Los falsos agentes de IA roban criptomonedas

Investigadores identifican tres técnicas sofisticadas de ataque basadas en inteligencia artificial falsa.

Los ciberdelincuentes están sacando partido del creciente interés por la inteligencia artificial agéntica para distribuir malware especializado en el robo de fondos. Así lo revela el último informe de HP Wolf Security, que analiza campañas identificadas entre abril y junio de 2026 y describe al menos tres técnicas distintas con las que actores maliciosos engañan a usuarios para comprometer sus dispositivos.

El equipo de ciberseguridad de HP ha examinado datos de "millones de dispositivos" para cartografiar las tácticas empleadas por los delincuentes digitales en su intento de burlar los sistemas de detección y hacerse con credenciales e información financiera. La estrategia más preocupante que recoge el informe es la creación de agentes de inteligencia artificial falsos que imitan a asesores financieros legítimos.

Agentes de IA que distribuyen malware de robo de credenciales

En las campañas detectadas, los atacantes convencían a los usuarios de sustituir sus servicios de asesoramiento financiero por agentes de IA supuestamente capaces de supervisar carteras de inversión y ejecutar operaciones de forma automática. El sitio web que ofrecían, bautizado como "tradingclaw", era en realidad una trampa diseñada para distribuir malware de la familia Needle Stealer.

Una vez instalado en el dispositivo de la víctima, el programa malicioso rastreaba los navegadores en busca de extensiones legítimas de monederos de criptomonedas, como Coinbase y MetaMask. El procedimiento era especialmente sofisticado: el malware reemplazaba esas extensiones auténticas por versiones prácticamente idénticas pero fraudulentas, capaces de capturar las credenciales cuando el usuario iniciaba sesión en su monedero.

Con esas credenciales en su poder, los atacantes accedían a los fondos en criptomonedas y los transferían a cuentas bajo su control. Patrick Schläpfer, investigador principal del laboratorio de seguridad de HP, explicó que estas campañas demuestran cómo los atacantes "están aprovechando la adopción de herramientas de inteligencia artificial agéntica para desarrollar señuelos que engañan a los usuarios y les llevan a descargar software malicioso que parece legítimo", una estrategia que "hace que la distribución de malware sea más sofisticada y difícil de detectar".

Phantom Gate amplía la sofisticación de los ataques

Otra campaña documentada por los investigadores de HP gira en torno a Phantom Gate, un nuevo componente de carga de malware que extiende las capacidades de la campaña preexistente de Phantom Stealer. Esta herramienta, comercializada como software legítimo para pruebas de penetración, se combina con Phantom Gate para que los ciberdelincuentes puedan crear y escalar campañas de ataque de mayor envergadura.

El objetivo central de Phantom Stealer es el robo de información sensible: credenciales de acceso y datos financieros de los usuarios afectados. La incorporación de Phantom Gate como mecanismo de distribución supone un salto cualitativo en la peligrosidad de estas amenazas, al permitir que los actores maliciosos establezcan "cadenas de infección peligrosas" y aumenten significativamente "el riesgo de que las organizaciones se vean comprometidas", según señaló Schläpfer.

Phishing mediante códigos QR trasladado a dispositivos móviles

Una tercera línea de ataque identificada por los investigadores recurre al phishing con códigos QR para desplazar a las víctimas desde sus ordenadores hacia sus teléfonos móviles, donde los sistemas de protección acostumbran a ser menos robustos. En estos ataques, los usuarios reciben documentos PDF con el contenido deliberadamente difuminado, bajo la excusa de que se trata de una medida de seguridad.

Para ver el contenido, las víctimas reciben instrucciones de escanear un código QR integrado en el PDF con su smartphone. Al hacerlo, son redirigidas a sitios de phishing que funcionan sin problemas en móviles, al contrario de lo que ocurriría en un ordenador de escritorio, donde muchas de esas páginas fraudulentas serían bloqueadas de forma automática. En el teléfono, estas páginas capturan las credenciales de acceso sin apenas resistencia.

Análisis de amenazas emergentes en el panorama de ciberataques

El análisis de HP Wolf Security ofrece un panorama detallado de las tácticas más utilizadas por los ciberdelincuentes en la actualidad. Según los datos del informe, los clientes del servicio han procesado 60.000 millones de archivos adjuntos de correos electrónicos, páginas web y documentos descargados sin registrar ninguna brecha de seguridad, lo que acredita la eficacia del enfoque de contención aplicado.

Entre los hallazgos más relevantes figura que al menos el 10 por ciento de las amenazas recibidas por correo electrónico e identificadas por HP Sure Click lograron eludir "uno o más escáneres de las pasarelas de correo electrónico". Los archivos ejecutables se consolidaron como el método más habitual para distribuir malware, presentes en el 40 por ciento de los casos analizados, seguidos de los archivos comprimidos (38 por ciento) y los documentos PDF (7,5 por ciento).

James Wright, director global de seguridad de sistemas personales de HP, subraya que los usuarios de hoy "se mueven constantemente entre dispositivos y aplicaciones utilizando navegadores y herramientas de inteligencia artificial", por lo que los ciberdelincuentes "no tardan en seguirles" actualizando sin pausa sus métodos de ataque. Ante este escenario, Wright defiende que las organizaciones adopten un enfoque "Zero Trust" basado en "el aislamiento y la contención" del tráfico no confiable, de modo que "los clics y las descargas que no son de confianza no se conviertan en un riesgo".