Deepfakes y clonación de voz:
el fraude del CEO en 2026
Concienciación | unfantasmaenelsistema.com
Un empleado de finanzas recibe una llamada de su director financiero. La voz es la de siempre: el mismo timbre, las mismas muletillas, incluso el mismo tono de prisa. Pide una transferencia urgente para cerrar una operación confidencial antes de que acabe el día. Media hora después, el dinero ha salido de la empresa y no va a volver. La persona al otro lado del teléfono nunca fue el director financiero: era su voz clonada por un programa a partir de tres frases sacadas de un vídeo público.
Esto ya no es un escenario de laboratorio. En 2024 una multinacional perdió 25 millones de dólares tras una videollamada en la que varios de los participantes eran recreaciones sintéticas de directivos reales. Desde entonces los casos se han multiplicado y las herramientas han bajado de precio hasta ser gratuitas. Este artículo explica qué se puede falsificar hoy, cómo se cuela el engaño en una organización y, sobre todo, qué defensas funcionan cuando ya no puedes fiarte ni de una cara ni de una voz conocidas.
Qué aprenderás en este artículo
Qué se puede clonar hoy con muy poco material de partida · Cómo es la anatomía de un fraude del CEO con voz o vídeo sintético · Las señales de alarma que siguen delatando el engaño · Qué defensas organizativas funcionan de verdad y cuáles son humo · Por qué los detectores automáticos no son la solución que parecen
1. Qué se puede falsificar hoy, y con cuánto material
El salto de los últimos dos años no es que la falsificación sea posible —lo era desde hace tiempo— sino que se ha vuelto barata, rápida y accesible desde el navegador. Ya no hace falta un equipo de efectos especiales ni horas de grabación.
1.1 Voz
Los sistemas actuales de clonación de voz necesitan entre unos pocos segundos y un par de minutos de audio limpio para producir una imitación convincente en tiempo casi real. Ese audio se saca de una entrevista en un podcast, un vídeo corporativo, una charla en YouTube, una nota de voz reenviada o incluso un mensaje del contestador. Cuanto más material y más limpio, mejor sale el resultado, pero el listón de entrada es muy bajo.
1.2 Cara y vídeo
Con unas cuantas fotos de frente y de perfil —las que hay en cualquier perfil profesional o red social— se puede animar un rostro para que hable, o superponerlo sobre otra persona en una videollamada. La calidad varía: un vídeo pregrabado y editado puede ser casi perfecto, mientras que el reemplazo de cara en directo todavía suele mostrar fallos si sabes dónde mirar.
1.3 Texto y estilo de escritura
Menos comentado, pero igual de útil para el atacante: imitar la forma de redactar de una persona concreta a partir de correos antiguos. Un mensaje que suena exactamente como tu jefe, con sus expresiones y su firma, es el complemento perfecto de la llamada falsa.
| Elemento | Material que necesita el atacante | Dónde lo consigue |
|---|---|---|
| Voz | Segundos o pocos minutos de audio | Podcast, webinar, vídeo corporativo, nota de voz |
| Cara animada | Varias fotos del rostro | LinkedIn, Instagram, web de la empresa, prensa |
| Vídeo pregrabado | Fotos + vídeo de referencia | Charlas grabadas, entrevistas, canal de la empresa |
| Videollamada en directo | Fotos + potencia de cálculo | Mismo origen; más difícil de hacer bien |
| Estilo de escritura | Correos o mensajes antiguos | Buzón comprometido, hilos reenviados, filtraciones |
2. Anatomía del fraude del CEO con medios sintéticos
El fraude del CEO —también llamado BEC, del inglés Business Email Compromise— no es nuevo. Lo que cambia con los deepfakes es que la parte más difícil para el estafador, ganarse la confianza de la víctima, ahora se resuelve con una voz o una cara reconocibles. El esquema sigue casi siempre los mismos pasos.
- Reconocimiento: el atacante estudia la empresa. Identifica quién autoriza pagos, quién es su superior, qué operaciones hay en curso, cuándo alguien clave está de viaje o de vacaciones. Casi todo esto es información pública o semipública.
- Recolección de material: descarga vídeos, audios y fotos de la persona que va a suplantar, normalmente un directivo con autoridad reconocida.
- Preparación del pretexto: una operación confidencial, una adquisición, una multa que hay que pagar ya, un proveedor nuevo. Siempre algo que justifica la urgencia y el secreto.
- Contacto: llamada de voz, mensaje de voz, o videollamada. A veces precedida de un correo que suena legítimo para ‘preparar el terreno’.
- Presión: urgencia, confidencialidad (‘no lo comentes con nadie del equipo todavía’), apelación a la jerarquía (‘confío en que puedas resolver esto tú’).
- Ejecución: la víctima realiza la transferencia, comparte credenciales o aprueba un cambio de datos bancarios de un proveedor.
- Desaparición: el dinero se mueve por varias cuentas en minutos. Para cuando se detecta el error, es irrecuperable.
El patrón que se repite en casi todos los casos
Autoridad: quien llama es (o parece ser) alguien a quien no le dices que no · Urgencia: hay que hacerlo ahora, no mañana · Canal inhabitual: una petición de pago que normalmente iría por el sistema interno llega por teléfono o chat · Secreto: se pide expresamente no seguir el procedimiento normal ni consultar con nadie
3. Señales de alarma que siguen funcionando
Ninguna señal aislada es una prueba, pero la combinación de varias debe frenar la operación en seco. La regla mental es sencilla: cuanto más urgente y más secreto, más verificación.
3.1 En el contenido de la petición
- Se salta un proceso que normalmente es obligatorio (aprobaciones, doble firma, alta de proveedor)
- Cambia los datos bancarios de un pago recurrente ‘por un problema temporal con el banco habitual’
- Insiste en un canal concreto y rechaza pasar a otro (‘no me escribas al correo, llámame’)
- Pide confidencialidad hacia el propio equipo o hacia quien normalmente supervisaría
- La cantidad, el destinatario o el país no encajan con la operativa habitual de la empresa
3.2 En una llamada o videollamada
- Audio con calidad extrañamente uniforme, sin ruido de fondo, o con cortes y silencios raros
- La persona evita responder a una pregunta concreta y personal que solo ella sabría
- En vídeo: parpadeo poco natural, bordes de la cara que ‘bailan’, desincronía entre labios y voz, iluminación que no cambia al mover la cabeza, manos que aparecen distorsionadas
- Se niega a hacer un gesto sencillo pedido en el momento (girar la cabeza, taparse media cara, levantar una mano delante del rostro)
- Rechaza cambiar a otra plataforma o volver a llamar desde un número conocido
La verificación fuera de banda, en una frase
Ante cualquier petición de dinero, credenciales o cambio de datos: cuelga y vuelve a contactar tú por un canal que ya conocías de antes —el móvil que tienes guardado, un mensaje interno, presencialmente— nunca por el número o el enlace que te acaban de dar
4. Defensas organizativas que funcionan
La lección de fondo es incómoda: reconocer una voz o una cara ha dejado de ser una forma válida de autenticar a alguien. Las defensas que aguantan no dependen de ‘darse cuenta’, sino de procesos que hacen que darse cuenta no sea necesario.
| Defensa | Cómo funciona | Por qué resiste al deepfake |
|---|---|---|
| Verificación fuera de banda | Toda petición sensible se confirma por un segundo canal independiente ya conocido | El atacante controla un canal, no dos; no tiene el número real ni acceso al sistema interno |
| Doble autorización de pagos | Ninguna transferencia por encima de un umbral la aprueba una sola persona | Aunque engañen a una, la segunda tiene que fallar también, y por otro canal |
| Palabra o frase clave | Una contraseña verbal acordada de antemano para validar peticiones urgentes internas o familiares | No aparece en ningún vídeo ni audio público; el clon no la sabe |
| Procedimiento fijo para alta y cambio de proveedores | Los datos bancarios solo se cambian con un flujo documentado y verificado, nunca por una llamada | Elimina el vector más rentable del fraude: desviar pagos legítimos |
| Regla ‘la urgencia no salta el proceso’ | Cuanta más prisa mete alguien, más verificación se aplica, sin excepción por jerarquía | Neutraliza la palanca psicológica central del engaño |
| Formación con casos reales | El equipo de finanzas y dirección conoce el modus operandi y ha ensayado la respuesta | Convierte ‘me sonaba raro’ en ‘esto es exactamente el patrón, activo el protocolo’ |
Quién debe estar entrenado, en orden de prioridad
Finanzas y tesorería (autorizan pagos) · Dirección y sus asistentes (son a quienes se suplanta y quienes reciben las peticiones) · Recursos Humanos (cambios de nómina, datos personales) · Compras (alta y modificación de proveedores) · Soporte de TI (restablecimiento de contraseñas y accesos por teléfono)
5. Por qué los detectores automáticos no te salvan
Es tentador pensar que la solución es un software que analice la llamada y avise de si la voz es sintética. Existen herramientas así, y tienen su lugar, pero apoyarse en ellas como defensa principal es un error.
- Van siempre por detrás: los detectores se entrenan con las técnicas de generación conocidas. Cada modelo nuevo de síntesis vuelve a abrir la ventana hasta que los detectores se actualizan.
- Fallan en condiciones reales: una llamada telefónica comprime y degrada el audio, lo que borra precisamente las pistas que el detector busca. En laboratorio aciertan mucho; por teléfono, mucho menos.
- Falsos positivos y negativos con coste alto: un falso negativo te da confianza para pagar; un falso positivo hace que el equipo ignore la herramienta a las pocas semanas.
- No cubren el vídeo en directo bien todavía, y menos en las plataformas de videollamada habituales.
El uso razonable de un detector es como una señal más dentro del proceso —una alerta que sube el nivel de verificación— nunca como el semáforo que decide si una transferencia sale o no. La decisión la toma el procedimiento.
Si crees que tu organización ha sufrido un intento o un fraude consumado
Contacta de inmediato con tu entidad bancaria para intentar retener o revertir la transferencia: los primeros minutos son decisivos · Preserva todo: registros de llamada, correos, mensajes, logs de la plataforma de videollamada, sin borrar nada · Denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado (Policía Nacional o Guardia Civil) y conserva el atestado · En España puedes pedir ayuda y orientación a INCIBE a través de la línea 017 · Si hay datos personales comprometidos, valora con asesoría legal la notificación a la Agencia Española de Protección de Datos en un plazo de 72 horas
Conclusión
El fraude del CEO con voz y vídeo sintéticos funciona porque explota algo que llevamos toda la vida usando como prueba de identidad: reconocer a alguien por su cara y su voz. Esa prueba ha caducado. Un clon convincente cuesta hoy minutos y cero euros, y el material para fabricarlo lo publica la propia organización sin darse cuenta.
La respuesta no es un detector mágico ni pedirle al equipo que ‘esté atento’. Es diseñar los procesos de pago y de cambio de datos para que ninguna llamada, por reconocible que suene, pueda por sí sola mover dinero: verificación por un segundo canal, doble autorización, una palabra clave que no está en ningún vídeo, y la regla de que la prisa nunca es motivo para saltarse el procedimiento, venga de quien venga.
Referencias
INCIBE — Protege tu empresa: fraude del CEO y guías de concienciación (incibe.es) · INCIBE línea de ayuda en ciberseguridad 017 · FBI IC3 — Business Email Compromise: alertas y estadísticas anuales · ENISA — Threat Landscape, apartado de manipulación de información y deepfakes · Nuestros artículos sobre smishing y sobre anatomía de un correo de phishing, para el resto de la familia de fraudes por suplantación
unfantasmaenelsistema.com | Seguridad, sistemas y todo lo que no debería funcionar (pero funciona)