Phishing 2.0: el resumen de Gemini en Gmail podía colarte instrucciones invisibles y llevarte a un “login” falso

CURIOSIDADES / VIRAL · CIBERSEGURIDAD · GMAIL + IA

Este ataque se apoyaba en una idea sencilla y muy peligrosa: la IA “lee” cosas que tú no ves. Un atacante podía esconder instrucciones dentro del correo (con trucos de formato) y conseguir que el resumen de Gemini “obedeciera” ese texto invisible. Es un ejemplo perfecto de lo que se conoce como prompt injection indirecta… y está en la misma familia de riesgos que ya se está viendo en navegadores y asistentes con acceso a herramientas (si te interesa esa parte, aquí tienes una guía muy aterrizada: riesgos de prompt injection en navegadores con IA).

1) Qué pasó exactamente (y por qué se hizo viral)

En 2025, varios análisis de seguridad mostraron una demostración inquietante: un correo podía “contener” instrucciones que no eran visibles para ti, pero que influían en el comportamiento del resumen de Gemini. El resultado: un resumen que inventaba una alerta de seguridad creíble y te empujaba a actuar.

Lo importante no es el detalle técnico (que cambia con cada parche). Lo importante es el patrón: si una IA resume contenido no confiable, hay que asumir que ese contenido intentará manipularla. Igual que el spam intenta colarse en tu bandeja, el “spam para IA” intenta colarse en su “cabeza”.

2) Cómo funciona el ataque (en lenguaje humano)

Piensa en esto como un doble mensaje:

• Mensaje para ti: un correo normal (factura, aviso, invitación, lo que sea).
• Mensaje para la IA: instrucciones escondidas con trucos de formato (por ejemplo, texto imperceptible o elementos “disimulados”).
• El gatillo: tú pulsas “Resumir” y, sin querer, le pides a la IA que “lea” también esa parte oculta.

A partir de ahí, la IA puede terminar generando un resumen con una llamada a la acción: “entra aquí”, “verifica tu cuenta”, “llama a este número”. Y en ese punto el ataque ya no es el email… es el resumen del email. Un salto psicológico enorme.

3) Por qué es especialmente peligroso en empresa

En una empresa, el correo no es solo “mensajes”: es aprobaciones, facturas, credenciales, contratos, HR, proveedores. Y por eso el impacto se multiplica:

1) Escala: si la gente se acostumbra a leer el resumen y no el correo, el atacante solo necesita que “pique” una persona para abrir una brecha.

2) Autoridad prestada: un banner de “IA en Gmail” no se percibe como “contenido del remitente”. Se percibe como “una capa del sistema”. Esto encaja con un fenómeno más amplio: estafas que se disfrazan de señales “oficiales” (si quieres ejemplos recientes, mira cómo han evolucionado los timos con contenido sintético en anuncios y deepfakes para estafas online).

3) Superficie nueva: aunque tu filtro antiphishing sea bueno, aquí el atacante no solo busca que hagas clic en un enlace; busca manipular la interpretación del contenido. Es otra capa. Y si además hay “Shadow AI” (gente usando asistentes por su cuenta), el control se complica todavía más: por qué el Shadow AI dispara el riesgo de fugas.

4) 7 ajustes y controles para cortarlo de raíz

Control 1 — Desactiva o limita Gemini en Gmail donde más duele

Si tu organización maneja datos sensibles, el “corte limpio” es apagar Gemini en Gmail para ciertos equipos (finanzas, HR, legal, IT) o para toda la org. Si no quieres apagarlo del todo, aplica el principio de mínimo privilegio: solo para quien lo necesita y no por defecto.

Control 2 — Bloquea resúmenes/IA en correos externos (o, como mínimo, marca una barrera)

El riesgo grande está en contenido no confiable. Si puedes, configura políticas para que las funciones de IA se usen con más libertad en correo interno y con más fricción (o directamente apagadas) en correo externo. Si no hay un “switch” perfecto para esto en tu entorno, crea una alternativa: grupos con permisos distintos, OUs separadas y formación específica para equipos expuestos.

Control 3 — Sanitiza HTML “raro” antes de que llegue al usuario

Muchos ataques de este tipo se apoyan en trucos de presentación. Tu objetivo es reducir la posibilidad de “contenido oculto”: pasarelas de correo, reglas que normalicen estilos sospechosos, o incluso convertir ciertos correos a un formato más simple cuando vengan de fuera (sobre todo si usan plantillas agresivas, estilos inline excesivos o estructuras extrañas).

Control 4 — Refuerza banners y señales visuales de “EXTERNO”

Si el resumen se ve “oficial”, tú necesitas otra señal aún más obvia para el usuario: banners de remitente externo, avisos cuando el dominio no coincide con el proveedor real, y mensajes claros del tipo “No sigas instrucciones de seguridad dentro del correo: ve al portal oficial”.

Control 5 — Autenticación resistente al phishing

Esto es el airbag. Si alguien llega a un login falso, quieres que no pueda entregar la cuenta con una contraseña. Prioriza MFA resistente a phishing (llaves FIDO2/Passkeys, políticas de acceso condicional, SSO bien configurado).

Control 6 — “Playbook” claro: el resumen no dispara acciones

Define una norma sencilla y repetible: si el resumen pide urgencia (login, pago, llamada, descarga), se trata como sospechoso hasta que se verifique. El usuario debe ir por su cuenta al sitio oficial (escribiendo la URL o usando favoritos corporativos) y nunca desde un enlace “recomendado” por el resumen.

Control 7 — Detección y respuesta: botón de reportar + revisión de patrones

Cierra el circuito: botón de “Reportar phishing”, respuesta rápida de IT/SecOps, y revisión de patrones: asuntos recurrentes, remitentes parecidos, picos de correos con estilos extraños. Cuando el atacante prueba nuevas técnicas, lo que te salva no es “adivinarlo”, sino capturarlo rápido.

5) Señales rojas: cuándo desconfiar del resumen (aunque “suene” bien)

Algunas pistas prácticas (no perfectas, pero útiles) para activar tu radar:

• El resumen menciona “seguridad”, “contraseña”, “bloqueo”, “verificación” y te pide una acción inmediata.
• Aparece un enlace “de soporte” o un número de teléfono que no esperabas.
• El correo original, al abrirlo, no contiene nada parecido a lo que afirma el resumen.
• El tono es demasiado “autoridad”: “esto lo dice Google”, “tu cuenta está comprometida”, “último aviso”.

6) Lo que este caso nos enseña (más allá de Gmail)

Esto no va solo de “Gemini” o de “Gmail”. Va de una transición silenciosa: cada vez más, delegamos la lectura en una capa intermedia (resúmenes, asistentes, “bandejas inteligentes”). Y esa capa intermedia se convierte en un objetivo.

La solución real no es vivir con miedo. Es diseñar una costumbre: usar la IA para ahorrar tiempo, pero nunca para saltarse la verificación. Porque en el minuto en el que el resumen se convierte en tu “verdad”, el atacante ya está jugando en tu tablero.