La evolución del cibercrimen durante los primeros seis meses de 2026 refleja un cambio estratégico por parte de los atacantes: la adopción de herramientas de inteligencia artificial para optimizar la escala, precisión y flexibilidad de sus operaciones. De acuerdo con el ESET Threat Report —informe que recoge datos de telemetría recopilados entre diciembre de 2025 y mayo de 2026—, los grupos maliciosos no están reinventando sus vectores de ataque desde cero, sino adaptando técnicas consolidadas a los nuevos entornos digitales y comportamientos de los usuarios.
Entre los hallazgos principales destaca el aumento en la eficiencia operativa de los ciberdelincuentes, la sofisticación de las campañas de ingeniería social, el uso récord del phishing mediante códigos QR (quishing) y la persistencia del ransomware respaldado por herramientas diseñadas para neutralizar sistemas de protección corporativa.
Infiltración de la IA: Habilidades maliciosas y malware adaptativo
El análisis de ESET pone especial foco en el crecimiento de la superficie de ataque vinculada a los ecosistemas de inteligencia artificial. Durante el periodo evaluado, los sistemas de la compañía examinaron aproximadamente 900,000 AI skills —componentes funcionales que permiten a los agentes de IA ejecutar tareas específicas, interactuar con servicios externos y acceder a conjuntos de datos—. De ese total, se identificaron 25,000 instancias sospechosas y más de 3,000 diseñadas con fines directamente maliciosos.
La investigación detalla la presencia de habilidades que incorporan herramientas de intrusión de terceros, así como componentes con capacidad de automodificación diseñados para generar persistencia en los sistemas afectados mediante la creación de archivos JSON y scripts en Python. Asimismo, el informe advierte sobre herramientas categorizadas como benignas pero defectuosas, las cuales prometen escaneos de seguridad y generan una falsa sensación de protección en las organizaciones al aplicar revisiones rudimentarias comparables a los métodos antivirus de décadas pasadas.
En el ámbito del software malicioso, la firma identificó PromptSpy, catalogado como el primer malware para el sistema operativo Android que integra inteligencia artificial generativa dentro de su flujo de ejecución. Esta amenaza utiliza el modelo Gemini de Google para analizar dinámicamente los elementos de la interfaz de usuario, lo que le permite adaptarse a diversos entornos de dispositivos sin depender de instrucciones rígidas en su código fuente.
Jiří Kropáč, director de los Laboratorios de Prevención de Amenazas de ESET, señala sobre este fenómeno:“En lugar de recurrir a métodos y herramientas completamente nuevos, los atacantes están adaptando rápidamente técnicas ya establecidas a nuevas plataformas, tecnologías y comportamientos de los usuarios. El número de habilidades de IA dentro de este nuevo ecosistema está creciendo rápidamente en este mismo momento, lo que amplía aún más la superficie de ataque. Por otro lado, PromptSpy ilustra el potencial de una mayor flexibilidad en las amenazas futuras, aunque es probable que las medidas de protección contra el abuso incluidas en los modelos de lenguaje grande (LLM) estén frenando su adopción”.
Evolución de la ingeniería social: ClickFix y Quishing
Las técnicas de manipulación de usuarios registraron variaciones operativas importantes en el primer semestre del año:
Evolución de ClickFix
La técnica orientada a desplegar mensajes de error falsos se expandió hacia sitios de soporte relacionados con IA, extensiones para navegadores y entornos de autenticación en la nube. Bajo la modalidad AI-fix, los atacantes alojan cadenas de infección dentro de contenidos de ayuda generados por IA para solucionar fallas inexistentes en dominios que simulan pertenecer a proveedores tecnológicos.
Ataques mediante ConsentFix
Esta variante combina la interacción de ClickFix con el abuso de la autorización OAuth. El método permite el secuestro de cuentas en la nube sin requerir el robo explícito de credenciales, eludiendo la autenticación de doble factor (MFA) al operar sobre flujos de acceso legítimos. Las detecciones de este vector se duplicaron en comparación con el segundo semestre de 2025.
Crecimiento del Quishing
El phishing basado en códigos QR alcanzó sus niveles más altos en la telemetría de la compañía. El 11% de los correos electrónicos maliciosos detectados utilizó este mecanismo para derivar la navegación del usuario hacia dispositivos móviles, evadiendo las herramientas tradicionales de inspección de correo. Los países con mayor concentración de detecciones de quishing fueron Estados Unidos (19%), España (17%) y México (6%).
Panorama del Ransomware y herramientas de evadir EDR
Las operaciones de ransomware mantuvieron su volumen de actividad durante la primera mitad de 2026. Los atacantes continuaron empleando los denominados EDR killers, herramientas especializadas en deshabilitar o bloquear la ejecución del software de detección y respuesta en los puntos de contacto (endpoints). Los investigadores de ESET documentaron más de 100 variantes distintas de estos deshabilitadores en circulación.
Pese al incremento en la cantidad de intentos de ataque, los indicadores de la industria registran una caída en la tasa de pago por parte de las víctimas. Diferentes reportes del sector confirman que únicamente entre el 14% y el 28% de las organizaciones afectadas optó por ceder a las demandas de rescate económico, marcando un mínimo histórico en la rentabilidad directa de estas extorsiones.
