¿Cómo detectar un correo generado por IA?

El phishing ya no tiene errores de ortografía

Durante años, detectar un correo malicioso era relativamente sencillo: bastaba con buscar una ortografía dudosa, un saludo genérico como "Estimado cliente" o un adjunto con nombre sospechoso. Era el equivalente digital de un ladrón con una media en la cabeza: poco discreto y fácil de identificar.

Pero la llegada de la inteligencia artificial generativa cambió las reglas del juego.

Hoy, un atacante puede pedirle a un modelo de lenguaje que redacte un correo urgente, persuasivo y perfectamente escrito en el tono exacto de tu director financiero. Puede personalizarlo con datos sacados de LinkedIn, de la web corporativa o de filtraciones previas. El resultado es un mensaje impecable, sin faltas, con contexto real y una urgencia que presiona justo lo suficiente.

El problema ya no es el correzo mal escrito. El problema es el correo perfecto.

Si quieres proteger tu organización, tu cuenta bancaria o simplemente tu tranquilidad, necesitas aprender a leer entre líneas. No para volverte paranoico, sino para volverte resiliente.

La paradoja de la perfección: por qué un correo impecable es sospechoso

Los humanos somos imperfectos. Cuando tu jefe te escribe a las 8:00 de la mañana desde el celular, probablemente hay una falta de tilde, una palabra autocorregida mal o una frase cortada. Cuando tu proveedor habitual te escribe, usa ciertas expresiones, abreviaturas internas o incluso faltas de puntuación características.

La IA, por el contrario, suele producir textos excesivamente pulidos. No comete errores tipográficos. No usa puntos suspensivos a medio camino. No escribe "ya te paso la info" sino "Le agradecería enormemente si pudiera compartir conmigo la información solicitada a la mayor brevedad posible".

Señal de alerta: Si un correo de alguien cercano suena como si lo hubiera redactado un abogado en su mejor momento, detente.

Siete red flags que delatan a un correo generado por IA 🚩

No necesitas ser experto en ciberseguridad para detectarlos. Solo necesitas prestar atención a estos detalles:

1. Lenguaje excesivamente genérico o, al revés, demasiado personalizado. La IA suele usar frases de relleno que suenan profesionales pero vacías: "Espero que te encuentres bien en esta oportunidad", "Por favor, hazme el favor de revisar", "Quedo atento a cualquier inquietud que pudieras tener". Son construcciones que un humano no usaría en un correo interno rápido.

Por otro lado, si el correo menciona detalles tuyos (tu cargo exacto, un proyecto reciente visto en LinkedIn) pero el tono sigue siendo robótico, sospecha. La IA investiga; el humano, simplemente, te conoce.

2. Estructura "demasiado bonita": observa la forma. ¿Los párrafos tienen longitudes similares? ¿Usa listas enumeradas o viñetas de forma simétrica? ¿Hay una introducción, desarrollo y cierre perfectos? Los humanos escribimos correos desiguales. La IA ama la simetría.

3. Ausencia de contexto interno real: Un compañero te diría "como acordamos en la reunión de ayer" o "avísale a Juan del área de Compras". Un correo generado por IA raramente incluye referencias internas espontáneas, apodos, chistes internos o el nombre del café de la esquina donde suelen almorzar. Si el contexto es superficial, la alarma debe encenderse.

4. Urgencia fría: La IA expresa urgencia de forma extrañamente correcta: "Es imperativo que se realice la transferencia antes de las 14:00 horas para evitar inconvenientes mayores". Un jefe real estresado escribe: "Necesito esto ya, por favor. Cualquier duda, me llamas". La urgencia humana tiene temperatura. La de la IA es clínica.

5. Firmas inconsistentes: Revisa con lupa la firma. ¿El número de teléfono tiene un dígito de más? ¿El dominio es @empresa.com o @empresa-soporte.com? ¿El logo se ve ligeramente borroso? Los atacantes usan IA para el texto, pero siguen cometiendo errores en los metadatos visuales.

6. Sin errores... en absoluto. Esto parece contradictorio, pero es tu mejor aliado. Si recibes un correo largo de alguien que normalmente escribe con prisa y no tiene ni una coma fuera de lugar, pregúntate: ¿escribió esto realmente a las 2:00 a.m. sin una sola tilde perdida?

7. Solicitudes inusuales aunque bien redactadas: La IA puede pedirte que descargues un archivo, que cambies una contraseña, que apruebes una factura o que compres gift cards. El texto será impecable, pero la petición seguirá siendo absurda. No dejes que la forma te distraiga del fondo.

Lo que la tecnología ve: cabeceras, metadatos y gateways

Si tienes acceso al área de TI o seguridad, o si simplemente quieres ir un paso más allá, estos son los indicadores técnicos:

• Analiza los headers (cabeceras del correo): Un correo legítimo de tu empresa debe salir de los servidores de correo internos o de Microsoft 365 / Google Workspace. Si ves IPs de origen en países extraños, servidores de relay desconocidos o fallas en SPF, DKIM y DMARC, el correo no es quien dice ser.
• Revisa el X-Mailer: Algunas plataformas de envío masivo o scripts automatizados dejan huellas en los metadatos.
• Observa el enlace (sin hacer clic): Pasa el mouse sobre los enlaces. Si el texto dice "portal-bancario.com" pero el destino real es una cadena alfanumérica en un dominio raro, es phishing. Punto.
• Usa tu Email Gateway: Las soluciones empresariales modernas (Microsoft Defender, Proofpoint, Mimecast) ya incorporan motores de IA para detectar lenguaje generado por IA, suplantación de identidad (BEC) y anomalías de comportamiento. Si no la tienes activada, estás un paso atrás.

Importante: Las herramientas públicas que prometen "detectar si un texto fue escrito por IA" (clasificadores) no son infalibles. Un texto puede ser 100% humano y marcar positivo, o viceversa. Úsalas como referencia, no como veredicto absoluto.

El protocolo de los 30 segundos (antes de responder o hacer clic)

Cuando un correo te haga dudar, aplica este ritual rápido. Toma menos de medio minuto y puede ahorrarte meses de dolores de cabeza:

1. Respira. La urgencia artificial quiere que actúes sin pensar. No lo hagas.
2. Relee en voz alta. Si suena como un manual de instrucciones, sospecha.
3. Verifica el remitente. No solo el nombre visible, sino la dirección completa del correo.
4. No hagas clic. Si pide que inicies sesión, ándate por tu navegador y entra por la URL oficial. Nunca por el correo.
5. Confirma por otro canal. Si tu jefe te pide algo extraño, mándale un mensaje por Slack, Teams o llámalo. Un minuto de verificación evita una catástrofe.

Cuándo la duda no solo es válida, sino obligatoria

Existe una regla no escrita en ciberseguridad: "Cuando dudes, no actúes."

No te preocupes por parecer exagerado o lento. Un correo genuino de tu CEO no se caerá si tardas 10 minutos en confirmarlo por otro medio. En cambio, un correo falso sí puede destruir tu presupuesto anual, tu reputación o tus datos si le das "Responder" sin pensar.

Entrena a tu equipo para que la pregunta "¿Esto podría ser IA?" sea tan natural como "¿Dejé las luces encendidas?". No se trata de tecnofobia; se trata de higiene digital.

Conclusión: El correo perfecto es la nueva amenaza

La inteligencia artificial es una herramienta maravillosa... hasta que cae en las manos equivocadas. Y aunque no podemos dejar de usar el correo electrónico, sí podemos dejar de confiar ciegamente en lo que leemos.

Detectar un correo generado por IA no requiere ser un hacker. Requiere ser un lector atento. Observa la perfección, desconfía de la urgencia fría, verifica lo que no cuadra y, sobre todo, nunca olvides que detrás de cada correo legítimo hay un humano imperfecto... y la IA no lo es.