Para muchas personas, consultar un asistente de inteligencia artificial ya es tan habitual como hacer una búsqueda en internet. Estas herramientas están evolucionando rápidamente y no se limitan a responder preguntas: también buscan información en la web, recomiendan páginas y, en algunos casos, interactúan directamente con ellas. Los agentes de IA integrados en navegadores pueden abrir enlaces, navegar por sitios, hacer clic e incluso completar determinadas acciones en nombre del usuario. ESET Latinoamérica, compañía líder en detección proactiva de amenazas, advierte que, si bien esta capacidad aporta comodidad, también introduce nuevos riesgos y explica cómo los ciberdelincuentes pueden aprovechar asistentes y agentes de IA mediante resultados de búsqueda manipulados, sitios web maliciosos e instrucciones ocultas en distintos tipos de contenido.
Según una encuesta realizada por Ipsos para Google en 21 países, dos de cada tres personas (66%) afirman haber utilizado alguna herramienta o aplicación de IA en los últimos doce meses. Cuando la IA se convierte en una puerta de entrada a la búsqueda de información y a las decisiones de compra, también puede convertirse en un objetivo.
“Aunque todavía no existen pruebas de que las estafas a través de chatbots sean un fenómeno, se documentaron dos técnicas conocidas: el envenenamiento SEO, que busca posicionar páginas fraudulentas entre los primeros resultados de búsqueda y que también puede afectar las respuestas generadas por asistentes de IA; y la inyección de prompts, en la que instrucciones ocultas en páginas web, correos electrónicos o documentos intentan influir en el comportamiento de agentes de IA.”, comenta Mario Micucci, Investigador de Seguridad Informática de ESET Latinoamérica.
Los asistentes de búsqueda, como los chatbots tradicionales, pueden consultar páginas web y resumir su contenido, por lo que el principal riesgo es recibir información incorrecta o un enlace fraudulento. Los agentes de IA integrados en navegadores, en cambio, pueden abrir enlaces, hacer clic, descargar archivos y completar formularios en nombre del usuario. Según sus fabricantes, estas herramientas suelen solicitar confirmación antes de realizar acciones consideradas de alto riesgo. La diferencia está en lo que ocurre después de acceder al sitio. Leer una página fraudulenta puede derivar en desinformación o engaños, mientras que interactuar activamente con ella puede traducirse en pérdidas económicas o en la exposición de información personal.
En 2025, reportes de The Washington Post y Digital Trends documentaron casos en los que los resúmenes de IA de Google mostraban números telefónicos incorrectos o fraudulentos para el servicio de atención al cliente de algunas empresas. Google indicó que estaba al tanto de la situación y que había tomado medidas para corregir parte de los resultados.
Existe además otro riesgo que no depende de que la IA recomiende una dirección falsa. Cuando un agente de IA procesa una página, un mensaje o un archivo, puede interpretar instrucciones ocultas como si se tratara de órdenes legítimas del usuario. Este tipo de ataque se conoce como inyección de prompts prompt injection) y está documentado en guías de referencia como las de OWASP. Estas instrucciones pueden permanecer ocultas para las personas, por ejemplo, mediante texto invisible o elementos diseñados para pasar desapercibidos, pero seguir siendo interpretadas por la IA.
OpenAI menciona como ejemplo un escenario en el que un agente encuentra un comentario malicioso durante una búsqueda y recibe instrucciones para obtener un código de recuperación de contraseña y enviarlo a un sitio controlado por atacantes. Por su parte, Guardio Labs describió una variante llamada PromptFix, en la que instrucciones ocultas detrás de un CAPTCHA falso inducen al agente a hacer clic en un botón y descargar un archivo. En las pruebas realizadas por los investigadores, el archivo era inofensivo, aunque en un escenario real podría tratarse de malware. La IA cree estar realizando una acción legítima, como resolver una verificación de seguridad, cuando en realidad está interactuando con un sitio malicioso o de phishing.
Las invitaciones de calendario también pueden convertirse en un vector de ataque, especialmente contra agentes con capacidad de navegar y actuar por cuenta del usuario. En una investigación presentada en 2026, Zenity Labs describió una clase de vulnerabilidades denominada PleaseFix, en la que instrucciones ocultas dentro de una invitación de calendario lograban influir en el comportamiento de Comet, el agente de Perplexity, sin necesidad de interacción por parte del usuario. Según los investigadores, el verdadero riesgo surge cuando una instrucción maliciosa se mezcla con una tarea legítima hasta parecer un paso necesario para completarla.
“En otras palabras, las instrucciones engañosas ya no tienen por qué presentarse únicamente en una página web. También pueden esconderse en correos electrónicos, documentos, invitaciones de calendario o incluso enlaces compartidos a través de redes sociales.”, agrega el investigador de ESET.
Pie de imagen: Captura de pantalla tomada de «PleaseFix SPANISH», presentado en Ekoparty 2026
Para reducir el riesgo de acabar en una web falsa ESET comparte sencillas medidas de protección:
- Entrar en la tienda a través de la app o escribiendo la dirección oficial, y no a través de un enlace sugerido por una IA o un anuncio.
- Revisar el dominio cuidadosamente antes de introducir cualquier dato, porque pequeños cambios en las letras son comunes.
- No confiar en la posición del resultado. Los sitios web falsos aparecen tanto en anuncios como entre resultados de búsqueda comunes.
- Para anuncios de Google, hacer clic en los tres puntos junto al resultado para abrir el centro de anuncios y ver quién es el anunciante. Para resultados habituales, revisar la dirección cuidadosamente.
- Tener cuidado con las tiendas recién creadas, con precios muy por debajo del mercado y Pix como única forma de pago.
- Si se usa un asistente o navegador de IA, de preferencia utilizar un perfil separado para ello, sin tarjetas, contraseñas guardadas ni inicio de sesión automático en cuentas como correo electrónico y banca. Exigir confirmación antes de cualquier acción y leer lo que se hará antes de aprobar.
- No pedir a un agente que abra enlaces, archivos, correos electrónicos o invitaciones de una fuente desconocida y limitar su acceso a carpetas.
- Desconfiar de los teléfonos, correos electrónicos, páginas web o datos de pagos informados por un asistente de IA y revisar siempre los canales oficiales de la empresa.
- Revisar las extensiones instaladas en el navegador y eliminar las que no se use, especialmente aquellas que piden acceso amplio a los sitios web que visitas.
- Reportar a través del canal oficial de la marca.
“Los asistentes de IA siguen siendo útiles para investigar y comparar, pero amplían la superficie de ataque: cada página, correo electrónico o documento que lee una IA puede convertirse en una vía para la estafa. Por lo tanto, la supervisión humana es y seguirá siendo muy importante. Conocer estos riesgos te permite aprovechar las nuevas posibilidades que la IA ofrece de forma segura. Antes de introducir datos o confirmar un pago, merece la pena comprobar el dominio, acceder a la tienda oficial y, si un agente actúa, llevar un control de lo que hace.”, concluye Micucci de ESET.
Para saber más sobre ESET ingrese a: https://www.welivesecurity.com/es/seguridad-digital/sitios-web-falsos-agentes-ia-como-protegerse/
Por otro lado, ESET invita a conocer Conexión Segura, su podcast para saber qué está ocurriendo en el mundo de la seguridad informática. Para escucharlo ingrese a: https://open.spotify.com/show/0Q32tisjNy7eCYwUNHphcw
