Google detecta un zero-day hecho con IA

Google volvió a poner el foco en una amenaza que ya no se parece tanto al malware clásico que conocíamos hace unos años. Esta vez, la señal de alerta no fue solo un exploit más, sino un zero-day desarrollado con ayuda de IA que logró evadir 2FA, una de las barreras que muchas empresas siguen tratando como si fuera suficiente por sí sola.

El punto no es solo que exista un ataque así. El punto es que cambia la lógica del problema: si el malware puede adaptarse, tomar decisiones y ajustar su comportamiento sobre la marcha, tus defensas ya no pueden depender únicamente de reglas fijas, firmas o de un segundo factor que el usuario aprueba sin mirar demasiado. Ahí está la discusión de fondo.

Qué detectó Google y por qué importa

La noticia parte de la detección de un zero-day, es decir, una vulnerabilidad desconocida para el proveedor al momento de ser explotada. Eso ya es serio por definición. Pero el detalle que elevó el caso fue que Google lo vinculó con desarrollo asistido por IA y con técnicas para sortear 2FA, lo que sugiere un nivel de automatización y ajuste mucho más alto que el de campañas de phishing o malware tradicionales.

Cuando hablamos de 2FA, hablamos de un control que sigue siendo útil, pero que no fue diseñado para detener todo. Su objetivo es agregar una capa extra al login, no blindarte contra un atacante que ya controla parte del flujo, intercepta tokens, manipula sesiones o engaña al usuario en tiempo real. Si el ataque logra entrar por esa rendija, el segundo factor deja de ser un muro y pasa a ser un obstáculo más.

Lo que cambia frente a un malware clásico

Un malware tradicional suele seguir patrones bastante predecibles: descarga un payload, intenta persistir, se comunica con un servidor de comando y control, y busca credenciales o datos. Eso permite a los equipos de seguridad crear firmas, bloquear hashes, detectar dominios y responder con playbooks bastante conocidos.

En cambio, un malware más autónomo puede variar su comportamiento para evitar detección. Puede cambiar tiempos, rutas de comunicación, cadenas de texto, secuencias de ataque o incluso decidir cuándo insistir y cuándo retroceder. Si además fue desarrollado con IA, el atacante puede acelerar pruebas, generar variantes y afinar el código sin depender de ciclos manuales tan lentos.

Por qué 2FA no alcanza por sí sola

2FA sigue siendo mejor que una contraseña sola, pero no resuelve varios escenarios comunes:

• phishing en tiempo real con proxy inverso
• robo de sesión después del login
• fatiga de aprobación en apps de autenticación
• SIM swapping en métodos basados en SMS
• secuestro del navegador o del dispositivo

Si el atacante consigue que apruebes un acceso falso o roba la sesión ya autenticada, el segundo factor dejó de ser decisivo. Por eso, la discusión actual no es “quitar 2FA”, sino dejar de tratarla como la única línea de defensa.

Cómo puede evadir 2FA un ataque asistido por IA

No hace falta imaginar ciencia ficción para entender el riesgo. Ya existen técnicas conocidas que, combinadas con automatización, pueden ser mucho más efectivas. La IA no inventa mágicamente una nueva puerta, pero sí puede ayudar a encontrar la mejor forma de empujar la puerta correcta en cada víctima.

En un escenario realista, un atacante puede usar IA para personalizar el señuelo, adaptar el texto del phishing según el cargo de la persona, cambiar el horario del envío, probar distintas rutas de compromiso y ajustar el ataque según la reacción del objetivo. Eso no convierte al malware en omnipotente, pero sí lo hace más eficiente.

Técnicas que ya están en juego

Algunas de las técnicas más relevantes en este tipo de ataques son:

1. phishing con páginas clonadas y proxy en tiempo real
2. robo de cookies o tokens de sesión
3. secuestro de OAuth en flujos mal configurados
4. malware que captura credenciales y aprueba solicitudes falsas
5. ingeniería social para inducir al usuario a autorizar el acceso

En el caso de 2FA, el objetivo no siempre es romper el segundo factor. A veces basta con rodearlo. Por ejemplo, si el atacante roba la sesión después de la autenticación, ya no necesita volver a pasar por el segundo paso. O si convence al usuario de aprobar un inicio de sesión, el control quedó neutralizado desde el factor humano.

Qué hace diferente a la IA aquí

La ventaja de la IA para el atacante no es solo escribir código. También puede servir para:

• generar múltiples variantes del mismo payload
• adaptar el lenguaje del phishing al país o al sector
• identificar respuestas defensivas y cambiar el comportamiento
• automatizar pruebas de evasión contra sandbox o EDR
• producir señuelos más creíbles con menos tiempo humano

Eso significa que la defensa ya no puede depender de una única foto del problema. Si el ataque cambia rápido, tú necesitas controles que detecten comportamiento, no solo artefactos conocidos.

Qué debería revisar tu equipo de seguridad hoy

Si trabajas en TI o seguridad, este caso no debería quedarse como una nota de laboratorio. Hay decisiones concretas que puedes revisar ahora mismo en tu organización, sin esperar a que el incidente te toque de cerca.

La prioridad es reducir la dependencia de factores que el atacante puede manipular con ingeniería social o con robo de sesión. También conviene asumir que la detección basada solo en firmas se queda corta cuando el malware puede mutar. La respuesta tiene que mezclar identidad, dispositivo, red y telemetría.

Controles que sí ayudan

Si tu organización todavía usa SMS como segundo factor principal, este es un buen momento para migrar. No porque SMS sea inútil en todos los casos, sino porque ya no debería ser tu opción principal para accesos sensibles. En paralelo, conviene revisar qué cuentas tienen privilegios altos y si realmente necesitan el mismo nivel de acceso permanente.

Prioridades prácticas para 30 días

1. Inventaria cuentas con acceso a correo, ERP, VPN, cloud y paneles de administración.
2. Activa MFA resistente al phishing en las cuentas más críticas.
3. Revisa políticas de sesión: tiempo de expiración, revocación y reautenticación.
4. Bloquea o limita accesos desde dispositivos sin postura mínima de seguridad.
5. Ajusta alertas para detectar inicios de sesión anómalos, no solo fallos de contraseña.
6. Simula un ataque de phishing con proxy y mide cuántos usuarios aprueban la solicitud.

Ese último punto suele ser incómodo, pero muy útil. Muchas empresas descubren que el problema no es solo técnico, sino de hábito. Si el usuario aprueba todo lo que le llega, el segundo factor pierde valor muy rápido.

Qué cambia para Latinoamérica y Ecuador

En Latinoamérica, la conversación sobre IA y malware no puede copiar tal cual lo que pasa en Estados Unidos o Europa. Aquí conviven empresas con buen nivel de madurez, pymes con poco presupuesto y entornos donde todavía hay dependencia fuerte de correo, WhatsApp, VPN heredadas y proveedores externos. Eso amplía la superficie de ataque.

En Ecuador, como en otros mercados de la región, muchas organizaciones ya usan MFA, pero no siempre con una estrategia uniforme. Hay casos donde el correo corporativo tiene una protección decente, pero el acceso a herramientas de soporte, paneles de facturación o sistemas internos queda más expuesto. Un atacante no necesita entrar por la puerta principal si encuentra una lateral mal cerrada.

Riesgos que se repiten en la región

Los patrones que más se repiten son bastante concretos:

• usuarios con varias cuentas y contraseñas reutilizadas
• MFA habilitada solo en algunos servicios
• equipos sin gestión centralizada de parches
• proveedores con acceso remoto poco auditado
• capacitación de phishing una vez al año, sin seguimiento real

En ese contexto, un malware más adaptativo puede tener más éxito que en un entorno muy maduro, no porque sea más “inteligente” por sí mismo, sino porque encuentra más fricción operativa del lado defensivo. Si tú no tienes visibilidad de sesiones, dispositivos y privilegios, el atacante tiene más margen para moverse sin hacer ruido.

El costo real no es solo técnico

Cuando un zero-day así entra en una empresa, el costo no se limita a limpiar endpoints. También aparecen horas perdidas en soporte, cambios forzados de credenciales, revisión de accesos, comunicación interna y, en algunos casos, notificación a clientes o socios. Si el ataque toca cuentas de correo o de identidad, el efecto dominó puede durar días.

Y hay otro punto: la confianza. Si tu equipo aprueba accesos sospechosos porque está cansado o saturado, el problema deja de ser puramente tecnológico. Por eso conviene pensar en controles que reduzcan la carga cognitiva del usuario, no que la aumenten.

Cómo responder sin sobrerreaccionar

No todo hallazgo de Google implica que mañana tendrás una campaña masiva contra tu empresa. Pero sí implica que la defensa basada en supuestos viejos necesita ajuste. Sobrerreaccionar sería apagar todo. Ignorarlo, en cambio, te deja con la misma superficie de ataque de siempre.

La respuesta correcta es más quirúrgica: fortalecer identidad, endurecer sesiones, observar comportamiento y asumir que el atacante puede iterar más rápido que antes. Eso también vale para tu proceso de compra de herramientas. No te sirve una plataforma que solo promete detección si no puede correlacionar identidad, endpoint y red.

Qué pedirle a tu stack de seguridad

Cuando evalúes herramientas o ajustes internos, busca estas capacidades:

• detección por comportamiento, no solo por hash
• alertas por sesión anómala y riesgo de identidad
• integración con IdP y logs de autenticación
• capacidad de revocar sesiones de forma rápida
• visibilidad de endpoints administrados y no administrados

Si usas proveedores cloud, revisa también la documentación oficial de sus controles de identidad. Por ejemplo, Microsoft documenta sus opciones de MFA y acceso condicional en su centro de identidad: https://learn.microsoft.com/en-us/entra/identity/authentication/

Y si tu equipo trabaja con passkeys o autenticación FIDO2, vale la pena revisar la guía oficial de la FIDO Alliance: https://fidoalliance.org/passkeys/

Para entender el enfoque de Google en seguridad de cuenta y métodos resistentes al phishing, puedes revisar su documentación de seguridad de cuentas: https://support.google.com/accounts/topic/7188671

Tabla resumen

El mensaje de fondo es bastante claro: si el atacante usa IA para acelerar pruebas, personalizar ataques y variar su comportamiento, tú necesitas una defensa que también vea contexto, no solo eventos aislados. 2FA sigue siendo parte de la respuesta, pero ya no puede ser la respuesta completa.