El fraude de videoconferencia mediante deepfake consiste en una estafa en la que un falso directivo, a menudo un director financiero o un presidente, aparece en una videoconferencia para que se autorice una transferencia. El riesgo ya no es teórico: los casos confirmados ya han supuesto pérdidas de decenas de millones. Para una pyme, la mejor defensa no es una herramienta milagrosa, sino un procedimiento sencillo: verificación independiente, doble validación y límites de pago.
Fraude mediante videoconferencias con deepfakes: qué ha cambiado
El fraude del «presidente» existe desde hace mucho tiempo. INTERPOL lo describió ya en 2019 como una forme de ingeniería social, es decir, una manipulación psicológica destinada a incitar a un empleado a transferir dinero. La novedad es que el correo electrónico fraudulento ya no viene solo: puede ir acompañado de una voz clonada, un rostro sintético y una videoconferencia creíble.
El caso más citado sigue siendo el revelado por la policía de Hong Kong en febrero de 2024. Un empleado de una multinacional participó en una videoconferencia en la que figuraban un falso director financiero y otros participantes falsos. El resultado: 15 transferencias a 5 cuentas bancarias locales, por un importe de 200 millones de dólares de Hong Kong, lo que equivale a unos 25,6 millones de dólares estadounidenses.
En mayo de 2024, Arup confirmó que era la empresa afectada por este fraude, al tiempo que precisó que el incidente no había afectado a su estabilidad financiera ni a sus operaciones. Este detalle es importante. Las grandes empresas a veces pueden absorber el golpe. Una pyme, en cambio, puede perder su tesorería, no poder pagar las nóminas o ver bloqueada una inversión en cuestión de horas.
El FBI clasifica este tipo de ataque como «Business Email Compromise» (BEC): estafas en las que se suplantan la identidad de una empresa o de un directivo para solicitar una transferencia. En septiembre de 2024, el IC3, el centro de denuncias del FBI, señalaba que las pérdidas declaradas relacionadas con el BEC a nivel mundial ascendían a más de 55 400 millones de dólares. Por lo tanto, el vídeo no sustituye a la estafa clásica, sino que la hace más convincente.
¿Por qué la videoconferencia hace que la estafa resulte más creíble?
Una videoconferencia genera una sensación de confianza. Vemos un rostro, oímos una voz, reconocemos un tono, a veces incluso una entonación. Muchos directivos han aprendido a desconfiar de un correo electrónico sospechoso; muchos menos, de una orden dada por videoconferencia por alguien que se parece al presidente del grupo.
Las herramientas de inteligencia artificial generativa permiten hoy en día crear o manipular imágenes, voces y comportamientos. La CNIL habla de «hipermanipulación»: la reproducción de un rostro, una voz o una actitud con el fin de suplantar una identidad. El peligro no es solo técnico. Proviene sobre todo del contexto: la urgencia, la confidencialidad y la autoridad jerárquica.
Un escenario típico se resume en unas pocas líneas. Un responsable financiero recibe un mensaje preliminar, a menudo procedente de una dirección similar a la de originale o de una cuenta comprometida. Se le pide que se una a una reunión por Zoom, Microsoft Teams o Google Meet. Un falso directivo le explica que una adquisición, un litigio o una operación delicada requiere una transferencia urgente.
En los proyectos que llevamos a cabo, a menudo observamos el mismo enfoque por parte de las pymes: la seguridad se considera un tema técnico, mientras que el fraude del presidente es, por naturaleza, un tema organizativo. Incluso con una página web bien protegida, un correo electrónico seguro y una autenticación rorta, un colabororador puede ceder si el procedimiento de pago depende de una sola persona sometida a presión. En cuanto a los riesgos relacionados con las aplicaciones, existe la misma lógica de control desde el punto de vista técnico, especialmente en la protección de las API expuestas.
¿Cómo detectar un deepfake en una videollamada?
Hay que ser sinceros: pedir a un empleado que «detecte» un deepfake a simple vista no es suficiente. Los defectos visuales existen, pero varían en función de la calidad de la conexión, la compresión del vídeo y la iluminación. Que una persona parpadee poco no prueba nada. Tampoco lo hace una imagen fija.
Sin embargo, hay ciertas señales que deben hacer saltar las alarmas. Una solicitud inusual de transferencia bancaria, la negativa a utilizar los medios habituales, la insistencia en mantener el secreto o la imposibilidad repentina de devolver la llamada a la persona a su número conocido son indicios más fiables que el análisis facial. A menudo, el mejor indicador sigue siendo el incumplimiento del procedimiento.
- La reunión se organiza desde una cuenta desconocida o a través de un enlace recibido fuera del canal habitual.
- El directivo se niega a devolver una llamada al número que ya figura en la guía interna.
- La solicitud porte se refiere a un importe, un beneficiario o un país inusual.
- La validación debe realizarse «de inmediato», y está prohibido hablar de ello con el equipo.
- La voz o las respuestas parecen estar ligeramente desincronizadas, sobre todo en el caso de preguntas concretas.
La Banque Postale citó en 2026 un caso descrito por la DGSI: el responsable de una planta industrial francesa habría recibido una videoconferencia de una persona que se hacía pasar por el director general del grupo, intento que posteriormente se identificó como un fraude al presidente mediante deepfake. Este tipo de casos demuestra que el objetivo no es únicamente la dirección financiera. Un responsable de planta, un jefe de oficina o un asistente de dirección pueden convertirse en el punto de entrada.
¿Cómo protegerse del fraude del «presidente»?
La norma más eficaz es sencilla: cualquier solicitud inusual de dinero o de datos sensibles debe verificarse a través de otro canal. La CNIL recomienda en 2026 realizar una llamada directa o enviar un mensaje por separado. El FBI también aconseja confirmar las solicitudes de transferencia por teléfono, utilizando un número ya conocido, nunca el número facilitado en la solicitud.
Esta precisión puede parecer meramente administrativa, pero es decisiva. Si el estafador te da el número al que debes llamar, también controla la verificación. Con este presupuesto, es mejor invertir en un procedimiento por escrito y una breve formación que en un software caro que nadie utiliza cuando surge una emergencia.
Una pyme puede poner en marcha una defensa cordirecta en unas pocas semanas. No hace falta convertir la empresa en un búnker. Lo más importante es impedir que una sola persona pueda decidir realizar una transferencia impor tras una única interacción y a través de un único canal.
| Medida | Plazo realista | Coste indicativo en Francia | Beneficio principal |
|---|---|---|---|
| Procedimiento de devolución de llamada a un número conocido | 1 à 3 jours | Tiempo interno | Bloquea la prioridad de las solicitudes fraudulentas urgentes |
| Doble validación de las transferencias sensibles | 1 a 2 semanas | Tiempo interno; en ocasiones, configuración bancaria | Reduce el riesgo de que se tomen decisiones de forma aislada |
| Formación breve en finanzas, gestión y asistencia | 2 à 4 semanas | Entre unos 800 y 3 000 €, dependiendo del proveedor y del número de empleados | Desarrolla los hábitos adecuados para afrontar la presión |
| Autenticación forte en el correo electrónico y otras herramientas | 1 a 3 semanas | Incluye Microsoft 365/Google Workspace o un proyecto de entre 1 000 y 5 000 € aproximadamente | Limita el riesgo de que se vean comprometidas las cuentas internas |
| Prueba de crisis o simulación BEC | 3 a 6 semanas | Entre unos 2.000 y 8.000 € para una pyme | Comprueba que el procedimiento sea viable en una situación real |
La contraseña sigue siendo un punto débil, sobre todo cuando se utiliza el correo electrónico para preparar la estafa. Los passkeys, o claves de acceso sin contraseña, cobran relevancia para determinados accesos sensibles; sustituyen la contraseña memorizada por una prueba criptográfica. Para comprender el equilibrio entre seguridad y comodidad, puedes leer esta guía sobre las contraseñas para una página web, ya que la lógica es la misma: reducir lo que se pueda robar o reutilizar.
Sinceramente, una herramienta de detección automática de deepfakes solo se justifica si tu nivel de exposición es elevado: directivos muy visibles, transferencias internacionales frecuentes, equipos dispersos, operaciones confidenciales. Para una pyme convencional, las prioridades son otras: derechos bancarios, autorización doble, registro de decisiones y sensibilización específica.
Presupuesto, plazos y arbitrajes para una pyme
La primera decisión consiste en no tratar a todos los colaboradores de la misma manera. Formar a 120 personas con el mismo módulo genérico resulta caro y diluye el mensaje. Es mejor empezar por las personas que pueden iniciar, validar o influir en un pago: dirección, finanzas, compras, asistencia y responsables de centros.
Una definición rigurosa suele llevar entre medio día y dos días: trazar un mapa de los flujos de pago, identificar las cuentas bancarias utilizadas, enumerar las excepciones recurrentes y comprobar quién puede validar qué. A continuación, las normas deben ser breves. Tres páginas que nadie lee. Una ficha operativa, expuesta e integrada en el proceso bancario, funciona mejor.
Por parte de la agencia, lo habitual es vincular este procedimiento a las herramientas existentes en lugar de añadir una capa abstracta. Directorio interno, correo electrónico de Microsoft 365 o Google Workspace, SSO (inicio de sesión centralizado), gestión de derechos, conservación de pruebas: todo ello debe formar parte de un mismo sistema. En una aplicación móvil profesión, por ejemplo, la Lista de comprobación de seguridad antes de la publicación ya ayuda a plantearse las validaciones y los accesos sensibles.
La trampa en la que suelen caer los que no son expertos en tecnología: el ataque no empieza necesariamente con el vídeo. A veces comienza semanas antes, con la observación. LinkedIn proporciona los organigramas, los comunicados de prensa revelan las adquisiciones, las firmas de los correos electrónicos facilitan los números directos y un buzón de correo electrónico comprometido permite conocer el tono exacto de las comunicaciones internas.
Una tecnología útil, pero con procedimientos poco eficaces
Las soluciones técnicas tienen su lugar. Cloudflare puede reducir ciertos riesgos relacionados con el acceso a la web; Microsoft Entra ID o Google Workspace permiten imponer la autenticación multifactorial, y los bancos ofrecen flujos de validación work. Pero ninguna tecnología debe autorizar una excepción verbal dictada en una videoconferencia.
Una buena arquitectura de seguridad respalda el procedimiento, pero no lo sustituye. Los registros de conexión, las alertas sobre conexiones inusuales, las restricciones geográficas o las claves de seguridad FIDO2 proporcionan indicios antes de que se produzca el fraude. Si tu proyecto digital incluye extranets, portales de clientes o aplicaciones internas, la autenticación debe tenerse en cuenta desde la fase de diseño, no añadirse tras producirse un incidente.
Le RGPD también sigue siendo relevante en este ámbito. Un deepfake puede utilizarse para obtener datos personales: listas de empleados, datos bancarios, copias de documentos de identidad, archivos de clientes. En cuanto se produzca una filtración de datos personales, la empresa debe evaluar el riesgo y, según el caso, notificarlo a la CNIL en los plazos previstos por el reglamento europeo vigente desde 2018.
Por último, lleva un registro de los rechazos. Si un colaborador interrumpe una transferencia sospechosa, no se trata de un exceso de precaución: es un logro que hay que valorar. Las organizaciones que sancionan las demoras crean, sin quererlo, las condiciones perfectas para que se produzca un fraude rápido.
¿Qué hay que hacer tras un intento de fraude o una transferencia fraudulenta?
La reacción debe ser inmediata. Avisa al banco, solicita la congelación o la recuperación de los fondos y conserva toda la documentación disponible: invitaciones a reuniones, correos electrónicos, capturas de pantalla, números de teléfono de las llamadas, fechas, direcciones IP si están disponibles. Cada hora cuenta.
Además, evita limpiar demasiado rápido. Borrar los mensajes o restablecer todas las cuentas sin seguir un método adecuado puede hacer que desaparezcan pruebas útiles. Un proveedor de ciberseguridad o su equipo informático debe, en primer lugar, aislar las cuentas sospechosas, comprobar las reglas de reenvío automático en el correo electrónico y buscar otras conexiones anómalas.
Es necesario presentar una denuncia y notificarlo a las autoridades competentes. Las empresas que operan con socios internacionales también deben informar a los beneficiarios y a los bancos corresponsales. Al mismo tiempo, hay que comunicar la situación internamente sin dramatizar: recordar el procedimiento, explicar la situación y dejar claro que, en caso de duda, se espera una ralentización voluntaria.
Identificar este tipo de riesgo desde el principio evita la mayoría de las sorpresas desagradables. Una perspectiva externa suele ayudar a convertir una preocupación vaga en normas concretas, compatibles con tus plazos de pago, tus herramientas y tu cultura de toma de decisiones.
Preguntas frecuentes sobre los «deepfakes» en videoconferencias y el fraude
¿Puede un deepfake en una videoconferencia ser en tiempo real?
Sí. Las técnicas actuales ya permiten modificar la voz o el aspecto físico durante una videollamada, con una calidad que varía en función de las herramientas y la conexión. Por lo tanto, hay que verificar lo que se dice, no solo la imagen.
¿Cuál es la primera medida que debe tomar el presidente para combatir el fraude?
La verificación independiente de un número ya conocido es la medida más sencilla y eficaz. Debe ser obligatoria para cualquier transferencia inusual, incluso si la solicitud parece proceder de un directivo.
¿Debería comprar un programa para detectar deepfakes?
No es la primera opción. Para la mayoría de las pymes, la doble validación, los límites bancarios, la autenticación forte y la foración selectiva ofrecen una mejor relación coste-beneficio.
¿Qué servicios son los más vulnerables?
Los departamentos de finanzas, dirección, compras, secretaría y los responsables operativos con capacidad para autorizar un gasto son los principales objetivos. Los atacantes buscan a la persona capaz de actuar con rapidez, no necesariamente a la de mayor rango.