Las listas negras ya estaban perdiendo terreno antes de que la IA entrara en escena. Los dominios de phishing han ido acortando su vida útil durante años, las campañas queman infraestructura más rápido y la brecha entre las listas negras y las campañas de los atacantes sigue ampliándose. La IA simplemente terminó el trabajo. Los atacantes utilizan IA para generar páginas de phishing a partir de capturas de pantalla en minutos, crear y destruir infraestructura más rápido de lo que cualquier lista negra puede rastrear, e iterar sobre herramientas a un ritmo que hace que la detección basada en indicadores sea funcionalmente inútil. El 89% de los dominios de phishing ahora están activos menos de dos días, con solo el 6,5% sobreviviendo más de 15 días. Para cuando un dominio llega a una lista negra, la campaña ya se ha movido y la infraestructura ha sido reemplazada. Si su principal defensa contra ataques entregados a través de páginas web maliciosas, como phishing AiTM, phishing de código de dispositivo, ClickFix, descargas de archivos, malvertising y más, depende de hacer coincidir indicadores conocidos de compromiso, siempre estará dos pasos por detrás.
Desechables por diseño
El problema no es solo que la infraestructura de phishing rota rápidamente. Los ataques modernos están diseñados para ser desechables desde el principio. Los atacantes no esperan ser detectados y luego pivotar; proactivamente derriban páginas y crean nuevas para mantenerse por delante de la detección, tratando cada pieza de infraestructura como de un solo uso por defecto. También están haciendo que esa infraestructura sea más difícil de analizar mientras está activa, combinando plataformas de alojamiento de confianza — Cloudflare Workers, Railway, Vercel, Microsoft Dynamics, SharePoint, Adobe, Google Firebase, Google Sites, Jotform, Linode, Azure, Cloudflare, Atlassian, y muchas otras son comúnmente abusadas — con protección contra bots, controles de selección y complejas cadenas de redireccionamiento para filtrar investigadores y escáneres automatizados. El 95% de los ataques en el navegador que detecta Push Security utilizan alguna forma de protección contra bots, a menudo en capas con comprobaciones de referente y huellas dactilares del navegador. La página que ve un rastreador y la que ve una víctima real no suelen ser la misma. Y para cuando llegas a una página que fue maliciosa (ya sea creada por atacantes o comprometiendo un sitio existente), el payload malicioso puede que ya no esté activo. La IA también ha reducido el costo de crear las páginas en sí. Los atacantes ya eran hábiles clonando páginas, pero ahora pueden 'vibecodear' sitios de phishing completos a partir de una captura de pantalla de una página de inicio de sesión legítima, un frontend convincente con un código base completamente único que no se parece a la página real en la que se basa, y nada que la análisis estático pueda identificar. Y la entrega de phishing abusa cada vez más de servicios legítimos — funciones de compartición de chatbots de IA, colocación de anuncios en búsquedas, mensajes en la aplicación y correos generados por aplicaciones — para heredar la reputación de dominio de plataformas que ninguna lista negra marcaría. El resultado es un entorno donde agregar indicadores a una lista negra es como jugar al whac-a-mole en un juego amañado desde el principio.
Webinar: El estado de la IA en la sombra en 2026 (y cómo los atacantes la están aprovechando)
La adopción de IA ha explotado, pero cada nueva aplicación, integración y extensión introduce nuevas amenazas y riesgos. El último webinar de Push Security revela la escala de la IA en la sombra en la empresa, cómo los atacantes la están aprovechando y qué pueden hacer los equipos de seguridad al respecto.
La capa de herramientas también se está desmoronando
Durante años, el medio de la Pirámide del Dolor de David Bianco ofrecía una superficie de detección más duradera. En lugar de bloquear dominios individuales, se podían identificar los kits de phishing por su estructura de JavaScript, patrones HTML y firmas de código, y escribir detecciones que sobrevivieran a través de docenas o cientos de campañas incluso cuando la infraestructura rotaba. Esa capa se está erosionando. El ecosistema de kits de phishing ahora se fragmenta a través de bifurcaciones, desarrollo asistido por IA y compartición de código estilo código abierto más rápido de lo que nadie puede rastrear. El phishing de código de dispositivo es el ejemplo más claro. Desde su adopción temprana en campañas vinculadas a Rusia en 2024, ha tardado hasta 2026 en despegar realmente, momento en el que la adopción ha explotado de cero kits criminales en la naturaleza a más de 25 kits distintos (y contando). Kits criminales PhaaS como EvilTokens (340+ organizaciones en sus primeras cinco semanas), Kali365 (que recibió un aviso del FBI), ARToken, DEBULL, Forg365, y muchos otros ofrecen la capacidad. Proveedores establecidos de AiTM como Tycoon 2FA han añadido phishing de código de dispositivo junto con sus capacidades de captura de credenciales, y recientemente hemos observado kits que cambian dinámicamente entre payloads dependiendo del entorno y el comportamiento del objetivo. Por ejemplo, intentar primero phishing de código de dispositivo y luego recurrir a AiTM si se agota el tiempo. Estos kits a menudo están controlados por paneles de administración operados por atacantes que dan control total sobre el payload y cuándo se entrega, utilizados junto con ingeniería social basada en voz y solo 'activando' la página maliciosa cuando lo realiza un administrador. Esto reduce aún más la posibilidad de que estas páginas puedan ser marcadas y bloqueadas de antemano; solo pueden verse un par de veces en ataques dirigidos antes de ser rotadas. En el reciente webinar de Push Security (ahora disponible bajo demanda), el VP de I+D Luke Jennings mostró lo fácil que es 'vibecodear' tu propio kit PhaaS.
Lo que realmente sobrevive: las técnicas
Las técnicas de ataque genuinamente nuevas aún requieren creatividad humana para ser descubiertas: un atacante tiene que identificar un hueco en cómo un protocolo o característica legítima puede ser subvertido y operacionalizarlo. Ese tipo de innovación no ha sido automatizada, y las detecciones construidas alrededor de cómo funcionan esas técnicas pueden sobrevivir a la rotación de infraestructura, la proliferación de herramientas y la fragmentación de kits. Tomemos el phishing adversary-in-the-middle (AiTM). Cada kit AiTM — Tycoon, Sneaky 2FA, Evilginx, o innumerables bifurcaciones y derivados (estamos rastreando más de 75 kits en la naturaleza) — implementa fundamentalmente la misma técnica de intercepción: proxy de la sesión de la víctima a través de infraestructura controlada por el atacante, retransmisión de credenciales y tokens MFA en tiempo real, y captura de la sesión autenticada. Los frontends varían y la infraestructura rota, pero la mecánica de comportamiento de la intercepción es la constante. ClickFix cuenta una historia similar. Ya sea el señuelo un CAPTCHA falso (aumentado un 563% según CrowdStrike), una actualización falsa del navegador o un diálogo de error falso, la técnica subyacente es la misma: inyectar comandos maliciosos en el portapapeles del usuario e instruirle para que pegue y ejecute el payload. El envoltorio de ingeniería social cambia; la firma de comportamiento no. El phishing de código de dispositivo es igual. Interactúas con una página legítima de inicio de sesión de código de dispositivo y finalmente completas una concesión de autenticación de código de dispositivo. No importa qué kit use el atacante ni dónde aloje la página que consulta el código, la página de destino y el comportamiento del usuario son los mismos. Detectar a nivel de técnica apunta a lo que es más difícil de cambiar para los atacantes: la mecánica del ataque en sí. Pero exige dos cosas que la mayoría de los programas de detección carecen. Primero, necesitas visibilidad donde estos ataques realmente se ejecutan. La intercepción AiTM, la manipulación del portapapeles ClickFix, el abuso de consentimiento OAuth, el phishing de código de dispositivo — estas técnicas se desarrollan dentro de las sesiones del navegador donde los proxies de red ven tráfico cifrado y el EDR no ve nada. Si tu stack de detección no puede observar la página en el momento en que el usuario interactúa con ella, la detección a nivel de técnica no está disponible para ti. Segundo, necesitas velocidad de investigación. La ventana entre el descubrimiento de una técnica y su industrialización en kits criminales se está comprimiendo: el phishing de código de dispositivo tardó aproximadamente un año en pasar de novedad de un estado-nación a característica PhaaS de mercancía, y ClickFix siguió una trayectoria similar. Los defensores que pueden extraer una firma de comportamiento y desplegar una detección antes de la mercantilización tienen una ventaja estructural que se compone con el tiempo. Esperar indicadores — incluso indicadores a nivel de herramienta — significa perseguir una curva que se acelera alejándose de ti.
La prueba: una detección con cero superposición de IOC
A principios de este año, Microsoft publicó una investigación que documenta una técnica novedosa que armaba los redireccionamientos de manejo de errores de OAuth como mecanismo de entrega de phishing — explotando el comportamiento de redireccionamiento compatible con estándares para enrutar a los usuarios desde dominios de proveedores de identidad confiables a páginas controladas por atacantes. Desde una perspectiva de filtrado de URL, el enlace inicial llevaba la reputación de dominio de login.microsoftonline.com. El pipeline de caza de amenazas agéntico de Push — agentes de IA que actúan como multiplicador de fuerza para investigadores humanos, cazando continuamente a través de telemetría de navegador de más de 3 millones de despliegues — ingirió esa investigación y extrajo la mecánica de comportamiento, no los IOCs publicados. Los agentes construyeron una detección dirigida a la firma de comportamiento: el redireccionamiento OAuth. Meses después de crear la detección, esta se activó en una campaña completamente diferente. Un usuario de un cliente de Push había sido objetivo — pero con señuelos diferentes, dominios diferentes, infraestructura diferente y un kit de phishing previamente desconocido detrás del redireccionamiento, en comparación con el original (un payload de descarga de malware). La técnica subyacente era idéntica. Ninguno de los IOCs originales apareció en la cadena de ataque. Un enfoque basado en listas negras habría fallado por completo (los dominios no estaban marcados como maliciosos en ese momento), y un enfoque de firma de herramienta también habría fallado — el kit de phishing no coincidía con ninguna muestra conocida. La única detección que sobrevivió fue la técnica de comportamiento en sí. El caso de redireccionamiento OAuth no es un ejemplo aislado. El mismo pipeline llevó al descubrimiento y detección de tres técnicas novedosas de ataque en el navegador — InstallFix (entrega de malware disfrazado de prompts de instalación de software), ConsentFix (phishing de consentimiento OAuth combinado con manipulación de usuario estilo ClickFix) y LLMShare (entrega de malware a través de funciones de compartición de chatbots de IA). En varios casos, las detecciones estaban bloqueando campañas activas antes de que la técnica hubiera sido documentada públicamente. Hasta ahora, el pipeline agéntico de Push ha protegido a más de 60 clientes solo en los últimos tres meses que fueron objetivo de técnicas de phishing novedosas — interceptando ~225 instancias de amenazas antes de que el atacante pudiera comprometer una cuenta, o engañar al usuario para que interactuara con un payload de malware.
Qué significa esto para los equipos de seguridad
La industria pasó décadas construyendo listas negras más grandes. La IA hizo que ese enfoque fuera estructuralmente obsoleto — no solo lento, sino arquitectónicamente incapaz de mantener el ritmo. Lo que sigue siendo duradero es la cima de la Pirámide: detección de comportamiento a nivel de técnica, construida alrededor de cómo funcionan los ataques en lugar de la infraestructura o herramientas que los implementan. Defender a ese nivel requiere visibilidad de la sesión del navegador y un pipeline de investigación lo suficientemente rápido para mantenerse por delante del tiempo comprimido desde el descubrimiento de la técnica hasta la adopción criminal. En Push Security, hemos construido ese pipeline utilizando agentes de IA como multiplicador de fuerza para investigadores humanos, cazando continuamente a través de la telemetría del navegador y enviando detecciones a nivel de técnica que sobreviven a la rotación de indicadores — triplicando la producción mensual de detecciones no construyendo listas negras más grandes, sino operacionalizando la detección de comportamiento en la cima de la Pirámide a velocidad de máquina.
Reserve una demostración para aprender más. Patrocinado y escrito por Push Security.
Deja una respuesta