Una dirección web falsa no suele parecer peligrosa mientras no conduzca a ninguna parte. El problema comienza cuando alguien decide comprarla.
Esa es, en esencia, la amenaza que los investigadores de Unit 42, el equipo de ciberseguridad de Palo Alto Networks, han denominado phantom squatting: el registro y posible utilización maliciosa de dominios que antes habían sido inventados —o “alucinados”— por un modelo de inteligencia artificial. La técnica parte de una debilidad conocida de sistemas como los asistentes conversacionales y las herramientas de programación con IA. Cuando desconocen una dirección concreta, pueden construir una que encaje con la pregunta y que, por su estructura, parezca perfectamente razonable.
Podría ser algo parecido a:
soporte-empresa-seguridad.com
El nombre resulta creíble. Contiene la marca, utiliza términos habituales y se parece a miles de páginas legítimas. Pero quizá esa dirección nunca haya pertenecido a la empresa mencionada. Puede que ni siquiera esté registrada.
Un atacante solo tendría que comprarla, copiar la apariencia de la compañía y esperar a que alguien llegue hasta ella.
1. Una alucinación que puede salir de la pantalla
Las alucinaciones de la inteligencia artificial suelen asociarse con fechas equivocadas, referencias inexistentes o respuestas inventadas. En la mayoría de los casos, el daño termina en una información incorrecta.
Con las direcciones web sucede algo distinto: el error puede convertirse en un lugar real de internet.
Un modelo de lenguaje no consulta necesariamente una agenda interna de dominios oficiales cada vez que responde. Dependiendo del producto, de sus herramientas y de cómo se formule la pregunta, puede generar una URL a partir de los patrones aprendidos durante su entrenamiento.
Eso explica por qué una dirección ficticia puede parecer tan convincente. No está compuesta al azar. Se construye siguiendo las mismas convenciones lingüísticas y comerciales que utilizan las empresas reales.
El phantom squatting aprovecha precisamente esa apariencia de normalidad.
2. Cómo se prepara la trampa
El ataque puede comenzar con una operación de reconocimiento. En lugar de buscar errores tipográficos cometidos por los usuarios, el delincuente consulta repetidamente a distintos modelos para descubrir qué dominios falsos tienden a generar cuando se les pregunta por una marca, un servicio o una herramienta.
Las consultas pueden referirse a páginas de acceso, portales empresariales, documentación técnica, servicios de soporte, interfaces de programación o aplicaciones móviles.
Después se comprueba qué direcciones existen y cuáles siguen disponibles. Las más atractivas pueden registrarse y utilizarse para alojar:
- páginas que imitan a bancos o comercios;
- formularios destinados a robar credenciales;
- aplicaciones manipuladas;
- descargas con código malicioso;
- falsas áreas de clientes;
- documentación técnica alterada.
El atacante no necesita que todas las inteligencias artificiales reproduzcan el mismo dominio. Le basta con que alguna lo genere con cierta regularidad y con que un usuario —o un agente automático— confíe en la respuesta.
3. Qué encontró Unit 42
Para estudiar esta amenaza, Unit 42 creó un sistema de consultas automatizadas dirigido a dos familias de modelos cuyos nombres no hizo públicos.
Los investigadores elaboraron 685.339 preguntas relacionadas con 913 marcas internacionales y recopilaron aproximadamente 2,1 millones de URL únicas generadas en las respuestas. De ese conjunto, 809.455 direcciones no resolvían correctamente en internet. Tras analizar y normalizar sus dominios, el equipo obtuvo una lista aproximada de 250.000 dominios raíz no registrados que, en teoría, podían ser adquiridos por terceros.
La cifra necesita contexto. No significa que existan 250.000 ataques activos ni que todas esas direcciones vayan a utilizarse para delinquir. Representa una estimación de la superficie potencial: nombres plausibles creados por los modelos que estaban disponibles para su registro cuando se realizó el análisis.
Además, solo una parte de las direcciones inexistentes eran dominios completamente inventados. Muchas correspondían a rutas o subdominios falsos dentro de páginas legítimas, como una supuesta sección de soporte que en realidad no existía.
El estudio localizó también 13.229 URL que ya figuraban como maliciosas en sistemas de inteligencia de amenazas. Estas direcciones habían sido incluidas en las respuestas de los modelos, pero no todas eran necesariamente dominios creados mediante phantom squatting. El dato demuestra otro problema relacionado: una IA también puede recomendar infraestructura maliciosa que ya existe.
4. Casos que muestran que el riesgo no es solo hipotético
La parte más significativa de la investigación aparece en el seguimiento de varios dominios.
En uno de los casos, el sistema de Unit 42 generó una dirección ficticia similar a la de un mercado electrónico perteneciente a un servicio postal. Veintitrés días después, un tercero registró ese dominio y desplegó allí una plataforma de phishing diseñada para obtener datos personales, credenciales y medios de pago.
Los investigadores encontraron indicios de que el propio kit de phishing había sido desarrollado con ayuda de un asistente de programación basado en IA. Por lo que esta técnica podría automatizarse mediante agentes de IA.
En otro caso, el equipo detectó un dominio inexistente relacionado con la aplicación de un servicio postal. Cincuenta y un días después fue registrado y convertido en una copia visual de la marca. La página ofrecía una aplicación Android maliciosa fuera de las tiendas oficiales y utilizaba valoraciones falsas para convencer al visitante de que se trataba de un servicio legítimo.
Estos episodios respaldan la viabilidad del phantom squatting: los modelos y los delincuentes pueden converger de manera independiente en los mismos nombres de dominio.
Sin embargo, hay que evitar una conclusión excesiva. La investigación no acredita en todos los casos que una persona concreta recibiera la dirección de una IA y, a continuación, fuera estafada desde ella. Lo que sí acredita es que los dominios predichos como alucinaciones terminaron registrados y utilizados con fines maliciosos.
La diferencia es importante. El ataque completo resulta técnicamente posible, pero la trazabilidad entre cada conversación, cada clic y cada víctima todavía es difícil de demostrar.
5. Por qué no es simplemente otro caso de cybersquatting
El registro abusivo de dominios existe desde hace décadas. El cybersquatting consiste normalmente en registrar nombres vinculados con marcas, empresas o personas para aprovecharse de su notoriedad. El typosquatting, por su parte, utiliza errores previsibles al escribir una dirección: una letra cambiada, un guion adicional o una terminación diferente. Pero el phantom squatting añade un actor nuevo a esa secuencia: la inteligencia artificial.
En el typosquatting, el delincuente trata de anticipar cómo puede equivocarse una persona al escribir. En el phantom squatting, intenta anticipar qué nombre inventará el modelo cuando no conozca la respuesta. Pero en este caso no se trata de un error humano, sino un error generado por una máquina.
6. El verdadero punto débil es la confianza
Y aquí viene la dosis de confianza: una página recomendada por un asistente de IA puede despertar menos sospechas que un enlace recibido por correo electrónico.
El usuario ha formulado una pregunta voluntariamente y obtiene una respuesta aparentemente personalizada, bien explicada y escrita con seguridad. Esa experiencia genera una sensación de validación: si la IA ha proporcionado la dirección, parece lógico pensar que la ha comprobado … pero no siempre es así.
Una respuesta puede ser coherente y estar bien redactada sin que cada dato haya sido contrastado. En los modelos generativos, la seguridad del tono no refleja necesariamente el grado de certeza de la información.
Este problema resulta especialmente delicado cuando la consulta afecta a bancos, administraciones públicas, servicios sanitarios, plataformas de pago o aplicaciones que solicitan información personal.
7. Los agentes de IA elevan el riesgo
Para engañar a una persona, una página falsa todavía necesita que el visitante realice alguna acción: introducir su contraseña, descargar un archivo o facilitar sus datos. Pero un agente autónomo podría hacerlo sin una supervisión equivalente.
Los agentes de IA empiezan a emplearse para navegar, consultar documentación, llamar a interfaces de programación, descargar recursos y ejecutar tareas dentro de sistemas empresariales. Si el propio modelo genera una dirección incorrecta y el agente accede a ella automáticamente, el margen para que una persona detecte el problema se reduce.
Por ejemplo, imaginemos que un agente necesita localizar la documentación de una herramienta. Genera una URL plausible, accede a un dominio controlado por un atacante y procesa las instrucciones que encuentra allí.
Dependiendo de sus permisos, podría descargar una dependencia manipulada, enviar información a un servidor externo o incorporar una configuración maliciosa a un proyecto.
Unit 42 considera que este escenario puede afectar especialmente a las cadenas de suministro de software y a los flujos empresariales automatizados. No porque todos los agentes estén actualmente expuestos de la misma forma, sino porque muchos de ellos convierten directamente una respuesta textual en una acción sobre sistemas reales.
8. Slopsquatting: el mismo problema trasladado al software
El phantom squatting tiene un pariente cercano en el ámbito de la programación: el slopsquatting. En este caso, la IA no inventa una página web, sino el nombre de una librería o paquete de software. El desarrollador pide ayuda para resolver una tarea y el modelo recomienda instalar una dependencia que no existe en repositorios como PyPI o npm.
Un atacante puede registrar ese nombre y publicar un paquete malicioso. Cuando otro usuario recibe la misma recomendación y ejecuta la orden de instalación, descarga el código del delincuente.
Una investigación académica que examinó 16 modelos y 576.000 fragmentos de código encontró alucinaciones de paquetes en una proporción media mínima del 5,2 % en los modelos comerciales estudiados y del 21,7 % en los modelos de código abierto evaluados. Esas cifras pertenecen a un experimento concreto y no deben interpretarse como una tasa universal para cualquier modelo o consulta.
Un estudio posterior con cinco modelos más recientes obtuvo porcentajes bastante inferiores, situados entre el 4,62 % y el 6,10 %. También detectó 127 nombres inexistentes que los cinco sistemas inventaban de manera coincidente, una repetición que podría facilitar la selección de nombres por parte de un atacante. El trabajo está publicado como preimpresión y sus resultados deben entenderse dentro de su metodología y conjunto de pruebas.
9. Qué puede hacer el usuario
La precaución básica consiste en no confundir una recomendación generada por una IA con una verificación oficial.
Antes de introducir una contraseña, realizar un pago o descargar una aplicación, conviene acceder al servicio por una vía independiente: la aplicación instalada previamente, un marcador conocido o la dirección publicada en documentación oficial.
También es útil mirar el dominio completo, no solo la apariencia de la página. Los logotipos, colores y textos de una empresa pueden copiarse en cuestión de minutos.
Los gestores de contraseñas aportan una protección adicional. Si las credenciales están guardadas para el dominio auténtico, normalmente no se completarán automáticamente en una dirección diferente.
En el caso de las aplicaciones móviles, las descargas deberían hacerse desde las tiendas oficiales o desde una web cuya autenticidad haya sido comprobada por separado.
Y cuando se utilice una IA para programar, no basta con copiar la orden de instalación. Conviene comprobar que el paquete existe, quién lo mantiene, desde cuándo está publicado y cuál es su repositorio oficial.
10. Las empresas necesitan barreras técnicas
Las organizaciones que incorporen agentes de IA deberían limitar los dominios a los que pueden conectarse, verificar las URL antes de utilizarlas y bloquear o aislar los recursos procedentes de direcciones recién registradas o sin reputación.
Porque confiar exclusivamente en que cada empleado detecte una dirección falsa no es una estrategia suficiente.
Los agentes también deberían trabajar con los permisos mínimos necesarios: descargar un documento no tendría que conceder automáticamente capacidad para ejecutar código, acceder a credenciales o modificar un sistema de producción.
En los procesos más sensibles, la aprobación humana sigue siendo una barrera razonable. Especialmente antes de instalar dependencias, enviar información confidencial o interactuar con un servicio que no haya sido validado previamente.
Las propias marcas pueden vigilar los dominios ficticios que los modelos asocian repetidamente con ellas. El trabajo de Unit 42 plantea incluso una defensa preventiva: identificar esas alucinaciones antes que los atacantes y monitorizar si alguien registra los nombres.
11. Del error informativo al riesgo de ciberseguridad
En ll phantom squatting el delincuente sigue siendo quien registra el dominio, construye la página fraudulenta y trata de obtener un beneficio.
La novedad está en el origen de la oportunidad. Una dirección falsa ya no tiene que proceder únicamente de un correo de phishing, de un anuncio engañoso o de una errata. Puede aparecer en una respuesta generada por un sistema en el que el usuario confía.
El proceso puede resumirse en tres pasos: la IA inventa un nombre plausible, alguien lo registra y otra persona —o una máquina— lo considera legítimo.
No todas las URL creadas por una IA son falsas, ni cada dominio inexistente acabará convertido en una amenaza. Pero el estudio revela una transformación relevante: las alucinaciones ya no son solo errores que hay que corregir. Algunas pueden convertirse en activos digitales que un atacante compra, prepara y utiliza.
A medida que la inteligencia artificial deje de limitarse a responder preguntas y empiece a realizar acciones por nosotros, verificar aquello que genera dejará de ser una buena práctica para convertirse en una medida básica de seguridad.