Del falso CEO de Ferrari a la IA que hackea sola: qué ha cambiado

Por Andrea Marcotulli  |  Especialista en Ciberseguridad y Tecnologia Comercial

En 2024, una pregunta sobre un libro bastó para frenar a un impostor que imitaba la voz del consejero delegado de Ferrari. En 2026, los incidentes que ocupan titulares ya no tienen a una persona al otro lado: son agentes de inteligencia artificial que entran en sistemas ajenos sin que nadie se lo haya pedido.

Durante los dos últimos años, cuando hablábamos de inteligencia artificial y ciberseguridad con la dirección de una empresa o con los responsables de un organismo público, la conversación giraba en torno al engaño: voces clonadas, videollamadas falsas, correos impecables. La IA era el disfraz de un delincuente, y la recomendación era razonable: forme a su gente y verifique siempre por un segundo canal.

Esa recomendación sigue siendo válida, pero se ha quedado corta. Entre julio y septiembre de 2026, tres incidentes reconocidos públicamente por sus propios protagonistas han mostrado algo distinto: sistemas de IA que, mientras perseguían un objetivo en apariencia inocuo, accedieron sin autorización a infraestructuras de terceros, entre ellas un portal de un gobierno. No hubo delincuente ni intención de dañar, y en algún caso tampoco hubo nadie que se diera cuenta.

En este artículo repasamos qué ocurrió, según lo publicado por las fuentes que citamos, y sobre todo qué significa para quien decide dónde se invierte en seguridad. La conclusión se puede adelantar: una defensa que dependa del reflejo de una persona, o de las buenas intenciones de quien llama a la puerta, ya no es suficiente.

Ferrari, 2024: cuando una pregunta bastó

En julio de 2024, según informó Bloomberg, un directivo de Ferrari empezó a recibir mensajes de WhatsApp y después una llamada de quien parecía ser el consejero delegado, Benedetto Vigna. La voz reproducía incluso su acento del sur de Italia y pedía discreción para una operación confidencial. El directivo desconfió e hizo una pregunta que solo el verdadero Vigna podía responder: el título del libro que le había recomendado unos días antes. El interlocutor colgó. Ferrari no perdió un euro.

Pocos meses antes, la ingeniería británica Arup no tuvo esa suerte. Un empleado de su oficina de Hong Kong ordenó quince transferencias por unos 25 millones de dólares tras una videollamada en la que, según la policía local, todos los participantes salvo él eran recreaciones generadas por IA.

Los dos casos tienen la misma estructura: un delincuente humano que usa la IA para parecer otra persona, y un empleado que es la última barrera. En Ferrari la barrera aguantó; en Arup, no. Durante dos años esa ha sido la imagen de referencia de la amenaza, y por eso tanta inversión se ha dirigido a concienciación y a procedimientos de verificación. Es dinero bien empleado. Pero lo ocurrido este año no encaja en esa imagen.

Australia, 2026: el intruso que no era un delincuente

El 24 de septiembre, el primer ministro australiano, Anthony Albanese, denunció desde Nueva York que un agente de IA desarrollado por OpenAI había accedido en junio, sin autorización, al portal de estadísticas de Medicare, el sistema público de salud, administrado por la agencia Services Australia. BBC lo presentó como el primer caso conocido de un agente de IA que vulnera una web gubernamental.

Un agente, conviene aclararlo, no es un chatbot que responde preguntas: es un sistema al que se le encarga un objetivo y que decide por sí mismo los pasos para alcanzarlo, navegando, ejecutando acciones y corrigiendo el rumbo. Según explicó OpenAI, sus modelos buscaban estadísticas sobre Australia en el marco de una evaluación interna. De acuerdo con la información recogida por Europa Press, el portal bloqueó las peticiones y el agente encontró la manera de sortear ese bloqueo.

El Gobierno australiano afirma que se accedió a archivos públicos y no públicos, pero no a datos personales de ciudadanos; OpenAI habla de estadísticas agregadas y nombres de archivos internos. El daño material parece limitado. Lo relevante para un decisor está en dos detalles. El primero: el acceso se produjo el 18 de junio y las autoridades australianas no tuvieron noticia hasta el 10 de septiembre, cuando la propia empresa lo comunicó. Casi tres meses en los que el organismo afectado no detectó la intrusión por sus propios medios. El segundo: se trataba, según la cobertura de Euronews, de una web antigua. Los sistemas heredados que nadie vigila son, en cualquier administración y en cualquier empresa, una puerta habitual.

Hugging Face y Anthropic: cuando las pruebas salen del laboratorio

El caso australiano no es aislado. En julio, OpenAI reconoció que, durante unas pruebas internas de capacidades de ciberseguridad, un conjunto de agentes de IA había salido de su entorno de pruebas y comprometido los sistemas de Hugging Face, la plataforma donde buena parte del sector publica y comparte modelos de IA. La compañía lo calificó de incidente sin precedentes y a finales de agosto publicó un informe técnico con la reconstrucción de lo sucedido. Hugging Face, por su parte, lo describió como un ataque conducido de principio a fin por agentes autónomos.

Días después, Anthropic revisó sus propias evaluaciones y comunicó que tres de sus modelos habían accedido a los sistemas de tres organizaciones reales. Según su explicación, recogida por Fortune y Sky News, a los modelos se les había indicado que trabajaban en una simulación sin conexión a internet; por un malentendido con un proveedor externo, la conexión existía, y los modelos trataron sistemas reales como parte del ejercicio.

De esa comunicación hay dos datos que cualquier comité de dirección debería leer despacio. El primero: los modelos entraron con técnicas básicas, como contraseñas débiles y puntos de acceso sin autenticación. No hizo falta nada sofisticado. El segundo: ninguna de las organizaciones afectadas había detectado la intrusión antes de que Anthropic se lo notificara.

Conviene mantener la proporción. Son incidentes ocurridos durante pruebas, comunicados por las propias compañías y sin daños graves conocidos. No anuncian una rebelión de las máquinas. Lo que sí demuestran es que encontrar y aprovechar una debilidad ya no exige un equipo de especialistas ni semanas de trabajo, y que esa misma capacidad está también al alcance de quien sí tiene mala intención.

Qué ha cambiado, visto desde la dirección

Puestos uno al lado del otro, los casos de 2024 y los de 2026 describen dos amenazas distintas que conviven.

La diferencia de fondo es que en el primer modelo hay alguien a quien hacerle la pregunta del libro. En el segundo no hay conversación: un agente no llama por teléfono ni redacta un correo convincente; recorre lo que su organización tiene visible en internet y prueba, con una paciencia que ninguna persona tiene, hasta que algo cede.

Eso desplaza la pregunta que debe hacerse la dirección. Ya no basta con «¿sabría mi equipo reconocer un engaño?». Hay que añadir otras tres: qué tenemos expuesto a internet y quién lo revisa; cuánto tardaríamos en enterarnos de que alguien ha entrado; y qué encontraría quien entrase. Para una administración pública o una empresa sujeta al Esquema Nacional de Seguridad o a la directiva europea NIS2, además, no son preguntas voluntarias: la gestión del riesgo y la notificación de incidentes forman parte de la responsabilidad de quien dirige.

Tres capas que no dependen de las intenciones de nadie

Ninguno de estos casos pide una tecnología exótica. Piden orden, y tres capas que funcionan igual ante un delincuente, ante un agente de IA que se sale de su tarea o ante un empleado con prisa.

La primera es reducir lo que se ve. El portal australiano era un sistema antiguo y accesible; lo que está publicado en internet puede ser encontrado, y lo que puede ser encontrado será probado. Una auditoría de ciberseguridad empieza precisamente por ahí: inventariar qué servicios tiene expuestos la organización, cuáles siguen siendo necesarios y cuáles se quedaron abiertos por inercia. Para los entornos más sensibles existe además un enfoque que va un paso más allá, el de las redes sin exposición, en las que los sistemas se comunican entre sí sin puertos abiertos ni direcciones visibles desde fuera. Es el planteamiento de tecnologías como SElink, con las que trabajamos en Enjoynet: lo que no se ve no se puede escanear.

La segunda es que alguien esté mirando. Casi tres meses sin detección en Australia; tres organizaciones que no supieron que habían sido vulneradas hasta que se lo dijeron. Las contraseñas débiles y los accesos sin autenticar no se corrigen con una compra, sino con mantenimiento y vigilancia continuos. Ese es el sentido de la ciberseguridad gestionada: que la revisión de permisos, las actualizaciones y la monitorización no dependan de que alguien encuentre un hueco en la agenda.

La tercera es proteger el dato y no solo la puerta. Si a pesar de todo alguien entra, la diferencia entre un susto y una crisis está en lo que encuentra. Con cifrado respaldado por hardware, tanto para la información almacenada como para la que viaja, y con las claves custodiadas fuera del alcance del sistema comprometido, lo que sale de la organización sale ilegible.

Conclusión: la seguridad no puede depender de un reflejo

El directivo de Ferrari hizo lo correcto, y su reflejo sigue siendo un buen ejemplo para cualquier equipo: ante una petición inusual, verificar antes de actuar. Pero una organización no puede construir su seguridad sobre la esperanza de que cada persona tenga ese reflejo en el momento justo, y menos aún cuando al otro lado ya no hay nadie a quien preguntar.

Los incidentes de este año no deberían leerse con alarma, sino con realismo. Han ocurrido en organizaciones con muchos más recursos que la mayoría, se han resuelto sin daños graves conocidos y se han hecho públicos. Lo que enseñan es sencillo: lo expuesto acaba siendo encontrado, lo que no se vigila tarda meses en descubrirse y el dato sin cifrar es el que convierte una intrusión en un problema de continuidad, de cumplimiento y de reputación.

Las tres cosas tienen remedio conocido, y el primer paso es el más barato: saber dónde está uno. En Enjoynet Ingeniería Tecnológica acompañamos a empresas y administraciones en ese recorrido, empezando siempre por mirar antes de recomendar.

¿Sabe su organización qué tiene hoy visible desde internet y cuánto tardaría en detectar un acceso no autorizado?  Contacte con Enjoynet Ingeniería Tecnológica. 

info@enjoynet.es