Tu jefe no te envió ese email. Una IA entrenada con sus últimas tres respuestas sí lo hizo.

El indicador clásico de un email falso del jefe era la mala gramática y un saludo extraño. Ese indicador desapareció. Las herramientas generativas ahora absorben un hilo de correo raspado e imitan la cadencia exacta, la puntuación y la firma de un colega, razón por la cual el compromiso del correo empresarial sigue drenando a las compañías — el Centro de Denuncias de Delitos por Internet del FBI registró $2.9 mil millones en pérdidas de BEC reportadas solo en 2023. La única defensa confiable que queda es trasladar la conversación a un canal diferente antes de actuar.

¿Por qué no puedo confiar en un email que suena exactamente como mi gerente?

Porque "suena como él" ahora es la parte más fácil de falsificar. El BEC solía depender de una dirección secuestrada o falsificada combinada con texto torpe; la puntuación incómoda era la pista. Alimenta un modelo de lenguaje grande con tres respuestas reales de alguien y coincidirá con su ritmo — la forma en que abre con "Hey", omite puntuación cuando tiene prisa, cierra la firma con solo una inicial. Los atacantes obtienen esas respuestas de un buzón comprometido, un hilo reenviado o una cadena de responder-a-todos que se filtró fuera de la empresa.

El Informe de Investigación de Brechas de Datos 2024 de Verizon encontró que el elemento humano estaba involucrado en aproximadamente el 68% de las brechas, con la ingeniería social y el pretexting como un patrón dominante. El estilo ya no es evidencia. La persona que escribe como tu CFO podría ser un modelo entrenado con quince minutos de la bandeja de salida de tu CFO.

¿Cómo se ve realmente uno de estos falsos mejorados?

Se parece a una solicitud breve, plausible y ligeramente urgente que encaja en una conversación real ya en progreso. El movimiento clásico: una respuesta insertada en un hilo existente sobre un pago a un proveedor, con nuevas instrucciones de transferencia y una línea como "el banco marcó la cuenta antigua, usa esta". Sin errores tipográficos, nombres de proyectos correctos, los tics de habla reales de tu jefe.

Lo técnico es que el nombre mostrado puede verse perfecto mientras que el dominio de envío está desplazado por un carácter — @company-invoices.com en lugar de @company.com — o Reply-To apunta silenciosamente a otro lado. La autenticación ayuda aquí: un mensaje que falla la alineación SPF, DKIM o DMARC es sospechoso sin importar cuán humano suene. Las herramientas de correo IA, incluyendo el flagging de estafas y fraude de facturas incorporado en correo electrónico IA con detección de estafas, verifican esos encabezados automáticamente, porque una persona que escanea rápidamente en un teléfono nunca lo hará.

Entonces, ¿cómo verifico realmente una solicitud en la que no puedo confiar por su apariencia?

Cambia de canal y confirma a través de uno que ya conoces, no uno que el email te dio. Si el email te pide dinero o credenciales, llama a la persona en un número de tus contactos o el directorio de la empresa — nunca el número en la firma. Camina a su escritorio. Mensajea en la herramienta de chat interna. Todo el estafador depende de que te quedes dentro del correo, donde el atacante controla ambos lados.

Conviértelo en una regla, no en un juicio de criterio. Cualquier cambio de pago, cualquier transferencia, cualquier nuevo detalle bancario obtiene una confirmación de segundo canal, punto final — el IC3 consistentemente recomienda exactamente esta verificación verbal para BEC. Las reglas sobreviven una tarde ocupada de martes; los instintos no. Y deja de tratar un estilo de escritura convincente como prueba de nada. Lo único que un modelo entrenado con respuestas raspadas no puede falsificar es tu jefe contestando el teléfono y diciendo que nunca lo envió.