El 41% de los CISO sufrió al menos un incidente de ingeniería social con deepfakes en el último año

La ingeniería social mediada por inteligencia artificial está alcanzando niveles inéditos en las organizaciones. Según una encuesta de Gartner, el 41% de los CISO afirma haber sufrido al menos un incidente de ingeniería social con deepfakes durante una llamada de audio en los últimos 12 meses, y el 36% reportó un caso similar durante una videollamada.

El estudio, realizado entre marzo y mayo de 2026 a 297 líderes de ciberseguridad de organizaciones públicas y privadas, confirma que la IA está incrementando el volumen, la personalización y la credibilidad de los ataques, al tiempo que reduce la fiabilidad de los indicadores tradicionales que los empleados utilizan para detectar fraudes.

“Los atacantes combinan phishing, business email compromiso (BEC), medios sintéticos y contexto personal agregado en múltiples canales”, explica Craig Porter, director analista de Gartner. “Los CISO deben aplicar la misma disciplina que usan para evaluar riesgos de identidad y acceso para combatir estas amenazas”.

 

Phishing y vishing siguen dominando el panorama de amenazas

El informe revela que el 79% de los CISO sufrió al menos un incidente de phishing, spear-phishing o BEC en el último año, mientras que el 58% reportó un ataque de vishing o smishing.

Gartner identifica tres prioridades clave para que los CISO puedan responder a esta nueva generación de ataques:

1. Transformar la formación en programas adaptativos de comportamiento seguro

Las organizaciones deben evolucionar desde enseñar a “detectar lo falso” hacia convertir la verificación en el comportamiento estándar ante solicitudes de alto riesgo, independientemente del canal: email, voz, vídeo, herramientas de colaboración o aplicaciones de IA. También recomienda usar simulaciones para evaluar la capacidad de verificación y reporte de incidentes relacionados con IA.

2. Endurecer la identidad y los procesos de recuperación ante la suplantación

Gartner insta a proteger flujos críticos, como recuperación de cuentas, acceso privilegiado o autorizaciones de pago, mediante autenticación resistente al phishing, controles de identidad basados en riesgo y canales de verificación confiables. Además, pide implementar controles para detectar abuso de identidad incluso después de un inicio de sesión exitoso.

3. Preparar la detección y respuesta para amenazas mediadas por IA

Las organizaciones deben correlacionar comunicaciones sospechosas con eventos de recuperación de cuentas, nuevos dispositivos, cambios de privilegios o transacciones financieras para mejorar la detección de amenazas. También deben actualizar sus playbooks de respuesta para cubrir impersonación multimodal, recomendaciones manipuladas por IA, agentes comprometidos o agentes que operan fuera de sus límites previstos.