Durante casi una década, la palabra que hacía sudar frío a cualquier directivo era «ransomware». Bastaba mencionarla en una junta directiva para que la conversación girara hacia copias de seguridad, seguros cibernéticos y planes de continuidad. Ese reflejo empieza a cambiar. Según el informe Global Cybersecurity Outlook 2026 del Foro Económico Mundial, elaborado junto con Accenture, el fraude cibernético ya superó al ransomware como la principal preocupación de los directores ejecutivos a nivel global. No es que el secuestro de datos haya dejado de ser una amenaza real —los CISO siguen citándolo entre sus mayores desvelos—, sino que algo distinto empezó a robarle protagonismo en la sala de juntas.
Ese «algo» tiene nombre propio: fraude potenciado por inteligencia artificial generativa. Voces clonadas con apenas tres segundos de audio, videollamadas donde el rostro del jefe es en realidad una máscara digital, identidades sintéticas capaces de superar verificaciones biométricas. La tecnología que hace un par de años servía para crear videos virales hoy se usa para ordenar transferencias millonarias con el mismo tono de voz, las mismas muletillas y hasta la misma tos de un director financiero real.
Un cambio de prioridades que ya se refleja en las cifras
El giro no es una impresión subjetiva de los analistas: los propios ejecutivos lo están diciendo. Según el mismo informe del Foro Económico Mundial, el 94% de los encuestados considera que la inteligencia artificial será el principal motor de cambio en ciberseguridad este año, y el temor a filtraciones vinculadas al uso de IA generativa (34%) ya supera a la preocupación por sus capacidades maliciosas directas (29%), una relación que en 2025 estaba invertida. El fraude habilitado por medios cibernéticos se convirtió en la inquietud número uno de los CEO, mientras que los CISO —los responsables técnicos de seguridad— continúan poniendo el ransomware y la resiliencia de la cadena de suministro en el centro de su radar. Esa brecha entre lo que preocupa a la sala de juntas y lo que preocupa a los equipos técnicos es, en sí misma, uno de los datos más reveladores del año.
Cómo funciona el fraude con voz e imagen clonadas
El mecanismo detrás de estos ataques no requiere infraestructura sofisticada. Herramientas comerciales de clonación de voz, algunas disponibles por apenas unos dólares al mes, pueden generar una réplica convincente a partir de entre tres y diez segundos de audio. Ese material suele obtenerse de fuentes completamente públicas: una charla en LinkedIn, un podcast, un video corporativo, una intervención en una conferencia. Cuanta más presencia pública tiene un directivo, más «entrenable» resulta su voz para un atacante.
El patrón típico combina varias capas de engaño. Primero, un correo aparentemente enviado por un directivo anticipa una llamada urgente. Después llega la llamada, con la voz clonada, pidiendo autorizar un pago o compartir información sensible bajo presión de tiempo. En los casos más elaborados, la videollamada incorpora también el rostro, mediante herramientas de intercambio facial en tiempo real. Para la persona que recibe la instrucción, no hay ninguna señal evidente de alarma: la voz suena igual, el tono es el habitual, y la urgencia —una adquisición confidencial, un problema de conexión, una reunión que no admite demora— ofrece una excusa perfecta para saltarse los protocolos.
El caso que marcó un antes y un después
El episodio más citado por la industria ocurrió en Hong Kong en febrero de 2024, cuando un empleado del área financiera de una multinacional autorizó quince transferencias por un total de 25 millones de dólares tras participar en una videoconferencia con quienes creyó que eran varios directivos de la compañía. Todos los participantes, salvo el propio empleado, eran recreaciones generadas con inteligencia artificial. El caso demostró que ni siquiera una reunión con múltiples asistentes garantiza autenticidad, y se convirtió en referencia obligada en cualquier análisis sobre fraude corporativo con IA.
No fue un hecho aislado. Reportes posteriores documentan transferencias fraudulentas de cientos de miles de euros en distintas empresas europeas durante 2026, así como intentos frustrados gracias a la simple curiosidad de un ejecutivo que, ante la sospecha, hizo una pregunta que solo el verdadero directivo podría responder.
El tamaño real del problema
Las cifras disponibles, aunque provienen de distintas fuentes privadas y no de un único registro global, apuntan en la misma dirección. Según datos de la consultora IRONSCALES, más de la mitad de las empresas medianas y grandes del sector tecnológico sufrieron pérdidas financieras atribuibles a deepfakes o fraude de voz con IA en los últimos doce meses, con una pérdida promedio superior a los 280.000 dólares por incidente. El sector financiero y las fintech resultan especialmente afectados, con pérdidas promedio que en algunos informes superan los 600.000 dólares por caso. En Estados Unidos, las pérdidas asociadas a fraude con deepfakes llegaron a 1.100 millones de dólares en 2025, triplicando la cifra del año anterior, de acuerdo con reportes recientes del sector. El FBI, por su parte, atribuye a las estafas de suplantación de ejecutivos —conocidas como Business Email Compromise— pérdidas por 2.770 millones de dólares solo en territorio estadounidense durante 2024.
No es un problema exclusivo de las grandes corporaciones
Aunque los casos más mediáticos involucran a multinacionales, los especialistas insisten en que ninguna empresa está exenta por su tamaño. Las pequeñas y medianas empresas suelen tener procesos de autorización de pagos menos rígidos y equipos financieros más reducidos, lo que en algunos casos las vuelve un objetivo igual de atractivo. Y el fenómeno no se limita al entorno corporativo: la Comisión Federal de Comercio de Estados Unidos reportó pérdidas de 3.500 millones de dólares durante 2025 por estafas de suplantación de identidad dirigidas a consumidores, muchas de ellas basadas en llamadas de supuestos familiares en apuros que en realidad eran voces clonadas.
Por qué la detección se volvió tan difícil
Durante años, ciertos indicios ayudaban a identificar un fraude telefónico: voces robóticas, pausas artificiales, pronunciación forzada. Esa ventaja se erosionó con rapidez. Especialistas en medios sintéticos coinciden en que la mayoría de las personas ya no puede distinguir de forma confiable una voz auténtica de una generada artificialmente, y los sistemas de clonación en tiempo real permiten mantener conversaciones fluidas, responder preguntas imprevistas e improvisar excusas ante fallos técnicos del audio.
Qué está haciendo el marco regulatorio
La regulación europea empieza a moverse en esta dirección. El Reglamento de IA de la Unión Europea establece, a partir de agosto de 2026, obligaciones de etiquetado para contenido sintético generado por sistemas de inteligencia artificial. En la práctica, esa norma no impide que un atacante fabrique un deepfake —los delincuentes no van a cumplir voluntariamente la ley—, pero sí ofrece a las empresas y a los investigadores forenses una base legal y técnica para demostrar, una vez detectado el fraude, que un contenido concreto fue generado artificialmente.
Medidas de prevención que funcionan
Los expertos coinciden en que la respuesta más eficaz no es tecnológica, sino de proceso. El principio de los cuatro ojos —ninguna transferencia relevante debe depender de la autorización de una sola persona—, la verificación mediante un canal distinto al que llegó la solicitud (una llamada de retorno a un número ya conocido, no al que ofrece quien llama) y la confirmación fuera de banda logran detener, según estimaciones del sector, entre el 85% y el 95% de los intentos de fraude con deepfakes. A esto se suma el establecimiento de palabras clave o frases de seguridad para operaciones de alto riesgo, la autenticación de correo electrónico mediante DMARC, DKIM y SPF para dificultar la suplantación de remitentes, y la reducción deliberada del material audiovisual público de los directivos con mayor capacidad de autorizar pagos.
La formación del personal financiero también resulta determinante. Conocer que este tipo de ataques existe, cómo suenan y qué señales de alerta suelen acompañarlos —urgencia inusual, resistencia a seguir el protocolo habitual, ruidos de fondo que no encajan con la ubicación que dice tener el interlocutor— reduce de forma notable la probabilidad de que un empleado ejecute una orden fraudulenta.
Lo que viene
Los organismos de seguridad europeos ya advierten que la próxima frontera no son las llamadas telefónicas, sino las videollamadas corporativas completas, sostenidas en tiempo real y con múltiples participantes falsos, como ocurrió en el caso de Hong Kong. A medida que las herramientas de generación de voz e imagen se abaraten y se vuelvan más accesibles, es previsible que el volumen de intentos crezca, incluso si la tasa de éxito por ataque se mantiene estable o disminuye gracias a mejores protocolos de verificación.
Lo que queda claro tras revisar los informes ejecutivos de este año es que el centro de gravedad de la ciberseguridad corporativa se movió. Ya no basta con proteger servidores y cifrar copias de seguridad: hay que enseñarle a un ser humano, en cuestión de segundos, a desconfiar de una voz que suena exactamente como la de su jefe. Esa es la paradoja incómoda del fraude con inteligencia artificial: la tecnología que lo hace posible avanza más rápido que la capacidad de las personas para adaptarse a un mundo donde escuchar y ver ya no equivale a creer.
Deja una respuesta