Una campaña de ciberataques activa entre abril y junio utilizó falsos agentes de inteligencia artificial como señuelo para distribuir malware capaz de reemplazar extensiones legítimas de monederos digitales y capturar credenciales de acceso. El análisis, que revisó millones de dispositivos protegidos, documenta cómo la adopción masiva de herramientas de IA agéntica —sistemas que ejecutan tareas de forma autónoma en nombre del usuario— está siendo explotada para construir fraudes financieros de mayor sofisticación. El señuelo: automatización financiera como trampa. El esquema se presenta como una alternativa a los asesores financieros tradicionales. Los atacantes ofrecen herramientas que prometen supervisar carteras de criptomonedas y operar de forma automática. Un caso documentado es el sitio tradingclaw, que simulaba ser un asistente de IA para negociar activos digitales pero distribuía un software malicioso conocido como Needle Stealer. Una vez instalado, este programa examina los navegadores en busca de extensiones de monederos —incluyendo Coinbase y MetaMask— y las sustituye por réplicas visualmente idénticas. Al ingresar sus credenciales, las víctimas las entregan directamente a los atacantes sin ninguna señal de alerta visible. Esta estrategia eleva el riesgo operativo para cualquier organización que gestione activos digitales o permita el uso de extensiones de navegador en entornos corporativos, ya que el vector de infección se camufla bajo la apariencia de productividad legítima. Cadenas de infección y expansión del ecosistema de amenazas. Otra campaña identificada combina dos herramientas: Phantom Gate y Phantom Stealer. La primera permite a los atacantes desplegar y escalar campañas de infección; la segunda se presenta como software legítimo de pruebas de penetración, pero está orientada al robo de información financiera y credenciales corporativas. La combinación de ambas herramientas crea cadenas de infección que amplían significativamente la superficie de ataque, aumentando la probabilidad de que sistemas organizacionales sean comprometidos sin activar alertas tempranas. Phishing con códigos QR: el eslabón móvil. Se ha detectado además una modalidad de phishing que utiliza códigos QR incrustados en archivos PDF. Las víctimas reciben documentos con contenido deliberadamente borroso, con el argumento de que ha sido ocultado 'por motivos de seguridad', y se les solicita escanear un código para acceder a la información completa. Ese código redirige al usuario a una página fraudulenta desde su dispositivo móvil, donde los niveles de protección suelen ser más bajos que en entornos de escritorio corporativos. El resultado es la exposición de credenciales de acceso en un canal que frecuentemente queda fuera del perímetro de seguridad empresarial. Implicaciones para la gestión de riesgos. La convergencia de IA agéntica, activos digitales y dispositivos móviles como vectores de ataque simultáneos representa un