Las estafas con inteligencia artificial dejaron de ser ciencia ficción. Hoy un delincuente puede clonar la voz de un gerente con apenas unos segundos de audio sacados de un video público, o falsificar su rostro en una videollamada. El resultado es un fraude mucho más convincente que el viejo correo con faltas de ortografía, y las empresas son el blanco preferido porque ahí está el dinero.
¿Qué es una estafa con IA?
Es un engaño que usa inteligencia artificial generativa para suplantar a una persona o institución de confianza. Las dos técnicas más usadas son los deepfakes (video, audio o imágenes manipulados para que alguien parezca decir o hacer algo que nunca hizo) y la clonación de voz, que reproduce el tono y la forma de hablar de una persona real a partir de muestras cortas.
El fraude del CEO, ahora con voz y cara
El 'fraude del CEO' consiste en hacerse pasar por un directivo para ordenar una transferencia urgente o un cambio de datos bancarios de un proveedor. Antes llegaba por correo; ahora llega por una llamada con la voz del jefe o una videollamada con su cara. La urgencia y la autoridad hacen el resto: el empleado no quiere demorar al gerente y transfiere.
- Urgencia y secreto: piden actuar ya y no comentarlo con nadie.
- Cambio de datos de pago: un proveedor 'avisa' que cambió su cuenta bancaria.
- Canal inusual: el pedido llega por WhatsApp o un número nuevo, no por el canal habitual.
- Fuera de proceso: se saltea la aprobación o el circuito normal de pagos.
Por qué funcionan tan bien
Porque eliminan las señales que usábamos para detectar el fraude. Ya no hay errores de redacción ni acentos extraños: la voz es la correcta, el idioma es perfecto y el mensaje está personalizado con datos reales que el atacante sacó de redes sociales o de filtraciones previas. Incluso profesionales de sistemas caen, porque el engaño apela a la confianza, no a la técnica.
Cómo se protege una empresa
La defensa no es un solo producto, sino una combinación de proceso, tecnología y personas:
- Verificación por segundo canal: ante cualquier pedido de dinero o cambio de datos bancarios, confirmar llamando al número conocido (no al que escribió). Es la medida más efectiva.
- Doble aprobación de pagos: que ninguna transferencia relevante dependa de una sola persona.
- Palabra o código de verificación acordado para pedidos sensibles entre dirección y finanzas.
- Autenticación multifactor (MFA) en correo y accesos, para frenar el robo de cuentas que da pie a estos fraudes.
- Capacitación con simulacros: entrenar al equipo para dudar, verificar y reportar sin miedo.
- Menos exposición pública: cuanto menos audio y video de los directivos circule, menos material para clonar.
Regla de oro: ningún pago ni cambio de datos bancarios se aprueba solo porque 'lo pidió el jefe por teléfono'. Siempre se verifica por un segundo canal conocido.
¿Y si ya caímos?
Actuar rápido: contactar al banco para intentar frenar o revertir la transferencia, preservar la evidencia (mensajes, números, audios), denunciar el hecho y revisar si hubo acceso a cuentas de correo. Después, revisar el proceso que permitió el fraude para que no se repita. Un diagnóstico de seguridad ayuda a encontrar los huecos de proceso y técnicos que los atacantes aprovechan.