Los ciberataques con inteligencia artificial sacuden Wall Street. Varios de los mayores hedge funds del mundo, que gestionan activos por miles de millones de dólares, han sido el blanco en los últimos días de una sofisticada campaña de phishing de voz asistida por IA. Point72, Two Sigma y Citadel figuran entre las firmas afectadas, según ha confirmado la agencia Bloomberg citando fuentes cercanas a las investigaciones.
Claves de la operación
- La IA abarata y escala el ‘vishing’. Los atacantes utilizan herramientas de inteligencia artificial para emular voces y automatizar llamadas fraudulentas, lo que permite multiplicar hasta por veinte el número de objetivos.
- Point72, Two Sigma y Citadel, en el punto de mira. Las tres gestoras han confirmado los intentos de intrusión. Two Sigma, con 75.000 millones bajo gestión, asegura que no hubo acceso a datos de clientes.
- La regulación europea DORA obliga a reforzar la ciberseguridad. Mientras Wall Street sufre esta sacudida, la banca española trabaja contra el reloj para blindarse con sistemas avanzados de detección antes de que un ataque similar golpee al IBEX 35.
El modus operandi de los atacantes ha sido el phishing de voz, conocido como vishing, combinado con técnicas de clonación vocal generadas por inteligencia artificial. Según los expertos consultados por Bloomberg, los hackers realizaron llamadas fingiendo ser directivos o colaboradores de confianza para conseguir que los empleados revelaran credenciales y otras informaciones sensibles. Las firmas reaccionaron activando de inmediato sus protocolos de ciberseguridad.
Two Sigma, uno de los mayores fondos cuantitativos del mundo, ha declarado a la agencia que su equipo de seguridad respondió con rapidez a una campaña dirigida a dos de sus gestores de fondos. “No tenemos indicios de que haya impactado en nuestros datos”, señaló un portavoz de la firma. Point72, la gestora fundada por Steven Cohen, también comunicó a sus inversores que los hackers no lograron hacerse con la información de los clientes.
Vinod Paul, presidente de Align Managed Services, firma especializada en ciberseguridad para el sector del capital riesgo, explica que la IA ha provocado un incremento exponencial de la amenaza. “Antes podrían tener como objetivo 50 firmas en un ataque, y ahora pueden tener 1.000”, advierte. Y añade que los ciberdelincuentes pueden escuchar conversaciones reales y copiar voces, tonos y frases para crear llamadas falsas muy convincentes.
Will Wilson, CEO de Antithesis, coincide en el diagnóstico: “Lo terrorífico de los sistemas modernos de IA es que han hecho posible ejecutar ataques a gran escala con un coste mínimo. Todo el mundo debe mejorar seriamente sus sistemas”, apunta.
La inteligencia artificial ha convertido el ‘phishing’ de voz en un arma de producción industrial que puede escalar de 50 a 1.000 objetivos con el mismo esfuerzo.
Point72, Two Sigma y Citadel: los perfiles atacados
Las firmas afectadas representan algunos de los nombres más influyentes de Wall Street. Point72 gestiona alrededor de 35.000 millones de dólares y es una de las gestoras con mayor exposición a estrategias de renta variable. Dos Sigma, con 75.000 millones, es un referente del quantitative investing. Citadel, fundada por Ken Griffin, es uno de los mayores actores del mercado, con posiciones que superan los 60.000 millones.
La rapidez con la que estas firmas detectaron los ataques demuestra que la industria financiera ha mejorado sus defensas frente al phishing, pero el uso de IA por parte de los atacantes obliga a una revisión profunda de los protocolos. Los sistemas tradicionales de verificación de identidad basados en llamadas telefónicas resultan cada vez más vulnerables.
Según fuentes del sector, las campañas de vishing con IA se han disparado un 400% en los últimos doce meses, y los fondos de inversión se han convertido en un blanco preferente por el enorme volumen de activos que custodian y la confidencialidad de sus estrategias.
La banca española ante el espejo de la nueva regulación europea
El episodio de Wall Street activa todas las alarmas en Europa. El reglamento DORA (Digital Operational Resilience Act), plenamente aplicable desde enero de 2025, obliga a las entidades financieras españolas a disponer de sistemas de ciberseguridad capaces de resistir ataques cada vez más sofisticados. La nueva normativa exige pruebas de resiliencia periódicas y notificación inmediata de incidentes graves, y la CNMV vigila de cerca su cumplimiento.
En el IBEX 35, entidades como Santander, BBVA o CaixaBank llevan meses reforzando sus equipos internos de ciberseguridad y externalizando parte de la vigilancia a centros especializados. “La amenaza no es solo tecnológica; es de negocio. Un ataque exitoso puede congelar la operativa y dañar la reputación durante años”, señala un alto directivo del sector consultado por esta redacción.
La experiencia estadounidense muestra que los fondos de inversión y los bancos comparten el mismo perfil de riesgo: organizaciones con mucho efectivo líquido, datos ultrasensibles y plantillas que pueden ser engañadas con una llamada impecablemente simulada. El vishing con IA no distingue geografías; de hecho, los reguladores europeos ya lo incluyen entre las principales amenazas emergentes en su último informe de estabilidad financiera.
El sector financiero siempre ha sido un campo de batalla para la ciberdelincuencia, desde el robo de 81 millones al Banco de Bangladesh en 2016 hasta el ciberataque a SolarWinds que afectó a múltiples entidades en 2020. La diferencia ahora es la velocidad y el anonimato que proporciona la inteligencia artificial generativa. Las herramientas de clonación de voz están disponibles en la web oscura por menos de 500 euros al mes, según datos de la Agencia de Ciberseguridad de la Unión Europea (ENISA).
En definitiva, la sacudida que acaban de sufrir Point72, Two Sigma y Citadel es la constatación de que la IA ha democratizado el cibercrimen de alta precisión. Las defensas que ayer servían para frenar correos fraudulentos hoy pueden quedar inutilizadas por una simple llamada de teléfono con la voz perfecta del CEO. La pregunta que sobrevuela los consejos de administración es si la industria está dispuesta a invertir lo necesario antes de que el próximo ataque supere todas las barreras.
