Es un placer saludarlos de nuevo. Hoy quiero tocar un tema que ha pasado de ser ciencia ficción a ser una herramienta real de fraude que ya está golpeando a empresas en toda Latinoamérica: los deepfakes. Vídeos, audios e imágenes generados con inteligencia artificial, tan convincentes que engañan a personas entrenadas.
Y no hablo de teoría. En 2024 una multinacional perdió 25 millones de dólares porque un empleado hizo una transferencia tras una videollamada en la que todos los participantes —incluido el “director financiero”— eran deepfakes generados en tiempo real. Esto ya es el presente.
¿Qué es exactamente un deepfake?
Un deepfake es contenido sintético creado con IA que imita la apariencia o la voz de una persona real. Con unos pocos segundos de audio o unas cuantas fotos —material que casi todos tenemos público en redes— un atacante puede clonar una voz o generar un rostro que habla y se mueve de forma realista.
Lo que antes requería un estudio de efectos especiales, hoy se hace con herramientas gratuitas y una tarjeta gráfica decente.
Cómo se usan para atacar a las empresas
Fraude del CEO por voz. El clásico reinventado: un empleado del área financiera recibe una llamada de “su jefe” pidiendo una transferencia urgente y confidencial. La voz es idéntica. La presión es real. El dinero se va.
Videollamadas falsas. Como en el caso de los 25 millones: reuniones enteras simuladas para dar legitimidad a una instrucción fraudulenta.
Suplantación para acceso. Deepfakes de voz usados para superar verificaciones telefónicas de soporte técnico o de la mesa de ayuda y conseguir el reseteo de una contraseña.
Desinformación y daño reputacional. Vídeos falsos de directivos diciendo cosas que nunca dijeron, para manipular mercados o dañar una marca.
Cómo detectar un deepfake
La tecnología mejora rápido, pero todavía deja pistas. En un vídeo, fíjense en: parpadeo antinatural o ausente, bordes borrosos donde el rostro se une al cabello o al cuello, iluminación que no cuadra con el entorno, y falta de sincronía entre los labios y el sonido.
En un audio: entonación demasiado plana, ausencia de respiración o de ruido ambiente, y una cadencia ligeramente robótica en las pausas.
Pero seamos honestos: confiar en el ojo humano ya no es suficiente. La detección técnica es necesaria, y sobre todo lo es el proceso.
La defensa real no es tecnológica, es de procedimiento
Ninguna herramienta de detección los va a salvar si un empleado puede mover dinero solo porque “sonaba como el jefe”. Estas son las medidas que recomendamos en SecPro:
1. Verificación por segundo canal. Toda instrucción sensible (pagos, cambios de datos bancarios, envío de información) debe confirmarse por una vía distinta a la que llegó. Si el pedido vino por llamada, se confirma por un canal escrito ya conocido.
2. Palabras clave acordadas. Una frase de seguridad pactada de antemano entre las personas que autorizan operaciones críticas. Un deepfake no la conoce.
3. Procesos de doble autorización. Que ninguna transferencia importante dependa de una sola persona.
4. Concientización constante. El eslabón que atacan es el humano. Un equipo que sabe que esto existe y ha practicado cómo reaccionar es la mejor defensa. En eso trabajamos todos los días en la Academia SecPro.
Conclusión
La IA le dio a los atacantes una herramienta de ingeniería social de un poder sin precedentes. La buena noticia es que las defensas de fondo son las de siempre: procesos sólidos, verificación y personas entrenadas. La tecnología cambió; los principios, no.
Si quieren evaluar qué tan preparado está su equipo frente a este tipo de fraude —o entrenarlo para resistirlo— en SecPro podemos ayudarles. Hablemos.
