La llamada era falsa. La transferencia, real: deepfake, CEO fraud y cómo proteger tu empresa
Imagina que recibes una llamada de tu director general. Su voz es perfectamente reconocible: el mismo tono, el mismo acento, incluso la misma forma de hablar. Te pide que realices una transferencia urgente a una cuenta externa por un importe elevado. Dice que es confidencial, que no puede explicarlo todo ahora y que confía en ti. Tú, por supuesto, ejecutas la orden.
Días después descubres que tu director general nunca hizo esa llamada. Que la voz era una falsificación generada por inteligencia artificial. Que el dinero ha desaparecido. Que has sido víctima de una de las estafas más sofisticadas del siglo XXI: el CEO fraud combinado con tecnología deepfake.
Esto no es ciencia ficción. Es una amenaza real que ya ha costado millones de euros a empresas de todo el mundo, incluidas pymes y organizaciones medianas que creían estar a salvo por no ser grandes corporaciones.
¿Qué es el CEO fraud y por qué ha evolucionado tanto?
El CEO fraud, también conocido como Business Email Compromise (BEC) o fraude del director general, es un tipo de ataque de ingeniería social en el que un ciberdelincuente se hace pasar por un alto directivo de la empresa para engañar a un empleado y conseguir que realice una acción fraudulenta, generalmente una transferencia bancaria o la entrega de información sensible.
Durante años, este tipo de fraude se ejecutaba principalmente a través del correo electrónico: los atacantes falsificaban direcciones de email para que parecieran legítimas. Con el tiempo, las empresas aprendieron a reconocer estos intentos. Pero entonces llegaron los deepfakes de audio y vídeo.
La inteligencia artificial generativa ha transformado completamente el panorama de la ciberseguridad empresarial. Hoy es posible clonar la voz de una persona con tan solo unos minutos de audio disponible públicamente —en entrevistas, podcasts, vídeos corporativos o redes sociales— y usarla para realizar llamadas telefónicas que son prácticamente indistinguibles de la realidad.
Casos reales que debes conocer
No hace falta especular sobre el daño potencial. Los hechos hablan por sí solos:
- En 2019, una empresa energética del Reino Unido perdió 220.000 euros tras recibir una llamada de quien creían era su CEO, solicitando una transferencia urgente. La voz había sido generada con inteligencia artificial.
- En 2020, una firma de inversión en Hong Kong fue defraudada por 35 millones de dólares después de que los empleados recibieran llamadas de alguien que imitaba perfectamente la voz del director.
- Más recientemente, en 2024, un empleado de una multinacional en Hong Kong realizó una transferencia de 25 millones de dólares tras participar en una videollamada con imágenes deepfake de varios supuestos directivos de la empresa.
Estos no son casos aislados. Son ejemplos de una tendencia que crece exponencialmente a medida que la tecnología es más accesible y los atacantes más hábiles.
¿Cómo funciona un ataque de CEO fraud con deepfake?
Comprender la mecánica del ataque es el primer paso para defenderse. El proceso típico sigue estas fases:
- Reconocimiento: Los atacantes investigan a la empresa, identifican a empleados con acceso a fondos o información sensible, y recopilan material de audio y vídeo del directivo que van a suplantar.
- Preparación: Utilizan herramientas de inteligencia artificial para clonar la voz o crear un vídeo deepfake del directivo.
- Ataque: Contactan al empleado objetivo mediante llamada telefónica, videollamada o mensajes de voz, haciéndose pasar por el CEO u otro alto cargo.
- Presión psicológica: Crean un sentido de urgencia y confidencialidad para evitar que el empleado consulte con otras personas o siga los protocolos habituales.
- Ejecución: El empleado realiza la transferencia o entrega la información solicitada antes de que nadie detecte el fraude.
Las señales de alerta que no debes ignorar
Aunque los deepfakes son cada vez más convincentes, existen indicios que pueden ayudarte a detectar un intento de fraude:
- Urgencia inusual: Las solicitudes legítimas rara vez requieren acción inmediata sin posibilidad de verificación.
- Confidencialidad extrema: Si te piden que no comentes la solicitud con nadie, es una señal de alarma.
- Canales inusuales: Una llamada de un número desconocido o desde un número diferente al habitual del directivo.
- Solicitudes fuera de lo normal: Transferencias a cuentas nuevas, pagos urgentes a proveedores desconocidos o peticiones de datos confidenciales.
- Pequeñas imperfecciones en el audio o vídeo: Pausas extrañas, sincronización labial imperfecta, calidad de audio inconsistente.
Cómo proteger tu empresa del CEO fraud y los deepfakes
La buena noticia es que existen medidas concretas y eficaces para reducir significativamente el riesgo. La protección no depende únicamente de la tecnología: la formación humana es el factor más determinante.
1. Establece protocolos de verificación robustos
Implementa procedimientos obligatorios de doble verificación para cualquier transferencia económica superior a un umbral determinado. Esto puede incluir confirmación por un segundo canal (por ejemplo, si la solicitud llega por teléfono, verificar por email o en persona), aprobación de al menos dos personas o llamadas de retorno al número oficial del directivo —no al que aparece en la llamada entrante—.
2. Crea una cultura de ciberseguridad en tu organización
El eslabón más vulnerable en cualquier empresa es el humano. Un empleado bien formado que conoce las técnicas de ingeniería social es infinitamente más valioso que el mejor software de seguridad. La formación continua en ciberseguridad debe ser una prioridad estratégica, no una actividad puntual.
Es fundamental que todos los empleados, independientemente de su nivel jerárquico, comprendan cómo funcionan estos ataques y sepan cómo reaccionar ante situaciones sospechosas sin miedo a las consecuencias de cuestionar una orden aparente de un superior.
3. Implementa tecnología de detección de deepfakes
Existen herramientas tecnológicas especializadas en detectar contenido generado por inteligencia artificial. Aunque ninguna solución es infalible, combinar estas herramientas con protocolos humanos reduce enormemente el riesgo de éxito de los atacantes.
4. Define palabras o códigos de verificación internos
Una táctica sencilla pero muy eficaz: establecer palabras clave o preguntas de seguridad que solo los empleados legítimos conocen. Si alguien que dice ser el CEO no puede proporcionar la palabra acordada, la solicitud no debe ejecutarse.
5. Limita la exposición pública de voz y vídeo de directivos
Aunque no siempre es posible, reducir la cantidad de material de audio y vídeo disponible públicamente de los directivos dificulta la clonación de su voz o imagen. Revisa qué contenido existe en redes sociales, YouTube, podcasts y otros canales.
6. Realiza simulacros de ataques
Del mismo modo que se realizan simulacros de incendio, las empresas deben practicar respuestas a intentos de phishing, vishing y CEO fraud. Estas simulaciones ayudan a los empleados a reconocer las señales de alerta en un entorno seguro y sin consecuencias reales.
El papel estratégico de la formación en ciberseguridad
Las empresas que invierten en formación especializada en ciberseguridad son significativamente más resilientes frente a este tipo de amenazas. No se trata únicamente de enseñar a los empleados a reconocer emails sospechosos: la formación moderna aborda escenarios complejos como el CEO fraud con deepfake, la ingeniería social avanzada y los ataques de vishing.
Una plantilla formada y concienciada actúa como una primera línea de defensa real. Cuando un empleado sabe que debe verificar una solicitud inusual, cuando no siente presión para actuar sin consultar, cuando reconoce las señales de un ataque en curso, la empresa está protegida de una manera que ninguna herramienta tecnológica puede garantizar por sí sola.
Si quieres dar ese paso y dotar a tu equipo de los conocimientos necesarios para enfrentarse a las amenazas del presente y del futuro, te invitamos a conocer nuestro programa de formación en ciberseguridad. Diseñado para empresas de todos los tamaños, combina teoría, práctica y simulacros reales para crear una cultura de seguridad sólida y duradera.
Conclusión: la seguridad empieza por las personas
La tecnología deepfake ha elevado el CEO fraud a un nivel de sofisticación sin precedentes. Las voces son indistinguibles. Los vídeos son convincentes. Y los atacantes son cada vez más pacientes, metódicos y creativos.
Pero la respuesta también está en las personas. Un empleado formado, un protocolo claro y una cultura de seguridad compartida pueden marcar la diferencia entre una empresa que detecta el intento a tiempo y una que lamenta haber transferido fondos a una cuenta que nunca debería haber recibido ese dinero.
La llamada era falsa. La transferencia, real. No dejes que esto le ocurra a tu empresa. Actúa antes de que lo hagan ellos.
