Un DM te llega de un periodista real, con su foto real y su nombre real. Te pide que votes en un “concurso con Spotify y Google” a través de un link raro.

Y la primera pregunta que te haces —es fraude este mensaje que me llegó por DM— tiene una respuesta más incómoda que un simple sí. El problema ya no es detectar la mentira. Es que la verdad y la mentira ahora usan la misma cara.

Eso le pasó hace unos días a un contacto mío. Cuenta verificada, nombre real, tono cordial. El link llevaba a un dominio con reputación de 37 sobre 100, idéntico al patrón usado en estafas de “reactivación de cuenta” ya documentadas.

La cuenta no mentía sobre quién era. Mentía sobre quién la estaba usando.

Tu contacto no te escribió: su cuenta sí

Aquí está el primer ajuste mental que necesita cualquier director, gerente o dueño de negocio en 2026. Dejar de preguntar “¿conozco a quien me escribe?” y empezar a preguntar “¿sigue siendo él quien controla esa cuenta?”

La Policía Cibernética de la Ciudad de México documentó más de 14 mil denuncias por ciberdelitos solo entre enero y febrero de este año. El robo de cuentas fue una de las categorías que más creció.

No son casos aislados de gente descuidada. Es el nuevo canal preferido de ataque, porque explotar una identidad ya confiada rinde más que explotar un servidor.

Y aquí el primer bisturí: durante años nos vendieron el firewall como la muralla de Troya de la ciberseguridad corporativa. Resulta que el caballo ya entró hace rato, y traía tu propio logotipo pintado encima.

¿Es fraude este mensaje que me llegó por DM? Así piensa un atacante en 2026

La lógica detrás de estos mensajes no cambió mucho desde las estafas nigerianas de los noventa. Apelar a la confianza, ofrecer algo emocionalmente atractivo, meter prisa.

Lo que cambió es el material con el que se construye el engaño.

Según reportó Trend Micro, dos campañas identificadas como SHADOW-AETHER-040 y SHADOW-AETHER-064 usaron inteligencia artificial agentic para comprometer seis entidades gubernamentales mexicanas en cuestión de días. No hubo un operador humano guiando cada paso: el agente ejecutó desde el reconocimiento inicial hasta la exfiltración de datos por su cuenta.

Es la diferencia entre un ladrón con ganzúa y un ladrón con planos del edificio, llaves maestras y turno de vigilancia calculado por software.

Preguntarte si un mensaje suelto es fraude sigue siendo válido. Pero ya es la pregunta de menor escala del problema.

La contraseña ya no es el punto débil: la identidad sí

Durante dos décadas, la ciberseguridad corporativa se construyó alrededor de proteger accesos: contraseñas robustas, autenticación de dos factores, VPN. Todo eso sigue importando.

Pero el ataque de 2026 no necesariamente entra por la puerta técnica. Entra por la cara, la voz o el gesto de alguien en quien ya confías.

De acuerdo a El Imparcial, Banxico reportó que las instituciones financieras mexicanas sufrieron ocho incidentes cibernéticos hasta mayo de este año, el doble que en todo 2025.

Empresas de ciberseguridad como Gen reportaron, según datos autorreportados por la propia compañía, que las estafas haciéndose pasar por familiares crecieron 454% y la suplantación de instituciones gubernamentales aumentó 387% en el primer semestre. No son cifras auditadas externamente.

Pero la dirección coincide con lo que muestran las fuentes oficiales: el fraude ya no busca romper el sistema. Busca ser reconocido como tú por el sistema.

Si tu empresa sigue midiendo su exposición al riesgo solo en firewalls y contraseñas, está resolviendo el problema de 2015 con el presupuesto de 2026.

¿Cómo protegerse cuando el atacante usa tu propia cara?

Aquí es donde el criterio importa más que la herramienta.

Un video con la imagen de un funcionario real fue usado hace apenas unos días para promover inversiones falsas, según reportó El Imparcial. Las autoridades congelaron más de dos millones de dólares y ubicaron a doce personas detrás del esquema.

No hubo edición burda ni señales evidentes. El engaño funcionó precisamente porque se veía —y sonaba— exactamente como el original.

La defensa realista no es aprender a detectar cada deepfake a simple vista, porque la tecnología mejora más rápido que el ojo humano. La defensa es institucionalizar la pausa.

Verificar cualquier solicitud inusual —de dinero, de datos, de clics— por un canal distinto al que la trajo. Una llamada. Un mensaje directo fuera de esa conversación. Nunca los datos de contacto que trae el propio mensaje sospechoso.

Y sí, puedes usar IA como primer filtro. Pegar el texto sospechoso en un chatbot y preguntar directamente si tiene señales de phishing es gratis y toma treinta segundos.

Según reportó FayerWayer, los fraudes con IA crecieron 1,000% en México durante este año. Es una cifra que hay que tomar como estimación de esa fuente, no como consenso cerrado, pero apunta en la misma dirección que todo lo demás: la curva va para arriba, no para abajo.

Para directores y equipos que necesitan pasar de la alerta individual a un protocolo real de criterio frente a estas herramientas, en nuestro curso de IA para principiantes trabajamos exactamente ese primer filtro: entender cómo piensa la herramienta antes de que la use alguien en tu contra.

Nadie en 1999 hubiera creído que el “no me llames, yo te llamo” de la publicidad ochentera terminaría siendo, literalmente, el mejor consejo de ciberseguridad corporativa de 2026. La regla no cambió: desconfiar del canal que te busca a ti, no del que tú decides usar.

Lo que sí cambió es el costo de equivocarse. Ya no es spam torpe con faltas de ortografía. Es tu director de finanzas viendo un video “tuyo” pidiendo una transferencia urgente.

Si tu equipo directivo todavía no ha discutido este escenario en una sala —no en un correo de TI, en una conversación real con quienes toman decisiones— vale más resolverlo esta semana que después del primer incidente. En nuestras conferencias de inteligencia artificial para equipos directivos abordamos justamente cómo construir ese criterio antes de que haga falta usarlo bajo presión.

Si quieres seguir esta conversación con la frecuencia con la que realmente está evolucionando el tema, en mi newsletter diario de LuisGyG sobre IA aplicada a negocio lo desmenuzo caso por caso, sin ruido.

Supervisado por Santiago González y Musi.