Deepfakes y fraude con IA: la nueva cara (y voz) de la suplantación

Hasta hace poco, para suplantar a alguien un estafador solo podía imitar su forma de escribir. Hoy, con la inteligencia artificial al alcance de cualquiera, puede clonar su voz a partir de unos segundos de audio e incluso recrear su rostro en una videollamada. El fraude de suplantación acaba de subir de nivel, y las empresas son el objetivo natural.

Qué es un deepfake

Un deepfake es contenido —audio, imagen o vídeo— generado o manipulado por IA para que parezca real. Aplicado al fraude, significa que la "voz del director" que te pide una transferencia urgente por teléfono puede no ser el director, sino una imitación sintética indistinguible del original. La prueba en la que más confiamos —reconocer una voz o una cara— ha dejado de ser fiable.

Cómo se usa contra las empresas

El caso más habitual es una evolución del fraude del CEO: en lugar de un correo, el empleado recibe una llamada con la voz clonada de un directivo, o incluso una videollamada, ordenando un pago urgente y confidencial. La presión emocional de "oír" a tu jefe hace que muchos protocolos se salten. Ya hay casos de empresas que han perdido cifras enormes por este método.

La defensa no es tecnológica, es de proceso

Aquí está la clave: aunque la falsificación sea perfecta, el fraude necesita que hagas algo —pagar, dar un dato, un acceso—. Un protocolo firme para esas acciones neutraliza el mejor deepfake: ninguna transferencia ni cambio sensible se ejecuta solo porque alguien lo pida por voz o vídeo, por convincente que suene. Siempre una verificación por un canal independiente y previamente acordado.

Palabras clave y dobles confirmaciones

Algunas empresas usan una palabra o pregunta de seguridad acordada para operaciones críticas, algo que un impostor no puede saber. Combinado con la confirmación por segundo canal, hace inútil la suplantación por muy realista que sea.

Cuando el engaño busca acceso

No todo fraude con IA busca un pago directo; a veces persigue credenciales o accesos. Detectar el uso indebido de una cuenta después de un intento de suplantación depende de vigilar lo que ocurre en tus sistemas, no de haber reconocido la voz.