El término «VibeScamming» hace referencia a un nuevo tipo de operación fraudulenta en la que los atacantes utilizan herramientas de inteligencia artificial basadas en el lenguaje natural para generar, perfeccionar y poner en marcha una infraestructura fraudulenta con unos conocimientos técnicos mínimos. En lugar de crear kits de phishing manualmente, pueden describir lo que desean en un lenguaje sencillo y dejar que las herramientas asistidas por IA generen páginas de inicio de sesión convincentes, flujos de trabajo, contenidos de distribución e incluso recursos listos para su alojamiento.
Para los defensores, eso cambia la situación. El problema ya no se limita únicamente al código malicioso o a las páginas web que son claramente falsas.
Se trata del uso indebido de la automatización de confianza, de los flujos de trabajo legítimos de los desarrolladores y de un engaño basado en la identidad que se desarrolla con una rapidez tal que puede superar la capacidad de respuesta manual.
Índice
¿Por qué es importante el «VibeScamming» en estos momentos?
Lovable: un ejemplo reciente de cómo está evolucionando el «VibeScamming»
- En qué se diferencia el «VibeScamming» del phishing tradicional
- Aspecto que puede tener una cadena de ataques de VibeScamming
- Por qué los defensores deberían pensar en términos de exposición, y no solo en páginas
- La visión de Tanium sobre el riesgo de «VibeScamming»
- Qué deben hacer los equipos de seguridad ante el «VibeScamming»
- Preguntas prácticas sobre la caza tras un presunto incidente de «VibeScamming»
- Ideas erróneas habituales sobre el «VibeScamming»
- Las repercusiones a largo plazo en materia de seguridad
- Preguntas frecuentes sobre VibeScamming
¿Qué es el «VibeScamming»?
A grandes rasgos, el «VibeScamming» es la contrapartida maliciosa del «vibe coding». En la programación por intuición, el usuario describe una aplicación y un sistema de inteligencia artificial le ayuda a crearla. En el «VibeScamming», ese mismo patrón se canaliza hacia el phishing, el robo de credenciales, la suplantación de identidad y las estafas.
El cambio más importante es la accesibilidad. La infraestructura tradicional de phishing solía requerir, como mínimo, ciertos conocimientos prácticos de HTML, JavaScript, alojamiento web, redireccionamientos, captura de credenciales y técnicas de evasión. VibeScamming reduce esa barrera. Un actor malintencionado puede ir probando diferentes plantillas, solicitar ajustes de diseño, perfeccionar el flujo de usuario y crear páginas preparadas para el fraude que tengan un aspecto lo suficientemente pulido como para engañar a los usuarios reales.
En la práctica, el «VibeScamming» puede incluir:
- Portales de inicio de sesión falsos que imitan aplicaciones empresariales habituales
- Páginas de robo de credenciales con lógica de redireccionamiento
- Textos para SMS, correo electrónico o redes sociales generados para públicos específicos
- Páginas de destino fraudulentas alojadas en plataformas de apariencia legítima
- Interfaces de tipo administrativo para revisar los datos de las víctimas enviados
- Cadenas de indicaciones iterativas que mejoran el realismo y reducen los errores evidentes
En este artículo, el término «VibeScamming» se utiliza para referirse a las operaciones de phishing y estafa asistidas por IA en las que los atacantes crean y adaptan rápidamente contenidos, páginas y flujos de trabajo mediante indicaciones.
¿Por qué es importante el «VibeScamming» en estos momentos?
La inteligencia artificial se lleva utilizando en la ciberdelincuencia desde hace años, y el informe « 2025 Cost of a Data Breach» de IBM reveló que, según los datos, en un 16 % de las filtraciones de datos, de media (aproximadamente 1 de cada 6), los atacantes utilizaron inteligencia artificial.
Más recientemente, ciertas herramientas han facilitado el paso del concepto a la ejecución. Cuando una plataforma basada en inteligencia artificial es capaz de convertir una indicación en una experiencia web funcional, el ciclo de vida del ataque se acorta.
Esto es importante por tres razones:
- Menor nivel de conocimientos
requeridoLos atacantes ya no necesitan ser desarrolladores con amplios conocimientos para crear páginas fraudulentas convincentes. Necesitan voluntad, una comprensión básica de lo que deben imitar y la perseverancia suficiente para poner a prueba los límites.
- Iteración más rápidaLas campañas de
phishing siempre han ido evolucionando, pero VibeScamming acorta drásticamente los ciclos de iteración. Los atacantes pueden copiar, modificar la imagen de marca, cambiar los flujos y reconstruir páginas rápidamente tras su retirada o detección. - Un mayor abuso de confianza
Muchas de estas estafas pueden crearse o alojarse a través de servicios que parecen legítimos. Esto puede debilitar las señales tradicionales de confianza. Un dominio con un aspecto impecable, una experiencia de usuario profesional y el uso de herramientas habituales no indican necesariamente una intención benigna.
Lovable: un ejemplo reciente de cómo está evolucionando el «VibeScamming»
Esas dinámicas no son meras teorías. Ya se han observado en su hábitat natural.
En un caso ampliamente citado, los investigadores demostraron cómo Lovable, una plataforma de creación de aplicaciones basada en inteligencia artificial y diseñada para generar e implementar aplicaciones web «full-stack» a partir de indicaciones de texto, podía ser manipulada —mediante el refinamiento repetido de las indicaciones y técnicas similares a las del «jailbreak»— para que creara una infraestructura de phishing activa.
Mediante flujos de trabajo legítimos e integrados, la plataforma generó páginas de suplantación de identidad con precisión al píxel, las alojó automáticamente en subdominios gestionados por Lovable e incluyó lógica de back-end para capturar y revisar las credenciales robadas.
La lección más importante que se extrae del ejemplo de Lovable no fue la revelación de una única plataforma. Fue lo que puso de manifiesto el incidente sobre la forma en que están evolucionando las campañas modernas de phishing, en las que la concepción, la creación y la puesta en marcha están estrechamente vinculadas.
En ese caso, el patrón tenía este aspecto:
- Un usuario solicitó una funcionalidad similar a la de una aplicación mediante indicaciones en lenguaje natural.
- Las mejoras iterativas aumentaron la precisión de la imitación y el realismo visual.
- La plataforma implementó páginas alojadas y activas mediante flujos de trabajo de desarrollo estándar.
- Esas páginas recopilaban credenciales al tiempo que se camuflaban entre páginas web de aspecto normal.
- El proceso podría repetirse con rapidez, sin las dificultades que entrañan el desarrollo manual o una infraestructura a medida.
Por eso, el «VibeScamming» debe entenderse como algo más que «la IA ha creado una página de phishing». Esto refleja una tendencia más amplia que pasa de la explotación técnica al abuso de la automatización en la que se deposita confianza, en la que la rapidez, el acabado y la legitimidad cobran mayor importancia que los kits creados a mano o el malware a medida.
En qué se diferencia el «VibeScamming» del phishing tradicional
El funcionamiento del phishing es bien conocido. Lo que está cambiando es el modelo operativo.
| Phishing tradicional | Estafas relacionadas con Vibe |
|---|---|
| A menudo se crean a partir de plantillas reutilizadas o de páginas clonadas manualmente | A menudo se generan y se perfeccionan mediante indicaciones |
| Requiere una configuración técnica más directa | Reduce las barreras relacionadas con la infraestructura y la programación |
| Es posible que los cambios requieran una edición manual | Las campañas pueden desarrollarse de forma interactiva |
| La calidad varía en función de la destreza del atacante | Resulta más fácil obtener resultados de aspecto profesional |
| La detección suele basarse en patrones conocidos | Las señales pueden ser más débiles debido a que las herramientas y los flujos de trabajo parecen legítimos |
Para los defensores, esto significa que los antiguos controles siguen siendo importantes, pero ya no resultan suficientes por sí solos. El análisis de URL, el filtrado de correos electrónicos y la retirada de contenidos siguen siendo útiles. Sin embargo, cuando los atacantes son capaces de recuperarse rápidamente y hacer un uso indebido de los patrones legítimos de desarrollo y alojamiento, la respuesta debe centrarse con mayor celeridad en la exposición, el impacto en la identidad y las pruebas a nivel de los terminales.
Aspecto que puede tener una cadena de ataques de VibeScamming
Un proceso típico de «VibeScamming» puede constar de varias fases, incluso si el atacante carece de experiencia.
Selección del objetivo y del pretexto
El atacante elige una marca, una aplicación o un flujo de trabajo en los que la víctima ya confía. Entre los temas habituales se incluyen los proveedores de identidad, los sistemas de nóminas, las herramientas de colaboración, el seguimiento de envíos o las solicitudes de autenticación multifactorial (MFA).
Generación de páginas asistida por IA
El atacante utiliza un generador basado en inteligencia artificial para crear una página de inicio de sesión o de asistencia técnica que sea idéntica a la legítima. Pueden perfeccionar el lenguaje, los colores, el diseño y las redirecciones a lo largo de varias indicaciones.
Creación de contenidos para su distribución
A continuación, se utiliza la inteligencia artificial para generar mensajes de texto, correos electrónicos o mensajes en redes sociales adaptados al señuelo. Dado que la misma cadena de herramientas puede ayudar a perfeccionar el tono y el formato, la campaña suele presentar un aspecto más pulido que los antiguos ataques de phishing genéricos.
Recopilación de credenciales y tratamiento de datos
Si el ataque tiene éxito, la víctima facilita sus credenciales u otros datos confidenciales. El operador puede canalizar dicha información hacia mecanismos de almacenamiento sencillos o paneles de control para su uso posterior.
Adaptación rápida
Si se detecta o se retira una página de phishing, los atacantes suelen poder sustituirla rápidamente. Un análisis a gran escala publicado en la ACM Web Conference en 2025 reveló que muchos sitios de phishing se eliminan en cuestión de horas, con una vida media de 5.46 horas en más de 286,000 URL.
Dado que las páginas individuales tienen una vida útil breve, el éxito de las campañas depende menos de mantener una única página en línea y más de generar rápidamente nuevas versiones, lo que convierte la rapidez y la iteración en una ventaja operativa determinante de VibeScamming.
Por qué los defensores deberían pensar en términos de exposición, y no solo en páginas
Una de las dificultades a la hora de abordar el tema del «VibeScamming» es centrarse de forma demasiado limitada en la propia página fraudulenta. La verdadera cuestión para los responsables de la seguridad es más amplia: ¿qué identidades se vieron expuestas, qué dispositivos se vieron afectados y dónde podrían haberse reutilizado esas credenciales?
Esto es especialmente importante porque el phishing rara vez se limita a la primera contraseña robada. Una vez obtenidas las credenciales, los atacantes podrían intentar reutilizarlas para acceder a otras cuentas corporativas y de servicios SaaS.
Los atacantes podrían intentar:
- Acceder a aplicaciones SaaS
- Reutilizar contraseñas en las cuentas de la empresa
- Registrar nuevos métodos de autenticación multifactorial (MFA)
- Descargar datos
- Configurar la persistencia en los terminales
- Desplácese lateralmente utilizando credenciales válidas
Un modelo de respuesta que se centre únicamente en el bloqueo de dominios o en la eliminación de mensajes pasa por alto la cuestión más importante. En el momento en que se detecta una estafa, la organización debe evaluar rápidamente sus repercusiones y actuar con seguridad.
La visión de Tanium sobre el riesgo de «VibeScamming»
El «VibeScamming» representa una nueva categoría de abusos basados en la identidad y la confianza, en la que herramientas legítimas pasan a formar parte de la cadena de ataque, lo que reduce la fiabilidad de las señales tradicionales basadas en páginas y dominios y aumenta la incertidumbre para los defensores.
Esta tendencia se entiende mejor como un patrón de «VibeScamming» más que como un incidente específico de una plataforma.
Esa distinción tiene importancia desde el punto de vista operativo. Cuando los responsables de la seguridad plantean el problema principalmente como una «página maliciosa» o un «dominio malicioso», las medidas de respuesta tienden a centrarse en los controles perimetrales. Por el contrario, cuando se entiende el «VibeScamming» como un abuso basado en la identidad y la confianza, la respuesta se amplía de forma natural para incluir el impacto en los usuarios, el riesgo de autenticación, el contexto de los terminales y la rapidez con la que se determina el alcance del problema.
Lo que confiere a esta amenaza una importancia operativa no es solo la calidad de las páginas fraudulentas resultantes, sino también la rapidez y la magnitud con las que se pueden repetir, poner en marcha y ajustar las campañas cuando las herramientas diseñadas para la productividad se reutilizan con fines maliciosos.
El reto pasa de bloquear páginas fraudulentas concretas a comprender la exposición real a gran escala, incluyendo las identidades afectadas, los dispositivos implicados y la posible reutilización de credenciales. Ese mismo cambio está obligando a las organizaciones a replantearse la gobernanza y la supervisión de la IA, incluyendo la forma en que inventarían, supervisan y regulan las herramientas de IA en todos sus entornos, lo que supone un reto cada vez más importante en materia de cumplimiento normativo en el ámbito de la IA.
Dado que los atacantes utilizan la automatización basada en la inteligencia artificial para adelantarse a los métodos de detección manuales, la eficacia de la respuesta depende menos de la eliminación de páginas concretas y más de la rapidez con la que se pueda reducir la incertidumbre. Estos incidentes no son meros fenómenos aislados en la red, sino sucesos de exposición que evolucionan rápidamente y que deben analizarse en términos de impacto en la identidad, alcance y reutilización (y no solo en función de la presencia de páginas o dominios maliciosos).
Y ese cambio de perspectiva tiene consecuencias directas sobre la forma en que debe organizarse la respuesta.
¿Cómo cambia la respuesta ante incidentes cuando aumenta la incertidumbre?
Cuando las operaciones de phishing pueden reconstruirse y relanzarse rápidamente, uno de los aspectos más difíciles de la respuesta ya no es bloquear la infraestructura, sino comprender la exposición real con la rapidez suficiente para actuar con seguridad.
Esa realidad modifica el orden en el que deben responderse las preguntas de respuesta. En lugar de comenzar por páginas o dominios concretos, una respuesta eficaz sigue, cada vez más, esta secuencia:
- Identificar las identidades que podrían verse afectadas
- Determine qué puntos finales se vieron afectados
- Investigue los indicios de reutilización de credenciales
- Reducir la incertidumbre con la rapidez suficiente para poder tomar decisiones de respuesta con seguridad
Esta secuencia cobra mayor importancia a medida que las estafas impulsadas por la inteligencia artificial acortan los plazos de los atacantes. Cuando los atacantes pueden crear y volver a poner en marcha infraestructuras con rapidez, los defensores necesitan una forma de conocer la exposición real sin tener que esperar a que concluyan flujos de trabajo lentos, fragmentados o que se realizan página por página.
Qué deben hacer los equipos de seguridad ante el «VibeScamming»
El «vibe scamming» no invalida las prácticas existentes contra el phishing. Eleva el listón en cuanto a rapidez, contexto y coordinación.
Reforzar los controles de identidad
Dado que muchos de estos ataques se dirigen directamente a las credenciales, las medidas de protección de la identidad siguen siendo fundamentales:
- Implemente una autenticación resistente al phishing siempre que sea posible
- Revisar la matriculación en el Máster en Bellas Artes y restablecer los flujos de trabajo
- Supervise los desplazamientos imposibles, los accesos inusuales a dispositivos y los cambios en los privilegios
- Evaluar el riesgo de reutilización de contraseñas y las cuentas inactivas
Mejorar la respuesta en función del contexto del terminal
Aunque el señuelo inicial se base en la web, una investigación eficaz depende de la visibilidad correlacionada de la identidad, el correo electrónico y la web, el navegador, el SaaS y los terminales. Los equipos deberían poder determinar qué usuarios accedieron a la URL sospechosa.
En el caso de los dispositivos gestionados, la telemetría de los terminales o del navegador puede resultar de ayuda; en el caso de los dispositivos no gestionados, utilice los registros de identidad, de proxy, de CASB, de MDM u otros registros de acceso disponibles.
Otras preguntas son las siguientes:
- ¿Se establecieron nuevas sesiones posteriormente?
- ¿Ha realizado el usuario descargas o ejecutado scripts posteriores?
- ¿Había indicios de que el usuario hubiera facilitado sus credenciales, hubiera otorgado un consentimiento OAuth malintencionado o le hubieran sustraído cookies o tokens de sesión? Si sospecha que se ha producido un robo en el almacén local de credenciales, investigue por separado si el navegador ha sido comprometido o si hay actividad de programas de robo de información.
Reducir la dependencia de una única capa de detección
Los controles de correo electrónico, el filtrado web, las protecciones del navegador, la telemetría de identidad, la telemetría de terminales y la respuesta ante incidentes deben reforzarse mutuamente. La estafa puede iniciarse por un canal y consumarse por otro.
Forme a los usuarios para que detecten las estafas más sofisticadas, no las más evidentes
Las directrices de sensibilización deberían evolucionar. Los usuarios se enfrentan cada vez más a estafas que son gramaticalmente correctas, visualmente convincentes y que se ajustan a los procesos habituales. La formación debería hacer hincapié en los hábitos de verificación, y no solo en «detectar los errores tipográficos».
Preguntas prácticas sobre la caza tras un presunto incidente de «VibeScamming»
Cuando se detecta una campaña, los equipos deben pasar rápidamente del análisis de los artefactos a plantear cuestiones que abarquen todo el entorno.
| Ámbito de investigación | Preguntas que debe plantearse |
|---|---|
| Identidad | ¿Qué cuentas han introducido datos de acceso, han restablecido contraseñas o han registrado una actividad de inicio de sesión inusual? |
| Punto final | ¿Qué dispositivos accedieron a la URL, mostraron actividad posterior en el navegador o iniciaron procesos sospechosos? |
| Autenticación | ¿Se han producido nuevos registros de MFA, anomalías en los tokens o patrones de sesión inusuales? |
| Movimiento lateral | ¿Ha accedido la cuenta a sistemas, recursos compartidos o aplicaciones que no suele utilizar? |
| Contención | ¿Se han restablecido las credenciales afectadas, se han revocado las sesiones y se ha llevado a cabo una clasificación de los dispositivos de alto riesgo? |
Es aquí donde las operaciones consolidadas se diferencian de las que se limitan a seguir una lista de comprobación. Cuanto más rápido sea un equipo capaz de relacionar el contexto del usuario, el dispositivo y la identidad, más rápido podrá determinar si el incidente se limitó a una página fraudulenta o si derivó en una vulneración de seguridad de mayor alcance.
Ideas erróneas habituales sobre el «VibeScamming»
«No es más que phishing con otro nombre»
No del todo. Es posible que el objetivo subyacente siga siendo el phishing, pero el procedimiento del atacante es sustancialmente diferente. VibeScamming hace hincapié en la creación, la iteración y la escalabilidad operativa asistidas por IA.
«Unas barreras de seguridad más eficaces resolverán el problema»
Las medidas de protección son importantes, pero los responsables de la seguridad deben partir de la base de que los atacantes decididos seguirán tanteando los sistemas de IA y los flujos de trabajo relacionados. El problema no se limita únicamente al uso indebido de las indicaciones. Se trata del uso indebido de la automatización en la que se confía en múltiples puntos de la cadena.
Los equipos preocupados por el impacto general que los riesgos relacionados con el «vibe coding» pueden tener en la empresa deben ser conscientes de la rapidez con la que los flujos de trabajo legítimos de IA pueden reorientarse hacia otros fines.
«Si el proveedor de alojamiento parece fiable, es probable que la página sea segura»
Esa suposición resulta cada vez menos fiable. Las herramientas legítimas y los patrones de implementación de apariencia normal pueden formar parte de la vía de ataque. Se trata, en esencia, de un problema de ingeniería social tanto como de un problema técnico.
Las repercusiones a largo plazo en materia de seguridad
La lección más profunda que se desprende del caso «VibeScamming» es que los modelos de confianza de las empresas se encuentran bajo presión. Los equipos de seguridad llevan años enseñando a los usuarios a detectar errores gramaticales sospechosos, diseños extraños o infraestructuras claramente maliciosas. La inteligencia artificial reduce esas diferencias visuales y lingüísticas. Al mismo tiempo, las plataformas legítimas pueden, sin quererlo, dar credibilidad a flujos de trabajo maliciosos.
Esto significa que los defensores deben dar prioridad a aquello que los atacantes no pueden simular con tanta facilidad:
- Estado de los terminales en tiempo real
- Actividad de verificación de identidad
- Anomalías en las sesiones y la autenticación
- Evaluación del alcance de la exposición en todo el entorno
- Respuesta rápida y coordinada entre los equipos de seguridad y de operaciones de TI
El «vibe scamming» no es importante por el mero hecho de ser un término de moda. Es importante porque refleja cómo la inteligencia artificial modifica la economía de los atacantes. Cuando crear una estafa verosímil resulta cada vez más fácil, más barato y más rápido, los defensores necesitan métodos igualmente rápidos para evaluar el impacto y reducir la incertidumbre. Una base más sólida en materia de higiene cibernética también contribuye a reducir el alcance de los daños cuando se producen fugas de credenciales o sesiones.
Preguntas frecuentes sobre VibeScamming
El «VibeScamming» se sitúa en la intersección entre las capacidades de la inteligencia artificial y la ingeniería social, lo que lo convierte en una amenaza en constante evolución y, a menudo, mal entendida para las empresas modernas.
A medida que evolucionan las técnicas de los atacantes y las herramientas legítimas se utilizan con fines maliciosos, los equipos de seguridad se ven a menudo obligados a distinguir la información relevante del ruido.
A continuación se recogen algunas preguntas habituales que se plantean los equipos de seguridad de las empresas sobre el «VibeScamming» y cómo abordarlo.
¿Es «VibeScamming» lo mismo que el phishing?
El «VibeScamming» puede definirse como una evolución del phishing y el fraude en línea basada en la inteligencia artificial. Incluye el phishing, pero también la creación rápida de páginas, la distribución de contenidos y los flujos de trabajo de estafa, todo ello mediante comandos de línea.
¿Por qué resulta más difícil defenderse del «VibeScamming»?
Porque reduce los requisitos de habilidad de los atacantes, mejora la calidad de las campañas y permite una rápida iteración mediante herramientas y flujos de trabajo que parecen legítimos.
¿El «VibeScamming» siempre implica el uso de malware?
No. Muchas campañas de «VibeScamming» se centran en el robo de credenciales, el robo de sesiones, la suplantación de identidad o el fraude sin utilizar ningún tipo de malware.
¿Cuál es el mayor riesgo para las empresas?
Para muchas organizaciones, el robo de identidades sigue siendo una de las principales preocupaciones, ya que las credenciales sustraídas pueden facilitar la apropiación de cuentas y un acceso más amplio a los sistemas de la empresa.
¿A qué deben dar prioridad en primer lugar los responsables de la gestión de incidentes?
Tras las medidas iniciales de bloqueo, los responsables de la respuesta deben determinar rápidamente qué identidades y terminales se han visto expuestos, si se han reutilizado credenciales y si se han producido sesiones sospechosas o actividades posteriores.
A medida que las estafas asistidas por IA resultan cada vez más fáciles de crear y más difíciles de distinguir de los flujos de trabajo legítimos, la calidad de la respuesta depende cada vez más de la rapidez con la que los equipos puedan comprender el grado de exposición en todas las identidades y dispositivos finales. Concierte una demostración gratuita para descubrir cómo Tanium ayuda a los equipos a actuar con confianza.
