El Informe sobre Delitos en Internet IC3 2025 del FBI registró unas pérdidas de 20 900 millones de dólares —lo que supone un aumento del 26 % con respecto al año anterior—, de los cuales casi 85 céntimos de cada dólar perdido se debieron a fraudes cometidos a través de Internet, en los que la víctima recibió un mensaje convincente y actuó en consecuencia, y no a malware ni a vulnerabilidades de día cero.
El business email compromise se ha convertido en un problema que supone 3.000 millones de dólares y que elude todos los filtros técnicos: sin enlaces maliciosos, sin cargas maliciosas, sin dominios que bloquear; solo correos electrónicos aparentemente inofensivos que se aprovechan de la confianza y la urgencia en el momento en que se toma una decisión humana.
El año pasado, el FBI consideró oficialmente por primera vez la inteligencia artificial como un vector de amenaza específico. Casi 900 millones de dólares en pérdidas confirmadas relacionadas con la gripe aviar. E incluso el FBI le dirá que esa cifra subestima la realidad, no porque los ataques no se produzcan, sino porque las víctimas no reconocen la implicación de la IA. La inteligencia artificial ya está integrada en muchos más sistemas de los que nadie puede cuantificar en la actualidad.
El Informe sobre delitos en Internet de 2025 del Centro de Denuncias de Delitos en Internet (IC3) del FBI muestra una tendencia constante en todas las principales categorías de pérdidas: se pierden dinero y datos porque una persona tomó una decisión que no debería haber tomado. La inteligencia artificial está haciendo que resulte más difícil acertar en esas decisiones.
20 877 millones de dólares
Las pérdidas registradas por delitos cibernéticos en 2025 han aumentado un 26 % con respecto al año anterior y son casi tres veces superiores a la cifra de 2021.
Casi 85 céntimos de cada dólar perdido se debieron a fraudes cometidos a través de Internet. No es malware. No son vulnerabilidades de «día cero». Se trata de ataques que han tenido éxito, en los que alguien ha recibido información convincente y ha actuado en consecuencia.
Etiquetas relacionadas
Threat Intelligence
Comparte esto
3.000 millones de dólares que superaron todos los filtros técnicos y humanos
Los ataques de business email compromise (BEC) a menudo no contienen cargas maliciosas: ni enlaces que analizar, ni dominios maliciosos que bloquear. Se aprovechan de la confianza y de la urgencia para convencer a una persona de que autorice una transferencia. La pérdida se produce en el momento en que se toma esa decisión.
Desde que el FBI comenzó a hacer un seguimiento de los casos de BEC en 2015, el IC3 ha registrado más de 20 000 millones de dólares en pérdidas denunciadas. Solo en 2025, el BEC supuso 3.047 millones de dólares en 24.768 incidentes, lo que representa una media de 123.000 dólares por caso. El 86 % de esos pagos fraudulentos se realizaron mediante transferencia bancaria o ACH, superando todos los controles previos sin activar ni una sola alerta.
La detección basada en firmas parte de la base de que existe algo con lo que realizar la comparación. BEC no le ofrece nada. El correo electrónico no contiene ningún problema. El remitente parece fiable. La instrucción se parece a las docenas que la han precedido.
Para detectar estos ataques, es necesario comprender cómo es la comunicación habitual de una persona concreta, en una organización concreta, y señalar cualquier desviación respecto a la norma. Se trata de un problema de comportamiento, no de una cuestión de coincidencia de patrones.
La IA aparece por primera vez en el informe IC3
Son ya 25 años de informes del IC3 y el informe de este año es el primero que incluye una sección dedicada a la inteligencia artificial. 22 364 reclamaciones. 893 millones de dólares en pérdidas confirmadas. Ambos se han señalado explícitamente como casos de subestimación.
El fraude total en materia de inversiones ascendió a 8.6 mil millones de dólares. Solo se identificaron 632 millones de dólares como relacionados con la inteligencia artificial. La IA no es una categoría independiente. Se trata de un factor que ya está muy extendido en los delitos de BEC, phishing, fraude en inversiones y estafas sentimentales. Clonación de la voz. Correos electrónicos de suplantación de identidad generados a través del chat. Llamadas para la verificación de deepfakes. Los 893 millones de dólares corresponden a lo que las víctimas declararon haber sufrido. La cifra real aparece repartida a lo largo de todo el informe.
Requisitos de datos del IC3 para el año 2026
La tendencia es clara. Repitámoslo. Se pierden dinero y datos porque alguien recibió información convincente y actuó en consecuencia. La inteligencia artificial hace que esos ataques sean más difíciles de detectar y permite a los delincuentes actuar a la velocidad de una máquina. El volumen no está disminuyendo. La brecha entre lo que detectan los controles tradicionales y lo que envían los atacantes nunca ha sido tan amplia.
Para subsanar esa deficiencia, es necesario contar con un sistema de detección de comportamientos que tenga en cuenta las normas de comunicación, y no solo los patrones que ya se sabe que son perjudiciales. Controles por niveles que comparten información a lo largo de todo el proceso de gestión del correo electrónico. Autenticación de dominio que abarca lo que ocurre fuera de su perímetro. Visibilidad sobre el robo de credenciales y el movimiento de datos antes de que el ransomware se convierta en tal. Medidas de control de riesgos humanos que intervienen en el momento de la toma de decisiones, y no después de ella. Y cobertura en todas las herramientas de colaboración, no solo en el correo electrónico.
Esa es la arquitectura en la que se basa Mimecast. IA conductual para ataques «limpios». DMARC Analyzer y Brand Exploit Protect para el perímetro externo. Protección contra la suplantación de cuentas e Incydr para los riesgos relacionados con las credenciales y la transferencia de datos. Y el Human Risk Command Center, para identificar quién se encuentra en situación de riesgo en este momento e intervenir antes de que tome una decisión errónea.
El FBI puede hacer un recuento de lo que se ha perdido. Es imposible contabilizar cuántos incidentes se han producido dentro de un programa de seguridad que vigilaba lo que no debía. La cuestión de cara a 2026 es si podrá detectar los riesgos relacionados con los seres humanos y la inteligencia artificial antes de que le supongan un coste.
Descubra qué es lo que les falta a sus controles actuales. Pruebe la «Demostración de valor» gratuita de Mimecast. Permítanos conectar su entorno y mostrarle qué es lo que está llegando.
