Deepfakes de Voz en Estafas Corporativas: El Nuevo Fraude del CEO

Un empleado de finanzas recibe una llamada. La voz al otro lado suena exactamente como la del director financiero de la empresa — el mismo tono, el mismo acento, hasta la misma forma particular de hacer pausas al hablar. Pide una transferencia urgente, con la autoridad natural de quien lo ha hecho cientos de veces antes. Todo suena perfectamente normal, excepto que no es el director financiero — es una voz sintética generada con segundos de audio público de conferencias, entrevistas, o videos corporativos donde el verdadero ejecutivo habló alguna vez.

Ya exploramos en nuestra guía sobre fraude del CEO / BEC por qué este tipo de estafa funciona explotando autoridad y urgencia. Los deepfakes de voz añaden una capa de credibilidad que un correo de texto, sin importar qué tan bien redactado esté, nunca podría igualar — escuchar la voz reconocible de tu jefe activa un nivel de confianza automática y casi instintiva que el cerebro humano no está bien equipado para cuestionar en el momento, especialmente bajo la presión de una solicitud urgente.

La tecnología actual de clonación de voz requiere sorprendentemente poco material fuente — a veces solo segundos de audio real de la persona hablando son suficientes para entrenar un modelo capaz de generar nuevo audio sintético que replica no solo el tono y timbre de voz, sino también patrones de habla característicos, acento, y cadencia. Ejecutivos con presencia pública — conferencias grabadas, entrevistas, videos corporativos, incluso publicaciones en redes sociales con audio — proporcionan exactamente el material fuente que esta tecnología necesita.

Instrucciones de transferencia urgente por llamada telefónica, donde la voz clonada del CEO o CFO solicita directamente una transferencia, a menudo combinada con la misma presión de urgencia y confidencialidad que caracteriza al fraude del CEO tradicional.

Videollamadas con participantes sintéticos, casos documentados internacionalmente donde múltiples participantes visibles en una videollamada corporativa —incluyendo ejecutivos reconocibles— fueron completamente generados por IA, engañando a la víctima para que autorizara transferencias significativas.

Mensajes de voz que refuerzan solicitudes hechas por correo, donde el deepfake se usa como capa adicional de "verificación" para dar credibilidad a una solicitud fraudulenta que de otra forma podría generar sospecha.

La buena noticia es que las defensas efectivas contra esta variante potenciada por IA son, en gran medida, las mismas que ya cubrimos en nuestra guía sobre fraude del CEO: verificación fuera de banda obligatoria, nunca por el mismo canal donde llegó la solicitud sospechosa. Si la instrucción llegó por llamada telefónica, verificarla por mensaje de texto a un número ya conocido, o en persona — nunca confirmando de vuelta al mismo número desde el que supuestamente llamó el ejecutivo.

Establecer una palabra o frase de verificación acordada previamente con ejecutivos clave y el equipo financiero, específicamente para usar en cualquier solicitud inusual de transferencia por voz o video — algo que un deepfake generado a partir de material público no podría conocer.

Doble aprobación obligatoria para transferencias significativas, sin excepción basada en la aparente autoridad o urgencia de quien solicita, sin importar cuán convincente suene la voz.

Capacitación específica sobre esta amenaza emergente para el personal financiero, actualizando la conciencia de que "escuchar la voz correcta" ya no es una verificación suficiente por sí sola.

Considerar limitar la disponibilidad pública de audio y video de ejecutivos con autoridad financiera significativa, cuando sea razonablemente posible, reduciendo el material disponible para entrenar un modelo de clonación de voz.

La tecnología de clonación de voz continúa mejorando en calidad mientras se vuelve más accesible y económica de usar, lo que significa que este vector de ataque probablemente se volverá más común, no menos, con el tiempo. Las empresas que actualicen sus procesos de verificación ahora, en lugar de esperar a ser víctimas primero, están mejor posicionadas frente a esta tendencia.

En Colombia, además, cambió el marco penal: vea la ley de deepfakes en Colombia. Para entrenar al equipo con llamadas, no solo con correos, conozca el programa de concientización en ciberseguridad y lea vishing y deepfakes: el fraude por voz.