- Correos con texto oculto ordenan a la IA de Gmail generar avisos falsos.
- El resumen sugiere llamar a un número que conecta con los estafadores.
- Buscan datos sensibles y, a veces, redirigen a webs fraudulentas.
- Recomendado: verificar en Google, no llamar ni compartir credenciales y activar 2FA.
El auge de la inteligencia artificial aplicada al correo ha traído un efecto colateral inquietante: una táctica de fraude que ya se conoce como la “estafa invisible” en Gmail. Diversas organizaciones han dado la voz de alarma por el aumento de casos y la sofisticación de un truco que, a simple vista, pasa desapercibido.
El gancho no es un enlace llamativo ni un adjunto extraño; es la capacidad de manipular a los asistentes automáticos que muchos usuarios consultan a diario. En el centro del engaño se sitúa la interpretación que hace la IA —como Gemini— de instrucciones ocultas añadidas al propio mensaje.
Qué es la estafa invisible en Gmail y cómo funciona
Los delincuentes envían un correo que aparenta ser rutinario —promociones, avisos o suscripciones— y añaden al final un fragmento de texto “camuflado” en color blanco. Para el ojo humano no existe; para el motor de IA que resume correos, sí: ese bloque contiene una instrucción para que el sistema genere una alerta convincente.
Cuando la IA procesa el mensaje, crea un resumen que advierte de una supuesta filtración de la contraseña y propone actuar con rapidez. La recomendación suele incluir un “teléfono de soporte” o un enlace que, en realidad, conduce a la infraestructura de los estafadores.
En numerosos casos, el número redirige a una central operada por los atacantes y, a veces, la llamada puede tener coste adicional. Desde esa conversación, el objetivo es sonsacar datos o guiar a la víctima hacia páginas falsas para completar el robo de información.
Esta técnica ha sido señalada por la Asociación Finlandesa de Telemarketing, que subraya que el método se inspira en viejas prácticas de inyección de instrucciones usadas en otros ámbitos, ahora aplicadas a asistentes de IA integrados en el correo.
Por qué resulta tan convincente
El éxito del timo descansa en un factor psicológico: el resumen no lo firma un desconocido, sino una herramienta “de confianza” que el propio usuario utiliza como filtro. Ese intermediario confiere credibilidad y rebaja las defensas.
Además, el texto fabricado por la IA explota la urgencia —“tu clave se ha filtrado”—, lo que favorece respuestas impulsivas sin verificación. Ni el nivel técnico del usuario ni su experiencia garantizan inmunidad frente a un aviso tan verosímil.
Qué persiguen los atacantes
La finalidad es clara: recopilar credenciales y datos sensibles (accesos al correo, redes sociales, banca online, números de tarjeta, documentos de identidad o códigos de doble factor). Con esa información, pueden monetizar el acceso o escalar a nuevos fraudes.
Otra variante conduce a la víctima a sitios web fraudulentos que imitan portales oficiales (de Google o de entidades financieras), donde se pide introducir datos “para resolver el problema”. El resultado es el mismo: la cuenta queda comprometida.
Señales de alerta que puedes detectar
Conviene entrenar el radar. Hay indicios que deberían activar las luces rojas de inmediato:
- Avisos automáticos sobre una “filtración de contraseña” que incluyen un número de teléfono o un enlace externo no verificado.
- Llamadas o mensajes que piden contraseñas, códigos de autenticación o datos bancarios con carácter de urgencia.
- Actividad inusual: correos salientes no reconocidos, cambios de configuración o inicios de sesión desde lugares o dispositivos desconocidos.
Cómo protegerte de la estafa invisible
Ante cualquier alerta alarmista, el primer paso es verificar por tu cuenta en Google (comprobación de seguridad, actividad de la cuenta) y evitar números o enlaces suministrados por el propio mensaje.
- Desconfía de resúmenes que empujen a actuar “ya”: confirma en la configuración de seguridad de tu cuenta.
- No llames a teléfonos no verificados ni compartas códigos de verificación por voz o chat.
- Activa la verificación en dos pasos (2FA) y usa contraseñas únicas y robustas.
- Mantén actualizado el sistema y las apps para reducir vulnerabilidades.
- Reporta en Gmail cualquier correo sospechoso como phishing para mejorar los filtros.
También es recomendable revisar de forma periódica las sesiones abiertas y dispositivos con acceso a tu cuenta, revocando los que no reconozcas y cambiando la clave si detectas algo raro.
Qué hacer si ya has interactuado
Si has llamado o facilitado datos, actúa sin perder tiempo para cortar el alcance del fraude:
- Cambia de inmediato la contraseña de Google y de cualquier servicio donde la reutilizases.
- Revoca sesiones, desconecta dispositivos desconocidos y elimina permisos a apps sospechosas.
- Activa/renueva 2FA y genera códigos de respaldo nuevos.
- Si diste datos financieros, contacta con tu banco y activa alertas de movimientos.
- Guarda evidencias (correos, números, registros de llamadas) y valora denunciar ante las autoridades competentes.
En paralelo, avisa a tus contactos más frecuentes por si los atacantes intentan suplantarte y reporta el caso a los canales oficiales de soporte.
La combinación de instrucciones ocultas y resúmenes automáticos ha abierto una vía de engaño particularmente sutil. Mantener hábitos de verificación, no fiarse ciegamente de mensajes generados por IA y acudir siempre a rutas oficiales para cualquier gestión de seguridad marca la diferencia entre caer en la trampa o esquivarla a tiempo.