Bogotá, septiembre de 2026. El estándar de oro de la concientización en ciberseguridad solía ser enseñar a las personas a no hacer clic en enlaces sospechosos, detectar logotipos mal diseñados y buscar errores tipográficos en las direcciones del remitente.

Sin embargo, KnowBe4, líder mundial en seguridad de la fuerza laboral digital, que protege tanto a agentes de IA como a humanos, descubrió que los estafadores no han inventado una nueva táctica; en cambio, simplemente han levantado el teléfono.

CrowdStrike OverWatch detectó un aumento del doble en las intrusiones por phishing de voz, comúnmente conocido como vishing, en el primer semestre de 2026 en comparación con el segundo semestre de 2025.

La interacción de humano a humano hace que el vishing sea especialmente convincente como técnica de ingeniería social, permitiendo a los adversarios hacerse pasar por personal de TI y manipular a los usuarios para que otorguen acceso.

Particularmente en Colombia, de las personas que reportaron haber perdido dinero debido a fraude digital durante el último año, una cuarta parte (25%) dijo que el vishing fue el tipo de estafa en la que cayeron, según un informe de TransUnion.

“Las organizaciones han pasado dos décadas asegurando la bandeja de entrada, por lo que los atacantes se han trasladado naturalmente al teléfono. Hoy en día, un identificador de llamadas falso y una voz segura a menudo son suficientes para engañar a un empleado escéptico, lo que convierte al vishing en el canal menos evaluado y más peligroso en la mayoría de los programas de concientización sobre seguridad”, afirma Rafael Peruch, Asesor Técnico de CISO para América Latina en KnowBe4.

El hackeo psicológico y la ilusión de confianza

Según cifras preliminares del Ministerio de Defensa de Colombia, los delitos cibernéticos denunciados aumentaron un 12% entre enero y marzo de 2026 en comparación con el mismo período en 2025, lo que subraya la importancia de abordar la evolución de las tácticas utilizadas por los estafadores.

Contestar el teléfono cuando hay una persona desconocida al otro lado lo hace vulnerable, pero el éxito del vishing depende en gran medida de manipular las respuestas psicológicas de las víctimas. Antes de siquiera hacer una solicitud, los actores malintencionados generan confianza utilizando inteligencia de fuentes abiertas recopilada en plataformas como LinkedIn o las redes sociales. Al hablar en detalle sobre el gerente, el departamento o las actualizaciones recientes de software de un empleado, la interacción se siente como una relación existente en lugar de una llamada en frío.

Cómo las organizaciones pueden defenderse contra los ataques de vishing

Los hallazgos de KnowBe4 en torno a esta perjudicial modalidad de ciberdelincuencia han demostrado que el teléfono es el canal menos evaluado en la mayoría de los programas de concientización sobre seguridad, y los programas de capacitación no se han puesto al día con el lugar donde están ocurriendo los ataques reales. Actualmente, el rápido aumento del vishing está impulsado por una tormenta perfecta de vulnerabilidades sistémicas, deepfakes y psicología humana.

Para abordar esto, el vishing simulado (Simulated Vishing) ahora está disponible dentro de la plataforma KnowBe4. Los resultados de la simulación de vishing alimentan los mismos informes y la visibilidad de riesgos en los que las organizaciones ya confían para los datos de phishing y capacitación, influyendo en el Risk Score™, que destaca una visión unificada del riesgo humano y de IA en todos los canales. Los aspectos más destacados de la nueva capacidad incluyen:

• Capacitación para amenazas en evolución: Amplía la capacitación sobre concientización en seguridad al canal telefónico, uno de los vectores de ingeniería social de más rápido crecimiento y menos evaluados.
• Resiliencia en el mundo real: Los empleados practican cómo reconocer tácticas telefónicas en vivo y de alta presión en un entorno seguro, en lugar de encontrarlas por primera vez por parte de un atacante real.
• Visibilidad para los líderes de seguridad: Los informes sobre la susceptibilidad al vishing brindan a los líderes de seguridad la misma visión basada en datos del riesgo fundamentado en la voz que contribuye al Risk Score general.
• Tácticas reales de atacantes: El identificador de llamadas local, las personas realistas y los escenarios personalizables de múltiples pasos reflejan cómo se llevan a cabo realmente los ataques de vishing modernos.

Cómo la IA está potenciando los ataques de vishing

El verdadero catalizador detrás de la reciente explosión del vishing es la IA generativa. Los estafadores ya no dependen de individuos que leen guiones desde centros de llamadas: «La tecnología de clonación de voz en tiempo real ahora requiere menos de treinta segundos de audio extraído de un podcast, seminario web o clip de redes sociales para generar una réplica de voz hiperrealista», agrega Peruch.

Para protegerse contra esta amenaza en evolución, las organizaciones y los individuos deben darse cuenta de que las viejas reglas del juego ya no aplican. El vishing es una amenaza avanzada y de múltiples capas que requiere un enfoque modernizado para la concientización sobre ciberseguridad y un compromiso absoluto para verificar a cada persona desconocida que llama.