas en marketing, esto crea un problema operacional directo. Si tus emails transaccionales, facturas o flujos de incorporación provienen de DocuSign o Google Drive, los destinatarios están siendo acondicionados a desconfiar de las herramientas mismas en las que dependes.
La Carrera de Armamentos de IA en la Defensa del Email
El informe de Kaseya señala que la IA no solo ayuda a los atacantes. La plataforma INKY de Kaseya expandió sus modelos de detección impulsados por GenAI, etiquetado basado en intención, clasificación multi-etiqueta y comprensión contextual basada en visión por computadora durante 2025 para abordar estas amenazas.
El informe predice que "la siguiente fase de la seguridad del email no estará definida únicamente por el filtrado, sino por sistemas de IA capaces de analizar mensajes holísticamente y adaptarse continuamente a medida que las tácticas evolucionan".
Esta predicción tiene implicaciones directas para los gestores de programas de email. Los protocolos de autenticación como DMARC, DKIM y SPF siguen siendo esenciales, pero abordan la suplantación a nivel de dominio en lugar de la sofisticación a nivel de contenido que ahora está en juego. Los filtros estáticos como listas de bloqueo y coincidencia de patrones simples son menos efectivos; los defensores necesitan detección basada en comportamiento enfocada en anomalías de inicio de sesión y solicitudes inusuales.
Qué Significa Esto para Tu Programa de Email
La superposición entre email marketing y seguridad del email ya no es teórica. Cuando los ataques de phishing suplantan tu marca, la reputación de tu dominio sufre. Cuando los destinatarios son engañados a través de plataformas que también utilizas, los clientes de email se vuelven más agresivos con el filtrado. Cuando los ataques BEC apuntan a tu equipo, la comunicación interna se interrumpe.
Estas amenazas afectan desproporcionadamente a pequeñas y medianas empresas, con el 82% de los ataques de ransomware dirigidos a organizaciones de ese segmento. Los equipos de crecimiento y departamentos de marketing en pymes a menudo llevan responsabilidades de email sin apoyo de seguridad dedicado, lo que hace que la conciencia sea la primera línea de defensa.
El punto de partida práctico es el mismo tanto para seguridad como para entregabilidad: asegura tus dominios de envío con aplicación de DMARC, audita qué plataformas SaaS envían email en tu nombre, y trata cualquier solicitud de respuesta inusual o código QR en emails como alto riesgo, sin importar lo pulido que se vea el mensaje.
