Durante años, el phishing fue la amenaza online más conocida. Pero en el primer trimestre de 2026 ocurrió algo nuevo: las estafas –tiendas falsas, trampas disfrazadas de ofertas de empleo, portales de eventos suplantados– superaron por primera vez al phishing clásico. Según el informe que Akamai publicó el 29 de octubre, los atacantes además se han vuelto más rápidos: la vida media de una campaña de phishing se redujo a la mitad. Juntas, esas dos cifras significan que los reflejos defensivos habituales de una pyme –lista negra, formación anual, «ya avisará el informático»– se han quedado cortos.
Qué dice el informe de Akamai
AI-Driven Digital Deception: The Fraud and Abuse Report 2026 es la duodécima edición de la serie State of the Internet. Los datos proceden de los ataques observados en la propia infraestructura de Akamai, que gestiona una parte significativa del tráfico web mundial. Los hallazgos clave:
- Las estafas superan al phishing. Las detecciones de estafas prácticamente se duplicaron: de unos 3,2 millones a unos 6,4 millones.
- La vida media de una campaña cayó de 48 a 22 días (entre el cuarto trimestre de 2025 y el segundo de 2026), más de un 50% menos. La causa: kits de phishing como servicio, registro masivo de dominios e infraestructura que rota a gran velocidad para esquivar las listas negras estáticas.
- Casi el 70% de las marcas suplantadas pertenecen a tres sectores: tecnología (41,6%), servicios financieros (18,9%) y comercio (8,4%).
- El 26,6% de los intentos de inicio de sesión fueron de riesgo alto o crítico. Dentro de ese tráfico, las solicitudes de verificación de cuenta representaron el 40%: los atacantes validan primero los correos y luego lanzan el relleno de credenciales a gran escala.
- El comercio es el mayor objetivo: concentró el 41,1% de todos los intentos de inicio de sesión, con fines de apropiación de cuentas y abuso de puntos de fidelidad.
- América Latina y Asia-Pacífico son las regiones más expuestas: el 37,8% y el 36,4% de sus intentos de acceso fueron de riesgo alto o crítico.
Patrick Sullivan, CTO de estrategia de seguridad de Akamai, resume que la lucha contra el fraude «ya no es una función financiera aislada»: los agentes de IA autónomos y las identidades sintéticas se utilizan para abusar de la lógica de negocio y exfiltrar datos.
Por qué esto afecta a la pyme
Por tres razones. Primera: los atacantes no usan los sistemas de la gran empresa, sino su marca. El aviso falso de la mensajería, el SMS del banco o la factura de software llegan al buzón de tu equipo. Segunda: con campañas de 22 días, cuando un dominio entra en una lista negra, el ataque ya ha terminado. Una defensa puramente reactiva llega tarde. Tercera: si gestionas una tienda online, un sistema de reservas o un portal de clientes, tu pantalla de acceso es el objetivo, y los puntos de fidelidad, tarjetas guardadas y cupones se convierten en dinero igual que una cuenta bancaria.
Para las empresas que operan en América Latina, el 37,8% es una alerta directa: más de un tercio del tráfico de inicio de sesión en la región es de riesgo.
Qué hacer esta semana
- Autenticación multifactor en todo: correo, banca, panel de la tienda, CRM, redes sociales. Un correo validado no debe servir de nada por sí solo.
- Vigila los patrones de acceso. Un pico repentino de «olvidé mi contraseña» o de verificaciones de cuenta no es interés de clientes: es preparación. Configura límites de frecuencia y alertas.
- Protege tu propia marca. Registra las variantes de tu dominio, configura SPF, DKIM y DMARC y monitoriza si aparecen copias falsas de tu nombre.
- Formación trimestral, no anual, con ejemplos reales y recientes: oferta de empleo falsa, inscripción a un evento inexistente, «petición del jefe» redactada con IA.
- Mínimos privilegios y segmentación. Una cuenta comprometida no debe alcanzar a la vez facturación, nóminas y base de clientes.
- Un canal de aviso sencillo. Que cualquier persona pueda reportar un correo sospechoso en 30 segundos, sin sanción, incluso si ya hizo clic.
Cuando la defensa tiene que ser más rápida que el atacante
El mensaje del informe es claro: los ataques son masivos, automatizados y de corta vida, así que la defensa debe ser continua. El servicio de ciberseguridad B2B de BoostYourBiz ofrece exactamente esa protección a escala de pyme: evaluamos tus pantallas de acceso, tu infraestructura de correo y tus permisos, implantamos la autenticación multifactor y la monitorización, y formamos a tu equipo con las estafas que describe este informe. Encuentra los detalles en nuestra página de ciberseguridad o escríbenos desde la página de contacto para una evaluación inicial gratuita.
Fuente: Akamai Technologies (GlobeNewswire) – «Akamai Report: AI-Driven Digital Deception Is Escalating Enterprise Fraud and Shrinking Phishing Lifespans», 29 de octubre de 2026. Comunicado original