Dark Sourcery: páginas web envenenadas, 374 marcas y respuestas que nadie verificó

El 23 de septiembre de 2026, la empresa de seguridad Vigilance Security publicó una investigación que describe una campaña activa que denomina Dark Sourcery: los atacantes inundan la web abierta con publicaciones, PDF, reseñas y páginas de soporte falsas optimizadas para que ChatGPT, Google Gemini y Google AI Overviews devuelvan números de teléfono, direcciones de correo electrónico y páginas de inicio de sesión fraudulentos como datos de contacto oficiales de una empresa. Dark Reading informó de la investigación ese mismo día y nombró a Delta, Lufthansa, Qatar Airways, Chase, Bank of America, Airbnb y TripAdvisor entre al menos 374 empresas afectadas, con decenas de miles de páginas maliciosas detrás. No se vulneró ningún modelo: las páginas envenenadas eran simplemente lo que leían los modelos, y el fraude llegó con la credibilidad del propio asistente. Este registro es una entrada en el OrcaRouter AI Incident Archive, que rastrea incidentes de IA y hallazgos de investigación con los mismos campos utilizados aquí: gravedad, confianza, estado de disputa y daño real.

Lo que Vigilance Security publicó realmente

La investigación es una publicación de Medium de Ariel Simon, vicepresidente de investigación de Vigilance, titulada «Dark Sourcery: Cómo los hackers manipulan la IA para estafarte», publicada el 23 de septiembre de 2026. El artículo de Dark Reading, de la escritora colaboradora Elizabeth Montalbano y con hora de las 14:47 UTC de ese día, enlaza directamente con ella y cita a Simon a lo largo del texto. La publicación describe una operación de contenido más que un exploit: no se explota ninguna vulnerabilidad, el atacante no roba directamente ninguna credencial y no se envía a un modelo nada que el modelo pudiera aprender a rechazar.

Vigilance dice que identificó "decenas de miles de páginas maliciosas" que contienen números de soporte falsos, direcciones de correo electrónico, páginas de inicio de sesión, información de actualizaciones de software y otros datos fraudulentos, creadas para influir en lo que dicen los chatbots. Sitúa el número de empresas afectadas en "al menos 374", y se dice que incluyen organizaciones Fortune 100, grandes aerolíneas, bancos, empresas de viajes y proveedores de software. Las marcas nombradas en el informe de Dark Reading son Delta, Lufthansa, Qatar Airways, Chase, Bank of America, Airbnb y TripAdvisor.

Ni la publicación de la investigación ni la cobertura posterior ofrecen un desglose por marca: qué número falso pertenecía a qué empresa, cuántas páginas envenenadas se dirigían a cada una o cuándo se publicó cada página individual. La cifra de 374 se presenta como un total, y el registro la consigna de la misma manera.

Simon también cita un estudio de Exploding Topics, publicado en agosto de 2026, que concluye que el 91 % de las personas que usan chatbots de IA no verifican las respuestas que reciben. Esa cifra es la premisa de la campaña, no su medición: se cita en la investigación y la repiten Dark Reading e IANS, y su propia metodología no se describe en ninguna de las coberturas revisadas aquí. En la formulación de Simon, «si los atacantes controlan la IA y nosotros confiamos en ella a ciegas, en esencia nos controlan a nosotros».

Cómo se construye el envenenamiento

El mecanismo tiene tres partes, y solo la primera corresponde al atacante en cualquier sentido convencional. Primero, sembrar la web con páginas que indiquen el dato de contacto falso. Segundo, hacer que esas páginas parezcan provenir de una fuente en la que un sistema de recuperación debería confiar. Tercero, dejar que el asistente se encargue de citar.

El segundo paso es donde Vigilance pone la mayor parte de su énfasis. «Sospechamos que los dominios de alta autoridad (universidades, gobierno) combinados con fuentes de opinión pública (redes sociales, foros, reseñas de usuarios) lograron un alto éxito en envenenar las respuestas de la IA», dijo Simon a Dark Reading. «Dependiendo del modelo, la IA examina la fuente y confía más en el contenido si procede de una entidad autorizada». Eso describe la reputación prestada: una página universitaria comprometida o aprovechada indebidamente aporta la autoridad, y una dispersión de publicaciones en foros y reseñas aporta la apariencia de que la afirmación está corroborada en otros lugares.

Ground Truth, un medio que verifica las afirmaciones de la IA contra sus fuentes, resumió las tácticas de siembra enumeradas en la publicación de Simon: el mismo contacto falso o similar difundido en publicaciones generadas por usuarios, PDF, páginas alojadas, reseñas, plataformas de recaudación de fondos y de empleo, y contenido tipo preguntas y respuestas; detalles ajustados para la recuperación con formato repetido y frases como "24/7" y "actualizado en 2026"; y el mismo número de teléfono representado con espacios, puntos, emojis, caracteres Unicode similares o palabras escritas con letras. Esa última técnica cumple una doble función: evade la detección de cadenas duplicadas mientras un modelo sigue leyendo un único número. Ground Truth describe el objetivo con precisión: no una página viral, sino "la apariencia de corroboración independiente".

El artículo de GIGAZINE sobre la investigación ofrece una ilustración concreta: una publicación y una imagen falsificadas de soporte para impresoras HP que incluían un número de teléfono que no era de HP. Es un ejemplo del patrón más que un caso auditado, y el medio lo atribuye a la investigación de Vigilance en lugar de a una investigación propia.

No es una inyección de prompt, pero se registró como tal.

La distinción importa, y Simon la traza explícitamente. Dark Reading lo cita diciendo que la campaña difiere de la inyección de prompts "en que no implica que el atacante dé a la IA instrucciones o prompts explícitos, que podrían ser frustrados por las defensas de la IA". Su formulación más precisa: "Aquí, la desinformación presentada como hechos está haciendo que la IA responda al usuario con la información falsa, sin seguir nunca ninguna instrucción/prompt del atacante, esencialmente eludiendo todas las defensas".

También difiere del envenenamiento de datos de entrenamiento, que corrompe lo que un modelo aprendió antes del despliegue. Todo aquí ocurre en el momento de la recuperación, contra la web en vivo, después de que el modelo se ha lanzado — por lo que ningún reentrenamiento lo soluciona y por lo que la página envenenada puede retirarse sin que la respuesta cambie necesariamente.

El archivo clasifica este registro bajo IPI, su etiqueta de inyección indirecta de prompts. Lea con atención: la etiqueta y la investigación describen cosas adyacentes. IPI abarca contenido que llega a un modelo de forma indirecta, dentro de material que se pide al modelo que procese, en lugar de ser escrito por su usuario. Dark Sourcery es ese canal con la instrucción eliminada: la carga útil es un hecho, no una orden. La etiqueta es una decisión de clasificación sobre el canal; el relato de Simon es una afirmación sobre la carga útil, y las dos no están en conflicto. La etiqueta no debe interpretarse como una afirmación de que se entregó un prompt de atacante, porque, según la propia investigación, no se entregó ninguno.

Lo que el expediente establece, y lo que no

El archivo califica este registro como B —documentado, pero a partir de una única fuente o de una fuente secundaria—, y esa calificación es lo más útil que contiene. Nada en la cobertura revisada aquí contradice la investigación. El problema no es la contradicción; es que la cadena de evidencia tiene el ancho de un solo documento.

• Confirmado: Vigilance Security publicó la investigación el 23 de septiembre de 2026 bajo el nombre de Simon, y en ella se sostienen las afirmaciones descritas anteriormente — las 374 empresas, las decenas de miles de páginas, las marcas nombradas, el mecanismo, la táctica de la autoridad prestada.

• Confirmado: la investigación fue reportada el mismo día por Dark Reading y, en un plazo de cinco días, por IANS (24 de septiembre), GIGAZINE y Ground Truth (25 de septiembre), NEWSru.co.il citando al medio israelí Israel Defense (27 de septiembre), y las páginas de investigación de los proveedores en Aviatrix (23 de septiembre) y Kronus Intelligence Group (28 de septiembre).

• No establecido por eso: verificación independiente. Cada uno de esos artículos se remonta a la publicación de Simon o al reportaje de Dark Reading sobre ella, por lo que distribuyen las afirmaciones en lugar de comprobarlas. La segunda URL citada del propio archivo, bestsec.net, es un resumen de noticias de ciberseguridad que se renueva a diario; el 26 de octubre de 2026, su portada no incluía ningún elemento de Dark Sourcery, por lo que el artículo de Dark Reading es la cita duradera.

• No establecido: la escala. Ground Truth afirma claramente que «las afirmaciones de la divulgación sobre 374 empresas afectadas y decenas de miles de páginas no han sido auditadas de forma independiente», y que no se publicó ningún conjunto de datos público, corpus de páginas maliciosas ni registro de consultas reproducible. El análisis del 28 de septiembre de Kronus Intelligence Group llega a la misma conclusión y propone una etiqueta útil: describir el mecanismo como establecido y la escala como «informada pero no verificada».

• No establecido: la reproducibilidad, según los propios investigadores. Ground Truth informa que Simon describió los resultados como estadísticos y dijo que no se reproducían cada vez que se ejecutaba una consulta. Esa es una propiedad habitual de los sistemas aumentados por recuperación —los rankings, las versiones de los modelos, la ubicación, el momento y la formulación cambian—, y también es la razón por la que el hallazgo no pudo demostrarse a petición.

• No establecido: la magnitud del daño. El archivo registra un daño real como presente, y la base para ello es estrecha. Simon dijo a Dark Reading que Vigilance había visto "unos pocos casos" de personas que se quejaban de haber sido estafadas para que entregaran datos de pago o datos de tarjetas de pago mediante números fraudulentos proporcionados en las respuestas del chatbot. Los investigadores también llamaron a algunos de los números falsos y contactaron con un representante que se ofreció a "cambiar nuestro vuelo" o "desbloquear nuestra cuenta bancaria", y luego pidió los datos de la tarjeta. No se nombra a ninguna víctima, no se cuantifica ninguna pérdida y no se cita ninguna queja ni acción de aplicación de la ley.

• No se disputa: el archivo registra la entrada como no impugnada, y eso se sostiene — las cuestiones abiertas en la cobertura son omisiones en la divulgación, no desacuerdos con ella.

Lo que dijeron las dos plataformas

Según NEWSru.co.il, citando a Israel Defense, los investigadores informaron del comportamiento a ambos proveedores. La posición reportada de Google era que este tipo de desinformación queda fuera del alcance de su programa de divulgación de vulnerabilidades. Según se informa, OpenAI cerró el informe con el argumento de que los hallazgos no podían reproducirse de forma fiable, dada la variabilidad de las respuestas de los modelos de lenguaje. Ambos resúmenes son paráfrasis: el artículo no nombra a ningún portavoz de ninguna de las dos empresas, no ofrece citas directas y no fecha las respuestas.

Ninguna de las dos respuestas niega que existan las respuestas envenenadas. Si se leen como decisiones de triaje en lugar de refutaciones, ambas son al menos coherentes internamente: un bug bounty está diseñado para recompensar un defecto reproducible en el código, y esto no es reproducible a demanda ni es un defecto en el código. La página envenenada está en el sitio web de otra persona. Lo que el intercambio sí demuestra es una brecha: el daño es lo bastante real como para producir víctimas y el comportamiento es lo bastante variable como para fallar una prueba de reproducción, así que cae en el espacio entre "vulnerabilidad de seguridad" y "problema de contenido", donde no hay ningún canal de divulgación esperándolo.

Ni OpenAI ni Google habían confirmado ni refutado públicamente la cifra de 374 empresas a fecha del análisis de Kronus del 28 de septiembre, y no aparece ninguna declaración de ninguna de las dos compañías en ninguna de la cobertura revisada aquí.

¿Qué cambió después?

En respuesta, no se ha anunciado ningún cambio en la plataforma. La campaña se describió como en curso en la publicación del 23 de septiembre, y la propia evaluación de Simon es que el cálculo no está terminado: «Creemos que el impacto real de estas estafas está ocurriendo ahora, y todavía no somos capaces de comprender ni medir del todo el impacto total».

Lo que existe, en cambio, son consejos. Las recomendaciones de Simon, según Dark Reading, van en tres direcciones. Para los usuarios: verificar lo que les dice un asistente en lugar de tratarlo como infalible. Para las marcas: tomarse en serio las quejas de los clientes sobre estafas, monitorear las respuestas de IA que los clientes reciben realmente y las fuentes que citan esas respuestas, y priorizar las categorías en las que un número equivocado resulta caro: soporte, recuperación de cuentas, reembolsos, pagos y descargas de software. Para las organizaciones que operan agentes: monitorear en tiempo de ejecución, verificar cada fuente y pieza de contenido que entra en el contexto del modelo, y comprobar detalles críticos —números de teléfono, enlaces, paquetes de software, líneas de comandos— antes de actuar con base en ellos. El paso de comparación que sugiere es deliberadamente manual: "Compara los números de teléfono, las direcciones de correo electrónico y las URL devueltos con los registros verificados de la empresa, y luego investiga los detalles desconocidos y los indicadores repetidos en sitios web no relacionados".

IANS sometió el mismo consejo a la revisión de su facultad, con Josh More situando la campaña en una línea genealógica —"Hemos visto esto en los motores de búsqueda durante años"— y George Gerchow condensando el mecanismo en una frase que vale la pena conservar: "Nadie irrumpió en el modelo. Sembraron las fuentes en las que confía y dejaron que hablara. Al chatbot no lo hackearon; lo alimentaron." Las recomendaciones de la facultad de IANS añaden el monitoreo de marca y límites a la autonomía de los agentes al consejo de verificación, y ninguna de ellas constituye una solución.

Por qué vale la pena conservar el registro

El envenenamiento de resultados de búsqueda es antiguo. Lo que describe este registro es el punto en el que el resultado de búsqueda dejó de ser lo que ve el usuario. En la versión convencional, la víctima llega a una página, y la página es la prueba —mal escrita, alojada de forma extraña, visiblemente no es el banco—. Aquí la página nunca se renderiza. Un modelo la lee, la acepta y escribe una frase que empieza con el nombre de la marca y termina con el número del atacante. Puede que la cita esté ahí, pero el juicio que normalmente respalda una cita ya lo ha hecho algo que no se cansa ni sospecha.

Eso también explica por qué la calificación de confianza del registro está haciendo un trabajo real y no una tarea de mantenimiento. El mecanismo no está seriamente en duda —así se construyen los sistemas aumentados por recuperación—, y los analistas del sector que escribieron sobre él lo consideraron plausible a primera vista. La escala sí está en duda, y seguirá estándolo hasta que alguien publique un corpus o un registro de consultas. La medición de una sola empresa, distribuida por medios que citan todos la misma publicación, es motivo para registrar el incidente y motivo para no repetir la cifra como si se hubiera contado dos veces.

El propio encuadre del archivo lo sitúa en gravedad alta, con la participación de IA confirmada, un daño real registrado y ninguna disputa al respecto. Lo que la entrada documenta en realidad es una transferencia de confianza: la reputación de la marca es la materia prima, la fluidez del asistente es el mecanismo de entrega y el paso de verificación que habría permitido detectarlo es el que, según se dice, se salta el 91 % de los usuarios.