- Seguridad
- Fraude
- Inteligencia artificial
Fraude con voz y video falsos: cómo proteger los pagos de su empresa
El FBI incluyó por primera vez la IA en su informe anual de fraude. Cómo funcionan las estafas con voz o video clonados y qué controles frenan una transferencia falsa.
3 min de lectura
“Hola, soy yo. Estoy en una reunión y necesito que hagas una transferencia urgente a este proveedor”. La voz es la de su gerente. O la llamada es por video y ve su cara. Hace unos años eso bastaba para confiar. Hoy ya no.
El FBI ya lo mide
En su informe anual de delitos por internet de 2025, el Centro de Denuncias de Delitos por Internet del FBI (IC3) incluyó por primera vez en casi 25 años una sección dedicada a la inteligencia artificial. Los datos:
- Más de 22.000 denuncias con información relacionada con IA.
- Más de US$893 millones en pérdidas ajustadas asociadas.
- Más de US$30 millones perdidos por empresas en fraudes de compromiso del correo empresarial (BEC) que involucraron IA.
- En total, las pérdidas reportadas al IC3 en 2025 superaron los US$20.000 millones.
El FBI advierte que el contenido sintético generado con IA es cada vez más difícil de detectar y más fácil de producir.
El caso que cambió la conversación
A inicios de 2024, la policía de Hong Kong reveló que un empleado de finanzas de una multinacional había transferido unos US$25 millones después de una videollamada en la que el director financiero y otros colegas eran, en realidad, falsificaciones generadas con IA. La empresa resultó ser la firma de ingeniería Arup. El empleado sospechó al principio, pero ver y escuchar a “sus compañeros” en vivo disipó sus dudas.
Cómo operan estas estafas
- Recolectan información. Nombres, cargos, proveedores y forma de escribir, a partir de redes sociales, sitios web o filtraciones como la reciente en Costa Rica.
- Clonan la voz o la imagen. Unos segundos de audio de un video público o de un mensaje de voz pueden bastar para imitar a alguien.
- Crean urgencia. Un pago “confidencial”, un proveedor que “cambió de cuenta”, una multa que vence hoy.
- Combinan canales. Primero un correo, luego una llamada o un audio de WhatsApp que “confirma” la instrucción.
Controles que sí funcionan
La tecnología para detectar falsificaciones ayuda, pero lo que más protege son procesos simples que no dependen de reconocer una voz:
- Verificación por un canal independiente. Toda solicitud de pago o cambio de cuenta bancaria se confirma llamando a un número que ya estaba registrado, nunca al que viene en el mensaje.
- Doble aprobación. Pagos por encima de cierto monto requieren la firma de dos personas.
- Cambios de cuenta con espera. Un cambio en los datos bancarios de un proveedor se valida y entra en vigor después de un plazo, por ejemplo 48 horas.
- Palabra clave interna para solicitudes urgentes fuera de lo normal.
- Permiso para decir “no”. Deje por escrito que nadie será sancionado por detener un pago para verificarlo, aunque la orden “venga del gerente”.
- Correo protegido. Verificación en dos pasos (idealmente passkeys) y configuración SPF, DKIM y DMARC para que nadie pueda enviar correos haciéndose pasar por su dominio.
- Capacitación con ejemplos actuales, incluyendo audios y videos falsos, para que el equipo sepa que existen.
Una regla para recordar
Si una solicitud combina dinero, urgencia y secreto, deténgase y verifique por otro canal. Ninguna transferencia legítima se arruina por una llamada de confirmación de dos minutos.
Podemos ayudarle a diseñar estos controles, configurar su correo corporativo y capacitar a su equipo con simulacros. Vea concientización y phishing.