Deepfakes Financieros: Cómo Clonan tu Voz y tu Rostro para Vaciar tu Cuenta

Durante años, el reconocimiento facial y la verificación por voz se vendieron como el futuro seguro de la autenticación — algo que, a diferencia de una contraseña, no se puede simplemente robar o adivinar. Esa promesa ya no es tan sólida. Con pocas fotos de redes sociales y algunos segundos de audio público, la tecnología de deepfakes actual puede generar video y voz sintéticos lo suficientemente convincentes como para engañar tanto a sistemas automatizados de verificación de identidad como a personas reales en una llamada.

Los deepfakes usan modelos de inteligencia artificial entrenados con muestras reales de la voz o el rostro de una persona — entre más muestras disponibles públicamente, más convincente resulta el resultado sintético. Una cuenta de redes sociales activa, con fotos y videos suficientes, le da a un atacante todo el material que necesita para entrenar un modelo capaz de generar nuevo contenido: videos donde la persona "dice" algo que nunca dijo, o llamadas donde su voz clonada da instrucciones que nunca dio.

Nuestra guía sobre SIM Swapping en Colombia ya documentó cómo esta tecnología se usa específicamente para burlar los sistemas de prueba de vida (liveness detection) de billeteras digitales como Nequi, generando videos sintéticos con movimientos oculares y faciales que engañan la verificación biométrica después de que el atacante ya tomó control del número de teléfono de la víctima.

El mismo principio se aplica, con consecuencias potencialmente mayores, en el contexto corporativo. Una voz clonada del gerente general dando instrucciones "urgentes" por teléfono es una evolución directa del fraude del CEO — ya no se trata solo de un correo bien redactado, sino de una llamada donde la voz suena exactamente como la de la persona real, con las inflexiones y el tono que un empleado reconocería de inmediato en circunstancias normales.

Casos documentados a nivel internacional ya muestran empresas que han transferido montos significativos después de instrucciones dadas por videollamada, donde todos los participantes visibles excepto la víctima eran generados por inteligencia artificial.

Los deepfakes de alta calidad ya no presentan las señales visuales obvias de generaciones anteriores — parpadeo poco natural, bordes borrosos alrededor del rostro, sincronización labial imperfecta. Los modelos actuales corrigen la mayoría de estos defectos, especialmente en clips cortos o en condiciones de conexión con calidad reducida, donde las imperfecciones se camuflan naturalmente en la compresión de video.

Establece una palabra o frase de verificación acordada previamente con familiares o colegas clave, para usar en cualquier solicitud inusual de dinero o información sensible por llamada o videollamada — algo que un deepfake no podría conocer de antemano.

Verifica siempre por un canal completamente distinto al de la solicitud original. Si la instrucción llega por videollamada, confirma por mensaje de texto a un número ya conocido, o viceversa — nunca uses el mismo canal donde llegó la solicitud sospechosa.

Desconfía de la urgencia extrema combinada con solicitudes de confidencialidad, el mismo patrón psicológico que domina el BEC tradicional, ahora potenciado por una capa adicional de credibilidad audiovisual.

No confíes únicamente en la prueba de vida biométrica para transacciones de alto valor. Combínala con verificación adicional fuera de banda, especialmente en empresas que manejan transferencias significativas.

En empresas, limita la cantidad de contenido de audio y video público de ejecutivos con autoridad financiera, cuando sea razonablemente posible, reduciendo el material disponible para entrenar un modelo de clonación.