Digital Business & Future 03.04.2026

7 min de lectura

En enero de 2024, un empleado de la consultora de ingeniería británica Arup transfirió 25,6 millones de dólares a estafadores. Creía estar hablando en una videollamada con su director financiero y varios compañeros. Todos los participantes eran deepfakes. El caso no fue un hecho aislado: los ataques de phishing por voz aumentaron un 442 por ciento en 2024, y los intentos de fraude con deepfakes contra empresas alemanas crecieron un 53 por ciento. Las pymes están especialmente expuestas. Porque allí donde las jerarquías planas y las vías de decisión cortas son una fortaleza, en el fraude del CEO se convierten en una debilidad.

Lo esencial en pocas palabras

Cómo se desarrolla en la práctica un ataque con deepfakes

El típico fraude del CEO de la vieja escuela era un correo electrónico: el supuesto director general pide a contabilidad que ejecute una transferencia urgente. La dirección del remitente estaba falsificada, el texto era torpe y, tras algunas formaciones, el engaño resultaba reconocible. La nueva generación funciona de otra manera.

En el caso de Arup, los atacantes habían recopilado primero grabaciones de vídeo y audio del CFO disponibles públicamente. Vídeos de LinkedIn, intervenciones en conferencias y entrevistas en podcasts proporcionaron suficiente material para clonar la voz y la apariencia. Después convocaron una videollamada en la que no solo aparecía el CFO, sino también varios compañeros más como deepfakes. El empleado veía rostros conocidos, oía voces familiares y hablaba sobre un proyecto en curso. La instrucción de realizar la transferencia llegó en el contexto de una conversación empresarial normal.

La barrera técnica para este tipo de ataques está bajando rápidamente. Los servicios actuales de clonación de voz necesitan menos de diez segundos de material de audio para copiar una voz de forma convincente. Los deepfakes de vídeo en tiempo real son posibles con software de libre acceso. La calidad ha alcanzado un punto en el que incluso empleados formados ya no pueden distinguirlos de manera fiable.

«La combinación de clonación de voz basada en IA y deepfakes de vídeo en tiempo real supone una amenaza cualitativamente nueva para la que muchas empresas no están preparadas.»
– BSI, informe de situación sobre la seguridad informática en Alemania 2025

Por qué las empresas medianas están especialmente expuestas

Las grandes corporaciones suelen tener procesos de aprobación de transferencias en varios niveles: principio de doble control, normas de firma a partir de determinados umbrales, comprobaciones de cumplimiento automatizadas. En las empresas medianas, la realidad suele ser distinta.

En compañías de entre 50 y 500 empleados, el departamento de contabilidad conoce personalmente al director general. Una llamada del jefe pidiendo una transferencia urgente no tiene nada de inusual. Las vías cortas que hacen operativamente fuerte a la empresa mediana crean al mismo tiempo superficies de ataque: menos instancias de control, más confianza en las instrucciones verbales, menor barrera para hacer consultas.

A esto se suma la visibilidad pública de los directivos. Los directores generales de empresas medianas suelen estar activos en LinkedIn, intervienen en eventos sectoriales y conceden entrevistas. Cada aparición pública proporciona material para deepfakes. La paradoja: cuanto más éxito tiene un empresario al construir su marca personal, más fácil resulta convertirlo en objetivo.

Las cifras confirman el riesgo: según análisis del sector, el 80 por ciento de las empresas no cuenta con protocolos establecidos ni planes de respuesta para ataques basados en deepfakes. En las empresas medianas, esta proporción probablemente sea aún mayor, porque los equipos de ciberseguridad a menudo constan de una sola persona o ni siquiera existen.

El balance de daños: cuánto cuesta el fraude con deepfakes

El daño va más allá de la transferencia inmediata. En el caso Arup, se perdieron 25,6 millones de dólares antes de que se detectara el fraude. El daño mundial causado por el fraude con deepfakes superó los 200 millones de dólares estadounidenses solo en el primer trimestre de 2025, con Norteamérica como la región más afectada, con el 38 por ciento de los incidentes (Resemble AI Q1 2025 Report). La cifra no declarada es elevada: muchas empresas no comunican este tipo de incidentes, por vergüenza o por miedo a daños reputacionales.

Además del daño financiero directo, surgen costes posteriores: investigaciones forenses, revisión jurídica, controles internos más estrictos y, en determinadas circunstancias, obligaciones de notificación conforme al RGPD si se vieron afectados datos personales. Y el daño a la confianza dentro de la empresa es difícil de cuantificar: el empleado que inició la transferencia hizo todo correctamente con la información de que disponía.

La situación de los seguros es desigual. Los ciberseguros clásicos suelen cubrir los daños por ingeniería social solo hasta un sublímite bajo. Algunas pólizas excluyen explícitamente el fraude con deepfakes. Las empresas deberían revisar su póliza en cuanto al alcance de la cobertura para ataques basados en IA y renegociarla si es necesario.

La cadena de ataque: del perfil de LinkedIn al CFO falsificado

Un ataque deepfake contra una empresa mediana sigue un patrón sistemático. La preparación comienza semanas antes del intento de fraude propiamente dicho y utiliza exclusivamente información de acceso público.

Fase 1: reconocimiento. Los atacantes analizan el sitio web de la empresa, el aviso legal, los perfiles de LinkedIn de la dirección y del departamento financiero. Identifican estructuras de decisión, proyectos actuales (a través de comunicados de prensa) y relaciones personales dentro del equipo directivo. En muchas empresas medianas, la página «Sobre nosotros» basta para reconstruir toda la cadena de decisión.

Fase 2: recopilación de material. Para clonar una voz bastan menos de diez segundos de audio. Para un deepfake de vídeo en tiempo real, los modelos actuales necesitan entre 30 y 60 segundos de material de vídeo de alta calidad. Los vídeos de LinkedIn, que muchos directores generales publican con regularidad, proporcionan ambas cosas a la vez. Las grabaciones de conferencias en YouTube o en canales corporativos también son fuentes productivas.

Fase 3: timing. Los atacantes eligen un momento en el que es difícil localizar al director general real: semanas de ferias, periodos de vacaciones, viernes por la tarde. En el caso de Arup, el CFO real estaba de viaje de negocios. La urgencia de la transferencia se justificó con una supuesta adquisición sensible al tiempo.

Fase 4: golpe final. Se programa la llamada deepfake y se ordena la transferencia. Los importes se redirigen de inmediato a través de varias cuentas en distintos países. Después de 24 a 48 horas, el dinero prácticamente ya no puede rastrearse.

Este patrón muestra que el punto débil no es la tecnología de la empresa, sino la confianza entre personas. Precisamente por eso, las contramedidas organizativas funcionan mejor que las técnicas.

Herramientas de detección: qué ofrece el mercado y qué ayuda de verdad

La detección de deepfakes es una carrera entre atacantes y defensores que los defensores pierden por motivos estructurales. Cada mejora del software de detección se ve superada por modelos de generación mejores. Aun así, existen herramientas que reflejan el estado actual de la técnica.

En el lado del análisis, productos como Deepfake Detection de Pindrop, Reality Defender y Sensity AI trabajan con modelos basados en IA que identifican artefactos en imagen, sonido y vídeo: movimientos de labios antinaturales, incoherencias en la iluminación, anomalías en el espectro de frecuencias de la voz. Estas herramientas funcionan bien con vídeos producidos previamente, pero encuentran límites ante los deepfakes en tiempo real.

Para el uso empresarial son más relevantes las soluciones que protegen el canal de comunicación en lugar de detectar el deepfake en sí. Plataformas como Veridas o iProov apuestan por la verificación biométrica: antes de activar una transacción sensible, el ordenante debe autenticarse mediante una comprobación de identidad separada y verificada. Esto es técnicamente más complejo, pero más robusto que intentar desenmascarar el deepfake.

La valoración honesta: ninguna herramienta ofrece seguridad al cien por cien. La detección técnica es un componente, pero no sustituye a las medidas organizativas. Por eso, el BSI recomienda un enfoque combinado de tecnología y procesos.

Medidas inmediatas: protocolo de verificación en 30 minutos

La defensa más eficaz contra el fraude del CEO mediante deepfakes es organizativa, no técnica. Un protocolo de verificación puede implantarse en media hora y no cuesta nada salvo disciplina.

1. Obligación de devolver la llamada en transacciones financieras. Toda instrucción de pago por encima de un umbral definido (por ejemplo, 5.000 euros) debe confirmarse mediante una llamada de retorno a un número de teléfono conocido y registrado internamente. No al número del correo electrónico, no al número de la videollamada, sino al número del directorio interno. Esta regla se aplica sin excepciones, incluso si el director general llama personalmente y transmite urgencia.

2. Sistema de palabra clave. Una palabra clave acordada que no se utiliza en ninguna comunicación digital y que solo se ha intercambiado oralmente en presencia física. Si hay dudas sobre la identidad, se solicita la palabra clave. Sencillo, analógico y resistente a los deepfakes.

3. Aprobación por dos personas. Ninguna persona debe poder autorizar por sí sola transferencias por encima del umbral. El principio de doble control ya es estándar en muchas empresas. La ampliación frente a deepfakes: ambos autorizadores deben verificar la instrucción de forma independiente, no en la misma llamada ni en el mismo chat.

4. Formación de concienciación. Los empleados de finanzas y de funciones de asistencia deben saber que los deepfakes existen y lo convincentes que pueden llegar a ser. El caso de Arup es el material de formación más contundente: un profesional financiero experimentado de un grupo multinacional cayó en la trampa. Nadie es inmune. Las repeticiones periódicas de la formación son decisivas, porque la tecnología avanza más rápido que la conciencia sobre ella.

5. Definir un proceso de emergencia. ¿Qué ocurre cuando se detecta un intento de fraude? ¿A quién se informa? ¿Cómo se detiene la transferencia? Cuanto más rápida sea la reacción, mayor será la probabilidad de recuperar el dinero. Por lo general, los bancos disponen de una breve ventana de tiempo para revertir operaciones.

Situación jurídica: qué dice el derecho penal y qué pueden hacer las empresas

El fraude del CEO basado en deepfakes entra dentro del artículo 263 del Código Penal alemán (fraude) y, en su caso, del artículo 263a del Código Penal alemán (fraude informático). Sin embargo, la persecución penal es difícil: los autores suelen operar a escala internacional, y los flujos de dinero se ocultan mediante monederos de criptomonedas o cuentas en terceros países.

Para las empresas afectadas, el aspecto civil es más relevante: ¿quién responde por el daño? Por regla general, el empleador, salvo que pueda demostrarse negligencia grave por parte del empleado. Y ahí es precisamente donde el protocolo de verificación se convierte en un escudo: quien puede documentar que existían procesos y que se cumplieron está en mejor posición en caso de disputa que una empresa sin ningún tipo de precaución.

A nivel internacional, las autoridades policiales colaboran cada vez más. Europol ha identificado el fraude apoyado en deepfakes como una amenaza creciente y coordina investigaciones transfronterizas. En Alemania son competentes las unidades centrales de ciberdelincuencia de las fiscalías generales. Sin embargo, la tasa de éxito en la recuperación de fondos es baja una vez que las cantidades han salido del sistema bancario europeo.

Para las pymes, la conclusión jurídica más importante es que la prevención no solo es la mejor vía desde el punto de vista empresarial, sino también desde la perspectiva de la responsabilidad. Los directores generales que, de forma demostrable, no hayan adoptado medidas de protección adecuadas pueden, en determinadas circunstancias, ser considerados personalmente responsables. Por tanto, la implantación de un protocolo de verificación documentado no es solo una medida de seguridad, sino también una medida frente a la responsabilidad de la dirección.

El BSI ha señalado explícitamente la amenaza de los deepfakes para las empresas en su informe de situación de 2025 y recomienda, además de medidas técnicas, sobre todo conceptos organizativos de protección. Hasta ahora no existe obligación de notificar incidentes de deepfake, pero las empresas sujetas a NIS2 o a la Ley Marco KRITIS deben notificar de todos modos los incidentes de seguridad significativos.

Gestionar de forma consciente la presencia digital

Los directivos se enfrentan a un dilema: la visibilidad en LinkedIn y en los medios es buena para el negocio, pero al mismo tiempo proporciona material para deepfakes. La solución no es la invisibilidad, sino un uso más consciente de los contenidos públicos de audio y vídeo.

Medidas concretas: publicar vídeos en LinkedIn preferiblemente con textos superpuestos y música, en lugar de con voz hablada de principio a fin. No archivar las entrevistas de pódcast en el canal de la empresa, sino remitir a la plataforma del anfitrión. No publicar grabaciones de conferencias en YouTube de forma pública, sino colocarlas detrás de un área con inicio de sesión. Estas medidas no eliminan el riesgo, pero aumentan considerablemente el esfuerzo necesario para los atacantes.

Conclusión

El fraude del CEO mediante deepfakes no es un escenario de futuro ni un problema exclusivo de las grandes corporaciones. La tecnología está disponible, los costes para los atacantes bajan y la calidad aumenta. Las pymes son un objetivo atractivo por sus jerarquías planas y sus vías de decisión informales.

La buena noticia: las contramedidas más eficaces no son caras y pueden aplicarse de inmediato. Un protocolo de devolución de llamada, un sistema de palabra clave y el principio de doble control aplicado de forma consecuente a las transacciones financieras no cuestan nada y protegen de forma más fiable que cualquier software. Quien además invierta en formaciones de concienciación y revise si su seguro de ciberriesgos cubre los deepfakes habrá abordado la mayor parte del riesgo.

Preguntas frecuentes

¿Cómo reconozco una videollamada deepfake?

Preste atención a una sincronización labial poco natural, una iluminación incoherente en el rostro, artefactos en los bordes del cabello y las orejas, así como a retrasos inusuales. Sin embargo, los deepfakes actuales alcanzan una calidad que hace que la detección visual no sea fiable. No confíe en sus ojos, sino en procesos de verificación.

¿Cuánto material necesitan los atacantes para un deepfake de voz?

Los servicios actuales de clonación de voz necesitan menos de diez segundos de material de audio para crear una copia convincente de una voz. Los vídeos de LinkedIn, las apariciones en podcasts o las entrevistas en YouTube suelen proporcionar material más que suficiente.

¿Cubre mi ciberseguro el fraude con deepfakes?

Depende de la póliza. Muchos ciberseguros tienen sublímites bajos para daños por ingeniería social o excluyen explícitamente los ataques asistidos por IA. Revise el alcance de la cobertura con su corredor de seguros y, si es necesario, negocie una ampliación.

¿Qué es un protocolo de verificación?

Un proceso definido que garantiza que las órdenes de pago y otras transacciones sensibles se confirmen a través de un segundo canal independiente. Entre sus elementos habituales están la devolución de llamada a un número registrado internamente, la comprobación de una palabra clave y la aprobación por dos personas.

¿Debo denunciar un ataque deepfake?

No existe una obligación específica de notificar incidentes de deepfake. Sin embargo, las empresas sujetas a NIS2 o a la ley marco KRITIS deben notificar incidentes de seguridad significativos. En caso de daños económicos, es recomendable presentar una denuncia ante el BKA o ante la unidad de ciberdelincuencia competente.

¿Las pequeñas empresas son realmente objetivo de ataques deepfake?

Sí. La caída de los costes de creación de deepfakes hace que los ataques contra objetivos más pequeños sean económicamente rentables. Además, las pymes suelen tener menos controles que las grandes empresas. Los importes defraudados son menores en cada caso, pero la tasa de éxito es más alta.

Fuente de la imagen de portada: Diva Plavalaguna / Pexels