Phishing con IA y deepfakes: cómo evitar el fraude

Los delincuentes ya usan inteligencia artificial para escribir correos de phishing sin errores, clonar la voz de un gerente y hasta suplantar a varias personas en una videollamada. El objetivo casi siempre es el mismo: que alguien de tu empresa transfiera dinero o entregue credenciales. La buena noticia es que los controles que más funcionan no son tecnológicos sino de proceso: verificar por un canal independiente y exigir doble aprobación en los pagos.

Qué cambió: phishing con IA, voces clonadas y deepfakes

El fraude del CEO, también llamado compromiso de correo empresarial o BEC (Business Email Compromise), es un engaño en el que el atacante se hace pasar por un directivo, un proveedor o un abogado para conseguir una transferencia o datos. No es nuevo; lo nuevo es la calidad y la escala que permite la IA:

Phishing con IA: mensajes personalizados, en el tono de tu empresa y sin las faltas de ortografía que antes delataban el fraude.
Clonación de voz: un audio o llamada con la voz de tu gerente, generado a partir de grabaciones públicas como entrevistas, videos o notas de voz.
Deepfakes de video: imagen y voz falsas de una persona real en una videollamada o video grabado.

El FBI advirtió en diciembre de 2024 que los criminales usan IA generativa para cometer fraude a mayor escala y hacerlo más creíble, incluyendo videos para videollamadas en tiempo real con supuestos ejecutivos de empresas. Su centro de denuncias IC3 registró en 2025 más de 3,000 millones de dólares en pérdidas reportadas por BEC y más de 22,000 denuncias con referencias a IA.

En Ecuador, medios como Expreso han reportado estafas con voces clonadas de familiares y anuncios falsos con la imagen de figuras públicas ecuatorianas. Dado que WhatsApp es el canal principal de comunicación en muchas empresas del país, un audio o mensaje de "tu jefe" pidiendo un pago urgente es un escenario muy realista.

El caso Arup: una videollamada falsa de 25 millones de dólares

El caso más citado ocurrió en enero de 2024 en la oficina de Hong Kong de Arup, firma británica de ingeniería. Un empleado de finanzas recibió un mensaje que parecía venir del director financiero de la empresa en el Reino Unido, sobre una transacción confidencial. Dudó, pero luego participó en una videollamada donde vio y escuchó al director financiero y a otros colegas. Todos eran deepfakes. Convencido, hizo 15 transferencias a cinco cuentas bancarias por un total de 200 millones de dólares de Hong Kong (unos 25 millones de dólares estadounidenses). Solo descubrió el fraude al consultar después con la casa matriz.

Arup confirmó en mayo de 2024 que se usaron voces e imágenes falsas, y que sus sistemas internos no fueron comprometidos. Esa es la lección clave: no hubo hackeo técnico. El ataque explotó la confianza y la ausencia de una verificación independiente antes de pagar.

Señales de alerta

Urgencia y confidencialidad: "Tiene que salir hoy" y "no lo comentes con nadie" juntos son la firma clásica del fraude.
Cambio de cuenta bancaria: un proveedor "actualiza" sus datos de pago por correo o WhatsApp.
Canal inusual: el gerente escribe desde un número nuevo, un correo personal o un dominio parecido al tuyo.
Saltarse el proceso: piden evitar la aprobación habitual "por esta vez".
Videollamada sin interacción real: participantes que no responden a preguntas imprevistas, movimientos poco naturales, desfase entre labios y audio, o una excusa para no activar la cámara.
Presión emocional o jerárquica: amenazas veladas, halagos o la autoridad del cargo para evitar preguntas.

Importante: la tecnología mejora y las señales visuales serán cada vez menos fiables. No bases tu defensa en que el empleado "detecte" el deepfake; basa en el proceso que obliga a verificar.

Controles de proceso: los que realmente detienen el fraude

Situación	Control
Pedido de transferencia urgente de un directivo	Devolución de llamada a un número conocido y registrado, nunca al que aparece en el mensaje
Cambio de datos bancarios de un proveedor	Confirmación por un canal independiente y periodo de espera antes del primer pago a la nueva cuenta
Pagos sobre un monto definido	Doble aprobación por dos personas distintas en el sistema bancario
Videollamada o audio pidiendo dinero	Palabra clave o pregunta de verificación acordada previamente, y confirmación fuera de la llamada
Cualquier excepción al proceso	Política escrita: nadie, ni el gerente general, puede pedir saltarse la verificación

El FBI recomienda exactamente esto: colgar, buscar el contacto oficial de la persona u organización y llamar directamente. La clave es que la verificación sea "fuera de banda": por un canal que el atacante no controla. Responder al mismo correo o al mismo WhatsApp no verifica nada.

Igual de importante es la cultura: el gerente general debe decir públicamente que nunca se molestará porque alguien verifique una orden suya. Sin ese respaldo, el empleado cede ante la presión.

Controles técnicos que complementan el proceso

SPF, DKIM y DMARC: SPF define qué servidores pueden enviar correo de tu dominio, DKIM firma los mensajes y DMARC le dice al receptor qué hacer con los que fallan (idealmente rechazarlos). Evitan que suplanten tu dominio exacto, aunque no los dominios parecidos.
MFA resistente al phishing: llaves de seguridad FIDO2 o passkeys. CISA advierte que los códigos por SMS, las aplicaciones de códigos y las notificaciones push pueden ser burlados; FIDO no entrega credenciales a un sitio falso. Prioriza finanzas, directivos y administradores.
Filtrado de correo: detección de suplantación, enlaces y adjuntos maliciosos, y una etiqueta visible de "correo externo".
Monitoreo de dominios parecidos al tuyo, para detectar registros sospechosos a tiempo.
Controles bancarios: límites de transferencia, listas de beneficiarios aprobados y alertas en la banca empresarial.
Menor exposición pública: reduce audios y videos innecesarios de directivos en redes, materia prima para clonar voces.

Nuestro servicio de ciberseguridad revisa la configuración de correo, MFA y accesos como parte de una evaluación de seguridad. Si buscas ordenar estos controles en un sistema de gestión, revisa nuestra guía de ISO 27001 para pymes.

Capacitación del personal

La capacitación funciona cuando es específica y práctica. Prioriza a quienes pueden mover dinero o datos: finanzas, tesorería, asistentes de gerencia, compras y recursos humanos.

Muestra ejemplos reales de correos, audios y videos falsos, incluyendo el caso Arup.
Haz simulaciones periódicas de phishing y también de llamadas o audios de WhatsApp, siempre con fines formativos, no punitivos.
Entrena el procedimiento, no solo la detección: "ante cualquier pedido de pago fuera de lo normal, verifico por el número registrado".
Facilita el reporte: un canal simple para avisar de un intento sospechoso, y reconocimiento a quien lo usa.

Qué hacer si tu empresa ya cayó

Llama a tu banco de inmediato para solicitar el bloqueo o reverso de la transferencia. Las primeras horas son decisivas para recuperar fondos.
Preserva la evidencia: correos con encabezados completos, audios, capturas, números de teléfono y comprobantes.
Cambia credenciales y revisa accesos si hubo robo de contraseñas o un buzón comprometido, incluyendo reglas de reenvío creadas por el atacante.
Presenta la denuncia ante la Fiscalía General del Estado.
Evalúa obligaciones legales: si se comprometieron datos personales, la LOPDP puede exigir notificar a la Superintendencia de Protección de Datos Personales. Revisa nuestra guía técnica de la LOPDP.
Analiza la causa y corrige el proceso que permitió el pago.

Lo ideal es tener esto escrito antes de que ocurra: te lo explicamos en nuestra guía de plan de respuesta a incidentes.

Preguntas frecuentes

¿Se puede detectar un deepfake en una videollamada?

A veces hay señales: desfase entre labios y voz, movimientos rígidos, iluminación incoherente o reacciones extrañas a preguntas imprevistas. Pero la calidad mejora rápido y no conviene depender de la detección visual. La defensa fiable es el proceso: cualquier pedido de dinero o datos sensibles se confirma por un canal independiente, como una llamada a un número ya registrado, sin importar lo convincente que parezca la videollamada.

¿Qué es el fraude del CEO?

Es un engaño en el que el delincuente se hace pasar por el gerente general, un directivo, un proveedor o un asesor para que un empleado haga una transferencia urgente o entregue información. Suele combinar urgencia, confidencialidad y autoridad. Con la IA ahora puede incluir correos impecables, audios con la voz clonada del directivo e incluso videollamadas con personas falsas.

¿DMARC evita el phishing?

DMARC, junto con SPF y DKIM, evita que alguien envíe correos haciéndose pasar por tu dominio exacto, siempre que la política esté en modo de cuarentena o rechazo. No evita correos desde dominios parecidos, cuentas gratuitas o el buzón real comprometido de un proveedor. Es un control necesario pero no suficiente: debe combinarse con verificación de pagos y capacitación.

¿Qué hago si un "gerente" me pide una transferencia por WhatsApp?

No respondas por el mismo chat para confirmar. Llama al gerente a su número registrado en la empresa o confirma en persona, y sigue el proceso de aprobación normal aunque te pidan saltarlo. Si resulta falso, reporta el intento a tu área de TI o seguridad para alertar al resto del equipo, porque estos ataques suelen dirigirse a varias personas a la vez.

¿El seguro cubre una transferencia por fraude del CEO?

Depende de la póliza. Algunas pólizas de ciberseguridad o de fraude cubren la ingeniería social, pero muchas lo excluyen o lo limitan a montos bajos, y suelen exigir que existieran controles como la doble aprobación. Revisa la letra pequeña con tu corredor antes de un incidente, no después.

Conclusión

La IA hizo que el fraude por suplantación sea más barato, más creíble y más masivo, pero no cambió su punto débil: necesita que alguien actúe sin verificar. Devolución de llamada a números conocidos, doble aprobación de pagos, palabras clave, MFA resistente al phishing y DMARC bien configurado cierran la mayoría de las puertas, sin necesidad de grandes inversiones.

Si quieres revisar los procesos y controles de tu empresa frente a este tipo de fraude, nuestro servicio de ciberseguridad puede ayudarte. Agenda una consulta gratuita.

Phishing con IA, voces clonadas y deepfakes: cómo proteger a tu empresa del fraude del CEO