7 min de lectura<\/p>\n
En enero de 2024, un empleado de la consultora de ingenier\u00eda brit\u00e1nica Arup transfiri\u00f3 25,6 millones de d\u00f3lares a estafadores. Cre\u00eda estar hablando en una videollamada con su director financiero y varios compa\u00f1eros. Todos los participantes eran deepfakes. El caso no fue un hecho aislado: los ataques de phishing por voz aumentaron un 442 por ciento en 2024, y los intentos de fraude con deepfakes contra empresas alemanas crecieron un 53 por ciento. Las pymes est\u00e1n especialmente expuestas. Porque all\u00ed donde las jerarqu\u00edas planas y las v\u00edas de decisi\u00f3n cortas son una fortaleza, en el fraude del CEO se convierten en una debilidad.<\/strong><\/p>\n El t\u00edpico fraude del CEO de la vieja escuela era un correo electr\u00f3nico: el supuesto director general pide a contabilidad que ejecute una transferencia urgente. La direcci\u00f3n del remitente estaba falsificada, el texto era torpe y, tras algunas formaciones, el enga\u00f1o resultaba reconocible. La nueva generaci\u00f3n funciona de otra manera.<\/p>\n En el caso de Arup, los atacantes hab\u00edan recopilado primero grabaciones de v\u00eddeo y audio del CFO disponibles p\u00fablicamente. V\u00eddeos de LinkedIn, intervenciones en conferencias y entrevistas en podcasts proporcionaron suficiente material para clonar la voz y la apariencia. Despu\u00e9s convocaron una videollamada en la que no solo aparec\u00eda el CFO, sino tambi\u00e9n varios compa\u00f1eros m\u00e1s como deepfakes. El empleado ve\u00eda rostros conocidos, o\u00eda voces familiares y hablaba sobre un proyecto en curso. La instrucci\u00f3n de realizar la transferencia lleg\u00f3 en el contexto de una conversaci\u00f3n empresarial normal.<\/p>\n La barrera t\u00e9cnica para este tipo de ataques est\u00e1 bajando r\u00e1pidamente. Los servicios actuales de clonaci\u00f3n de voz necesitan menos de diez segundos de material de audio para copiar una voz de forma convincente. Los deepfakes de v\u00eddeo en tiempo real son posibles con software de libre acceso. La calidad ha alcanzado un punto en el que incluso empleados formados ya no pueden distinguirlos de manera fiable.<\/p>\n \n\u00abLa combinaci\u00f3n de clonaci\u00f3n de voz basada en IA y deepfakes de v\u00eddeo en tiempo real supone una amenaza cualitativamente nueva para la que muchas empresas no est\u00e1n preparadas.\u00bb Las grandes corporaciones suelen tener procesos de aprobaci\u00f3n de transferencias en varios niveles: principio de doble control, normas de firma a partir de determinados umbrales, comprobaciones de cumplimiento automatizadas. En las empresas medianas, la realidad suele ser distinta.<\/p>\n En compa\u00f1\u00edas de entre 50 y 500 empleados, el departamento de contabilidad conoce personalmente al director general. Una llamada del jefe pidiendo una transferencia urgente no tiene nada de inusual. Las v\u00edas cortas que hacen operativamente fuerte a la empresa mediana crean al mismo tiempo superficies de ataque: menos instancias de control, m\u00e1s confianza en las instrucciones verbales, menor barrera para hacer consultas.<\/p>\n A esto se suma la visibilidad p\u00fablica de los directivos. Los directores generales de empresas medianas suelen estar activos en LinkedIn, intervienen en eventos sectoriales y conceden entrevistas. Cada aparici\u00f3n p\u00fablica proporciona material para deepfakes. La paradoja: cuanto m\u00e1s \u00e9xito tiene un empresario al construir su marca personal, m\u00e1s f\u00e1cil resulta convertirlo en objetivo.<\/p>\n Las cifras confirman el riesgo: seg\u00fan an\u00e1lisis del sector, el 80 por ciento de las empresas no cuenta con protocolos establecidos ni planes de respuesta para ataques basados en deepfakes. En las empresas medianas, esta proporci\u00f3n probablemente sea a\u00fan mayor, porque los equipos de ciberseguridad a menudo constan de una sola persona o ni siquiera existen.<\/p>\n El da\u00f1o va m\u00e1s all\u00e1 de la transferencia inmediata. En el caso Arup, se perdieron 25,6 millones de d\u00f3lares antes de que se detectara el fraude. El da\u00f1o mundial causado por el fraude con deepfakes super\u00f3 los 200 millones de d\u00f3lares estadounidenses solo en el primer trimestre de 2025, con Norteam\u00e9rica como la regi\u00f3n m\u00e1s afectada, con el 38 por ciento de los incidentes (Resemble AI Q1 2025 Report). La cifra no declarada es elevada: muchas empresas no comunican este tipo de incidentes, por verg\u00fcenza o por miedo a da\u00f1os reputacionales.<\/p>\n Adem\u00e1s del da\u00f1o financiero directo, surgen costes posteriores: investigaciones forenses, revisi\u00f3n jur\u00eddica, controles internos m\u00e1s estrictos y, en determinadas circunstancias, obligaciones de notificaci\u00f3n conforme al RGPD si se vieron afectados datos personales. Y el da\u00f1o a la confianza dentro de la empresa es dif\u00edcil de cuantificar: el empleado que inici\u00f3 la transferencia hizo todo correctamente con la informaci\u00f3n de que dispon\u00eda.<\/p>\n La situaci\u00f3n de los seguros es desigual. Los ciberseguros<\/a> cl\u00e1sicos suelen cubrir los da\u00f1os por ingenier\u00eda social solo hasta un subl\u00edmite bajo. Algunas p\u00f3lizas excluyen expl\u00edcitamente el fraude con deepfakes. Las empresas deber\u00edan revisar su p\u00f3liza en cuanto al alcance de la cobertura para ataques basados en IA y renegociarla si es necesario.<\/p>\n Un ataque deepfake contra una empresa mediana sigue un patr\u00f3n sistem\u00e1tico. La preparaci\u00f3n comienza semanas antes del intento de fraude propiamente dicho y utiliza exclusivamente informaci\u00f3n de acceso p\u00fablico.<\/p>\n Fase 1: reconocimiento.<\/strong> Los atacantes analizan el sitio web de la empresa, el aviso legal, los perfiles de LinkedIn de la direcci\u00f3n y del departamento financiero. Identifican estructuras de decisi\u00f3n, proyectos actuales (a trav\u00e9s de comunicados de prensa) y relaciones personales dentro del equipo directivo. En muchas empresas medianas, la p\u00e1gina \u00abSobre nosotros\u00bb basta para reconstruir toda la cadena de decisi\u00f3n.<\/p>\n Fase 2: recopilaci\u00f3n de material.<\/strong> Para clonar una voz bastan menos de diez segundos de audio. Para un deepfake de v\u00eddeo en tiempo real, los modelos actuales necesitan entre 30 y 60 segundos de material de v\u00eddeo de alta calidad. Los v\u00eddeos de LinkedIn, que muchos directores generales publican con regularidad, proporcionan ambas cosas a la vez. Las grabaciones de conferencias en YouTube o en canales corporativos tambi\u00e9n son fuentes productivas.<\/p>\n Fase 3: timing.<\/strong> Los atacantes eligen un momento en el que es dif\u00edcil localizar al director general real: semanas de ferias, periodos de vacaciones, viernes por la tarde. En el caso de Arup, el CFO real estaba de viaje de negocios. La urgencia de la transferencia se justific\u00f3 con una supuesta adquisici\u00f3n sensible al tiempo.<\/p>\n Fase 4: golpe final.<\/strong> Se programa la llamada deepfake y se ordena la transferencia. Los importes se redirigen de inmediato a trav\u00e9s de varias cuentas en distintos pa\u00edses. Despu\u00e9s de 24 a 48 horas, el dinero pr\u00e1cticamente ya no puede rastrearse.<\/p>\n Este patr\u00f3n muestra que el punto d\u00e9bil no es la tecnolog\u00eda de la empresa, sino la confianza entre personas. Precisamente por eso, las contramedidas organizativas funcionan mejor que las t\u00e9cnicas.<\/p>\n La detecci\u00f3n de deepfakes es una carrera entre atacantes y defensores que los defensores pierden por motivos estructurales. Cada mejora del software de detecci\u00f3n se ve superada por modelos de generaci\u00f3n mejores. Aun as\u00ed, existen herramientas que reflejan el estado actual de la t\u00e9cnica.<\/p>\n En el lado del an\u00e1lisis, productos como Deepfake Detection de Pindrop, Reality Defender y Sensity AI trabajan con modelos basados en IA que identifican artefactos en imagen, sonido y v\u00eddeo: movimientos de labios antinaturales, incoherencias en la iluminaci\u00f3n, anomal\u00edas en el espectro de frecuencias de la voz. Estas herramientas funcionan bien con v\u00eddeos producidos previamente, pero encuentran l\u00edmites ante los deepfakes en tiempo real.<\/p>\n Para el uso empresarial son m\u00e1s relevantes las soluciones que protegen el canal de comunicaci\u00f3n en lugar de detectar el deepfake en s\u00ed. Plataformas como Veridas o iProov apuestan por la verificaci\u00f3n biom\u00e9trica: antes de activar una transacci\u00f3n sensible, el ordenante debe autenticarse mediante una comprobaci\u00f3n de identidad separada y verificada. Esto es t\u00e9cnicamente m\u00e1s complejo, pero m\u00e1s robusto que intentar desenmascarar el deepfake.<\/p>\n La valoraci\u00f3n honesta: ninguna herramienta ofrece seguridad al cien por cien. La detecci\u00f3n t\u00e9cnica es un componente, pero no sustituye a las medidas organizativas. Por eso, el BSI recomienda un enfoque combinado de tecnolog\u00eda y procesos.<\/p>\n La defensa m\u00e1s eficaz contra el fraude del CEO mediante deepfakes es organizativa, no t\u00e9cnica. Un protocolo de verificaci\u00f3n puede implantarse en media hora y no cuesta nada salvo disciplina.<\/p>\n 1. Obligaci\u00f3n de devolver la llamada en transacciones financieras.<\/strong> Toda instrucci\u00f3n de pago por encima de un umbral definido (por ejemplo, 5.000 euros) debe confirmarse mediante una llamada de retorno a un n\u00famero de tel\u00e9fono conocido y registrado internamente. No al n\u00famero del correo electr\u00f3nico, no al n\u00famero de la videollamada, sino al n\u00famero del directorio interno. Esta regla se aplica sin excepciones, incluso si el director general llama personalmente y transmite urgencia.<\/p>\n 2. Sistema de palabra clave.<\/strong> Una palabra clave acordada que no se utiliza en ninguna comunicaci\u00f3n digital y que solo se ha intercambiado oralmente en presencia f\u00edsica. Si hay dudas sobre la identidad, se solicita la palabra clave. Sencillo, anal\u00f3gico y resistente a los deepfakes.<\/p>\n 3. Aprobaci\u00f3n por dos personas.<\/strong> Ninguna persona debe poder autorizar por s\u00ed sola transferencias por encima del umbral. El principio de doble control ya es est\u00e1ndar en muchas empresas. La ampliaci\u00f3n frente a deepfakes: ambos autorizadores deben verificar la instrucci\u00f3n de forma independiente, no en la misma llamada ni en el mismo chat.<\/p>\n 4. Formaci\u00f3n de concienciaci\u00f3n.<\/strong> Los empleados de finanzas y de funciones de asistencia deben saber que los deepfakes existen y lo convincentes que pueden llegar a ser. El caso de Arup es el material de formaci\u00f3n m\u00e1s contundente: un profesional financiero experimentado de un grupo multinacional cay\u00f3 en la trampa. Nadie es inmune. Las repeticiones peri\u00f3dicas de la formaci\u00f3n son decisivas, porque la tecnolog\u00eda avanza m\u00e1s r\u00e1pido que la conciencia sobre ella.<\/p>\n 5. Definir un proceso de emergencia.<\/strong> \u00bfQu\u00e9 ocurre cuando se detecta un intento de fraude? \u00bfA qui\u00e9n se informa? \u00bfC\u00f3mo se detiene la transferencia? Cuanto m\u00e1s r\u00e1pida sea la reacci\u00f3n, mayor ser\u00e1 la probabilidad de recuperar el dinero. Por lo general, los bancos disponen de una breve ventana de tiempo para revertir operaciones.<\/p>\n El fraude del CEO basado en deepfakes entra dentro del art\u00edculo 263 del C\u00f3digo Penal alem\u00e1n<\/a> (fraude) y, en su caso, del art\u00edculo 263a del C\u00f3digo Penal alem\u00e1n (fraude inform\u00e1tico). Sin embargo, la persecuci\u00f3n penal es dif\u00edcil: los autores suelen operar a escala internacional, y los flujos de dinero se ocultan mediante monederos de criptomonedas o cuentas en terceros pa\u00edses.<\/p>\n Para las empresas afectadas, el aspecto civil es m\u00e1s relevante: \u00bfqui\u00e9n responde por el da\u00f1o? Por regla general, el empleador, salvo que pueda demostrarse negligencia grave por parte del empleado. Y ah\u00ed es precisamente donde el protocolo de verificaci\u00f3n se convierte en un escudo: quien puede documentar que exist\u00edan procesos y que se cumplieron est\u00e1 en mejor posici\u00f3n en caso de disputa que una empresa sin ning\u00fan tipo de precauci\u00f3n.<\/p>\n \n A nivel internacional, las autoridades policiales colaboran cada vez m\u00e1s. Europol ha identificado el fraude apoyado en deepfakes como una amenaza creciente y coordina investigaciones transfronterizas. En Alemania son competentes las unidades centrales de ciberdelincuencia de las fiscal\u00edas generales. Sin embargo, la tasa de \u00e9xito en la recuperaci\u00f3n de fondos es baja una vez que las cantidades han salido del sistema bancario europeo.<\/p>\n Para las pymes, la conclusi\u00f3n jur\u00eddica m\u00e1s importante es que la prevenci\u00f3n no solo es la mejor v\u00eda desde el punto de vista empresarial, sino tambi\u00e9n desde la perspectiva de la responsabilidad. Los directores generales que, de forma demostrable, no hayan adoptado medidas de protecci\u00f3n adecuadas pueden, en determinadas circunstancias, ser considerados personalmente responsables. Por tanto, la implantaci\u00f3n de un protocolo de verificaci\u00f3n documentado no es solo una medida de seguridad, sino tambi\u00e9n una medida frente a la responsabilidad de la direcci\u00f3n.<\/p>\n El BSI ha se\u00f1alado expl\u00edcitamente la amenaza de los deepfakes para las empresas en su informe de situaci\u00f3n de 2025 y recomienda, adem\u00e1s de medidas t\u00e9cnicas, sobre todo conceptos organizativos de protecci\u00f3n. Hasta ahora no existe obligaci\u00f3n de notificar incidentes de deepfake, pero las empresas sujetas a NIS2<\/a> o a la Ley Marco KRITIS deben notificar de todos modos los incidentes de seguridad significativos.<\/p>\n Los directivos se enfrentan a un dilema: la visibilidad en LinkedIn y en los medios es buena para el negocio, pero al mismo tiempo proporciona material para deepfakes. La soluci\u00f3n no es la invisibilidad, sino un uso m\u00e1s consciente de los contenidos p\u00fablicos de audio y v\u00eddeo.<\/p>\n Medidas concretas: publicar v\u00eddeos en LinkedIn preferiblemente con textos superpuestos y m\u00fasica, en lugar de con voz hablada de principio a fin. No archivar las entrevistas de p\u00f3dcast en el canal de la empresa, sino remitir a la plataforma del anfitri\u00f3n. No publicar grabaciones de conferencias en YouTube de forma p\u00fablica, sino colocarlas detr\u00e1s de un \u00e1rea con inicio de sesi\u00f3n. Estas medidas no eliminan el riesgo, pero aumentan considerablemente el esfuerzo necesario para los atacantes.<\/p>\n El fraude del CEO mediante deepfakes no es un escenario de futuro ni un problema exclusivo de las grandes corporaciones. La tecnolog\u00eda est\u00e1 disponible, los costes para los atacantes bajan y la calidad aumenta. Las pymes son un objetivo atractivo por sus jerarqu\u00edas planas y sus v\u00edas de decisi\u00f3n informales.<\/p>\n La buena noticia: las contramedidas m\u00e1s eficaces no son caras y pueden aplicarse de inmediato. Un protocolo de devoluci\u00f3n de llamada, un sistema de palabra clave y el principio de doble control aplicado de forma consecuente a las transacciones financieras no cuestan nada y protegen de forma m\u00e1s fiable que cualquier software. Quien adem\u00e1s invierta en formaciones de concienciaci\u00f3n y revise si su seguro de ciberriesgos cubre los deepfakes habr\u00e1 abordado la mayor parte del riesgo.<\/p>\n Preste atenci\u00f3n a una sincronizaci\u00f3n labial poco natural, una iluminaci\u00f3n incoherente en el rostro, artefactos en los bordes del cabello y las orejas, as\u00ed como a retrasos inusuales. Sin embargo, los deepfakes actuales alcanzan una calidad que hace que la detecci\u00f3n visual no sea fiable. No conf\u00ede en sus ojos, sino en procesos de verificaci\u00f3n.<\/p>\n<\/details>\n Los servicios actuales de clonaci\u00f3n de voz necesitan menos de diez segundos de material de audio para crear una copia convincente de una voz. Los v\u00eddeos de LinkedIn, las apariciones en podcasts o las entrevistas en YouTube suelen proporcionar material m\u00e1s que suficiente.<\/p>\n<\/details>\n Depende de la p\u00f3liza. Muchos ciberseguros tienen subl\u00edmites bajos para da\u00f1os por ingenier\u00eda social o excluyen expl\u00edcitamente los ataques asistidos por IA. Revise el alcance de la cobertura con su corredor de seguros y, si es necesario, negocie una ampliaci\u00f3n.<\/p>\n<\/details>\n Un proceso definido que garantiza que las \u00f3rdenes de pago y otras transacciones sensibles se confirmen a trav\u00e9s de un segundo canal independiente. Entre sus elementos habituales est\u00e1n la devoluci\u00f3n de llamada a un n\u00famero registrado internamente, la comprobaci\u00f3n de una palabra clave y la aprobaci\u00f3n por dos personas.<\/p>\n<\/details>\n No existe una obligaci\u00f3n espec\u00edfica de notificar incidentes de deepfake. Sin embargo, las empresas sujetas a NIS2 o a la ley marco KRITIS deben notificar incidentes de seguridad significativos. En caso de da\u00f1os econ\u00f3micos, es recomendable presentar una denuncia ante el BKA o ante la unidad de ciberdelincuencia competente.<\/p>\n<\/details>\n S\u00ed. La ca\u00edda de los costes de creaci\u00f3n de deepfakes hace que los ataques contra objetivos m\u00e1s peque\u00f1os sean econ\u00f3micamente rentables. Adem\u00e1s, las pymes suelen tener menos controles que las grandes empresas. Los importes defraudados son menores en cada caso, pero la tasa de \u00e9xito es m\u00e1s alta.<\/p>\n<\/details>\n Fuente de la imagen de portada: Diva Plavalaguna \/ Pexels<\/em><\/p>\n","protected":false},"excerpt":{"rendered":" En enero de 2024, un empleado de la consultora de ingenier\u00eda brit\u00e1nica Arup transfiri\u00f3 25,6 millones de d\u00f3lares a estafadores. Cre\u00eda estar hablando en una videollamada con su director financiero y varios compa\u00f1eros. Todos los participantes eran deepfakes. El caso no fue un hecho aislado: los ataques de phishing por voz […]<\/p>\n","protected":false},"author":205,"featured_media":89748,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_yoast_wpseo_focuskw":"fraude ceo","_yoast_wpseo_title":"Fraude CEO: C\u00f3mo detectar llamadas falsas de jefes","_yoast_wpseo_metadesc":"Digitalizaci\u00f3n, IA y negocios: Protege tu empresa de fraudes. Aprende a detectar estafas CEO y blinda tus procesos hoy.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"featured_post_sortierung":0,"featured_post":0,"pre_headline":"","bildquelle":"","teasertext":"","language":"de","_evm_translation_lang":"","_wp_old_slug":[],"footnotes":""},"categories":[2235],"tags":[],"class_list":["post-94277","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-digital-business-future","entry"],"evm_reading_time_minutes":16,"wpml_language":"es","wpml_translation_of":89749,"acf":[],"yoast_head":"\nLo esencial en pocas palabras<\/h2>\n
\n
C\u00f3mo se desarrolla en la pr\u00e1ctica un ataque con deepfakes<\/h2>\n
\n– BSI, informe de situaci\u00f3n sobre la seguridad inform\u00e1tica en Alemania 2025<\/cite>\n<\/p><\/blockquote>\nPor qu\u00e9 las empresas medianas est\u00e1n especialmente expuestas<\/h2>\n
El balance de da\u00f1os: cu\u00e1nto cuesta el fraude con deepfakes<\/h2>\n
La cadena de ataque: del perfil de LinkedIn al CFO falsificado<\/h2>\n
Herramientas de detecci\u00f3n: qu\u00e9 ofrece el mercado y qu\u00e9 ayuda de verdad<\/h2>\n
Medidas inmediatas: protocolo de verificaci\u00f3n en 30 minutos<\/h2>\n
Situaci\u00f3n jur\u00eddica: qu\u00e9 dice el derecho penal y qu\u00e9 pueden hacer las empresas<\/h2>\n
Gestionar de forma consciente la presencia digital<\/h2>\n
Conclusi\u00f3n<\/h2>\n
Preguntas frecuentes<\/h2>\n
\u00bfC\u00f3mo reconozco una videollamada deepfake?<\/strong><\/summary>\n
\u00bfCu\u00e1nto material necesitan los atacantes para un deepfake de voz?<\/strong><\/summary>\n
\u00bfCubre mi ciberseguro el fraude con deepfakes?<\/strong><\/summary>\n
\u00bfQu\u00e9 es un protocolo de verificaci\u00f3n?<\/strong><\/summary>\n
\u00bfDebo denunciar un ataque deepfake?<\/strong><\/summary>\n
\u00bfLas peque\u00f1as empresas son realmente objetivo de ataques deepfake?<\/strong><\/summary>\n
Lecturas recomendadas por la redacci\u00f3n<\/h2>\n
\n
M\u00e1s de la red de medios MBF Media<\/h2>\n
\n