Viste su cara. Escuchaste su voz. Reconociste su forma de hablar, hasta esa muletilla que usa cuando está apurado. Autorizaste la transferencia porque, literalmente, lo viste con tus propios ojos dándote la instrucción.
Y aun así, no era él.
Bienvenido a una amenaza de ciberseguridad que en 2026 ya no suena a ciencia ficción: el fraude corporativo con voz y video clonados por inteligencia artificial.
El caso que ya pasó y que puede volver a pasarte a ti
En 2024, la firma británica de ingeniería Arup vivió exactamente ese escenario. Un colaborador en la oficina de Hong Kong participó en una videollamada con quienes parecían ser directivos de la empresa. Los vio, los escuchó y reconoció sus rostros.
Siguiendo sus instrucciones, autorizó transferencias que terminaron costándole a la compañía aproximadamente 25 millones de dólares.
Los “directivos” que aparecían en pantalla eran, en realidad, réplicas hiperrealistas generadas con inteligencia artificial.
El caso se convirtió en uno de los ejemplos más conocidos de hasta dónde puede llegar la tecnología de deepfake cuando se combina con ingeniería social y fraude financiero.
Y lo más importante es esto: no necesitas ser una empresa tecnológica para estar expuesto.
Si tu empresa realiza transferencias, maneja cuentas bancarias, procesa nóminas o recibe instrucciones financieras por teléfono, correo electrónico o videollamada, este riesgo también puede alcanzarte.
Por qué tu instinto ya no basta para detectarlo
Durante años, una de las principales recomendaciones frente a una suplantación fue algo tan sencillo como “fíjate bien”.
¿La voz suena extraña? ¿El rostro se ve raro? ¿La persona habla de una manera diferente? ¿Hay algo que no te parece normal?
El problema es que esa estrategia está perdiendo efectividad.
El Reporte de Deepfakes 2026 de Veriff, publicado en julio de 2026 con participantes de Estados Unidos, Reino Unido y Brasil, midió la capacidad real de las personas para distinguir entre contenido auténtico y contenido generado artificialmente.
Los resultados son preocupantes: la capacidad para detectar deepfakes estuvo apenas por encima del nivel del azar. En Estados Unidos, siete de cada diez participantes identificaron incorrectamente un video deepfake como auténtico en una de las pruebas.
Y hay otro dato todavía más preocupante: algunas personas tienen una baja capacidad para detectar un deepfake, pero al mismo tiempo tienen una alta confianza en su propio juicio.
Ese es precisamente el escenario que buscan los atacantes.
No necesitan engañar a todo tu equipo.
Necesitan convencer a una sola persona.
Y si esa persona tiene autorización para mover grandes cantidades de dinero, el impacto puede ser enorme.
Veriff también encontró que el fraude con deepfakes puede generar pérdidas importantes por incidente, especialmente en sectores financieros. El patrón que empieza a observarse es claro: bajo volumen, alto valor.
Los atacantes no necesariamente buscan engañar a miles de personas.
Buscan encontrar a la persona correcta, en el momento correcto, con la historia correcta y con una transferencia suficientemente grande.
La velocidad también juega a favor del atacante
A esto se suma otro elemento que muchas empresas todavía subestiman: la velocidad.
Una llamada urgente.
Una transferencia que “tiene que salir hoy”.
Un proveedor que cambió de cuenta bancaria.
Un supuesto director general que está en una reunión y necesita que alguien del área financiera actúe inmediatamente.
Cuando existe presión de tiempo, tu capacidad para cuestionar lo que está ocurriendo disminuye.
Kaspersky ha documentado que una parte importante de las víctimas de determinados fraudes entrega dinero o información personal durante los primeros minutos del contacto.
Y esto tiene sentido desde la perspectiva del atacante.
Mientras menos tiempo tengas para detenerte, colgar y verificar por otro medio, más posibilidades existen de que actúes antes de darte cuenta del engaño.
La velocidad, en otras palabras, también es un arma.
Lo que sí sabemos —y lo que todavía no— sobre México
Siendo honestos, todavía no existen cifras públicas y verificables que permitan determinar con precisión cuánto dinero están perdiendo las empresas mexicanas específicamente por fraudes realizados mediante deepfakes.
Eso no significa que el problema no exista.
Significa que todavía no tenemos suficiente información pública para dimensionarlo correctamente.
Organizaciones empresariales en México ya han señalado el fraude mediante inteligencia artificial y los deepfakes como una amenaza emergente para las empresas.
Además, organismos como el FBI, CISA y NIST han emitido advertencias relacionadas con el uso malicioso de inteligencia artificial y las nuevas técnicas de suplantación.
El mensaje es claro: las empresas necesitan fortalecer sus procesos internos de verificación y capacitar a sus colaboradores.
La ausencia de una cifra mexicana exacta no debería darte tranquilidad.
Al contrario.
Puede ser una señal de que el fenómeno todavía no se está midiendo ni reportando como debería.
La defensa no es tecnológica. Es de protocolo.
Aquí está la parte más importante de todo esto:
Ningún antivirus, firewall o filtro de correo puede detener por sí solo este tipo de fraude.
¿Por qué?
Porque el atacante no necesariamente está intentando entrar a tu red.
Está intentando entrar en tu confianza.
Puede utilizar una voz que reconoces.
Una cara que conoces.
Una forma de hablar familiar.
El nombre de tu director general.
Información real sobre tu empresa.
Y una situación suficientemente urgente como para que no tengas tiempo de cuestionarla.
Por eso, una de las defensas más importantes es establecer un protocolo de verificación humano, sencillo y no negociable.
Verificación por un segundo canal
Ninguna instrucción relacionada con pagos, transferencias o cambios de datos bancarios debería ejecutarse sin una segunda verificación mediante un canal diferente y previamente conocido.
Si tu director general te llama y te pide realizar una transferencia urgente, no basta con reconocer su voz o verlo en una videollamada.
Cuelga.
Y llámalo tú al número que ya tenías guardado.
No utilices el número que apareció en pantalla.
No respondas al mismo correo.
No continúes la conversación por el mismo canal.
Utiliza un medio independiente para confirmar que realmente fue él quien hizo la solicitud.
Doble visto bueno obligatorio
Define un sistema de doble autorización para cualquier transferencia que supere un monto determinado.
Y hazlo sin excepciones.
Ni siquiera cuando alguien diga:
“Es urgente”.
“Lo necesita el director”.
“No podemos esperar”.
“Estoy en una reunión”.
“Hazlo ahora y después te explico”.
Precisamente en esos momentos es cuando el protocolo debe funcionar.
Palabra clave entre directivos
Puedes establecer una palabra o frase de verificación que solo conozcan determinados integrantes del equipo directivo.
No es una solución infalible, pero puede convertirse en una capa adicional de verificación cuando una solicitud financiera se realiza por teléfono o videollamada.
La clave es que no sea algo público, obvio o fácilmente deducible.
Capacitación de colaboradores
Capacita especialmente a las personas que manejan pagos, nóminas, cuentas bancarias y operaciones financieras.
Enséñales que la autoridad aparente de quien solicita una transferencia no es suficiente.
Tampoco lo es la urgencia.
Ni una videollamada.
Ni una voz perfectamente reconocible.
Tus colaboradores deben saber que tienen permiso para detener una operación y verificarla, incluso cuando la persona que está solicitando la transferencia sea aparentemente un alto directivo.
Tu empresa necesita una nueva definición de confianza
Durante mucho tiempo, la confianza digital se construyó alrededor de una idea sencilla:
“Si veo a la persona y escucho su voz, sé que es ella”.
Esa regla ya no funciona.
Hoy puedes ver el rostro de alguien que no está realmente ahí.
Puedes escuchar una voz que fue clonada.
Puedes recibir una videollamada de una persona que, en realidad, nunca realizó esa llamada.
Y puedes terminar autorizando una transferencia millonaria creyendo que estás siguiendo una instrucción legítima.
Por eso, la ciberseguridad de tu empresa ya no depende únicamente de tu proveedor de TI.
También depende de que la persona en contabilidad sepa que puede, y debe, colgar el teléfono y verificar antes de mover un solo peso.
Sin importar quién esté al otro lado.
Sin importar qué tan convincente sea la voz.
Sin importar qué tan realista parezca el video.
Sin importar cuánta presión exista para actuar inmediatamente.
Porque en 2026, ver y escuchar ya no es suficiente para confiar.
Si quieres revisar con un especialista qué protocolos de verificación tiene hoy tu empresa frente a este tipo de fraude y qué tan expuesta está tu operación financiera, con gusto lo platicamos.
Una política de verificación bien diseñada puede costarte una tarde de trabajo.
Un fraude como el de Arup puede costarte millones.
La pregunta ya no es si un deepfake puede engañar a alguien de tu empresa.
La pregunta es si tu empresa tiene un protocolo que funcione cuando ocurra.
Tu director financiero te llamó por videollamada y autorizó el pago. El problema es que no era él
Viste su cara. Escuchaste su voz. Reconociste su forma de hablar, hasta esa muletilla que usa cuando está apurado. Autorizaste la transferencia porque, literalmente, lo viste con tus propios ojos dándote la instrucción.
Y aun así, no era él.
Bienvenido a una amenaza de ciberseguridad que en 2026 ya no suena a ciencia ficción: el fraude corporativo con voz y video clonados por inteligencia artificial.
El caso que ya pasó y que puede volver a pasarte a ti
En 2024, la firma británica de ingeniería Arup vivió exactamente ese escenario. Un colaborador en la oficina de Hong Kong participó en una videollamada con quienes parecían ser directivos de la empresa. Los vio, los escuchó y reconoció sus rostros.
Siguiendo sus instrucciones, autorizó transferencias que terminaron costándole a la compañía aproximadamente 25 millones de dólares.
Los “directivos” que aparecían en pantalla eran, en realidad, réplicas hiperrealistas generadas con inteligencia artificial.
El caso se convirtió en uno de los ejemplos más conocidos de hasta dónde puede llegar la tecnología de deepfake cuando se combina con ingeniería social y fraude financiero.
Y lo más importante es esto: no necesitas ser una empresa tecnológica para estar expuesto.
Si tu empresa realiza transferencias, maneja cuentas bancarias, procesa nóminas o recibe instrucciones financieras por teléfono, correo electrónico o videollamada, este riesgo también puede alcanzarte.
Por qué tu instinto ya no basta para detectarlo
Durante años, una de las principales recomendaciones frente a una suplantación fue algo tan sencillo como “fíjate bien”.
¿La voz suena extraña?
¿El rostro se ve raro?
¿La persona habla de una manera diferente?
¿Hay algo que no te parece normal?
El problema es que esa estrategia está perdiendo efectividad.
El Reporte de Deepfakes 2026 de Veriff, publicado en julio de 2026 con participantes de Estados Unidos, Reino Unido y Brasil, midió la capacidad real de las personas para distinguir entre contenido auténtico y contenido generado artificialmente.
Los resultados son preocupantes: la capacidad para detectar deepfakes estuvo apenas por encima del nivel del azar. En Estados Unidos, siete de cada diez participantes identificaron incorrectamente un video deepfake como auténtico en una de las pruebas.
Y hay otro dato todavía más preocupante: algunas personas tienen una baja capacidad para detectar un deepfake, pero al mismo tiempo tienen una alta confianza en su propio juicio.
Ese es precisamente el escenario que buscan los atacantes.
No necesitan engañar a todo tu equipo.
Necesitan convencer a una sola persona.
Y si esa persona tiene autorización para mover grandes cantidades de dinero, el impacto puede ser enorme.
Veriff también encontró que el fraude con deepfakes puede generar pérdidas importantes por incidente, especialmente en sectores financieros. El patrón que empieza a observarse es claro: bajo volumen, alto valor.
Los atacantes no necesariamente buscan engañar a miles de personas.
Buscan encontrar a la persona correcta, en el momento correcto, con la historia correcta y con una transferencia suficientemente grande.
La velocidad también juega a favor del atacante
A esto se suma otro elemento que muchas empresas todavía subestiman: la velocidad.
Una llamada urgente.
Una transferencia que “tiene que salir hoy”.
Un proveedor que cambió de cuenta bancaria.
Un supuesto director general que está en una reunión y necesita que alguien del área financiera actúe inmediatamente.
Cuando existe presión de tiempo, tu capacidad para cuestionar lo que está ocurriendo disminuye.
Kaspersky ha documentado que una parte importante de las víctimas de determinados fraudes entrega dinero o información personal durante los primeros minutos del contacto.
Y esto tiene sentido desde la perspectiva del atacante.
Mientras menos tiempo tengas para detenerte, colgar y verificar por otro medio, más posibilidades existen de que actúes antes de darte cuenta del engaño.
La velocidad, en otras palabras, también es un arma.
Lo que sí sabemos —y lo que todavía no— sobre México
Siendo honestos, todavía no existen cifras públicas y verificables que permitan determinar con precisión cuánto dinero están perdiendo las empresas mexicanas específicamente por fraudes realizados mediante deepfakes.
Eso no significa que el problema no exista.
Significa que todavía no tenemos suficiente información pública para dimensionarlo correctamente.
Organizaciones empresariales en México ya han señalado el fraude mediante inteligencia artificial y los deepfakes como una amenaza emergente para las empresas.
Además, organismos como el FBI, CISA y NIST han emitido advertencias relacionadas con el uso malicioso de inteligencia artificial y las nuevas técnicas de suplantación.
El mensaje es claro: las empresas necesitan fortalecer sus procesos internos de verificación y capacitar a sus colaboradores.
La ausencia de una cifra mexicana exacta no debería darte tranquilidad.
Al contrario.
Puede ser una señal de que el fenómeno todavía no se está midiendo ni reportando como debería.
La defensa no es tecnológica. Es de protocolo.
Aquí está la parte más importante de todo esto:
Ningún antivirus, firewall o filtro de correo puede detener por sí solo este tipo de fraude.
¿Por qué?
Porque el atacante no necesariamente está intentando entrar a tu red.
Está intentando entrar en tu confianza.
Puede utilizar una voz que reconoces.
Una cara que conoces.
Una forma de hablar familiar.
El nombre de tu director general.
Información real sobre tu empresa.
Y una situación suficientemente urgente como para que no tengas tiempo de cuestionarla.
Por eso, una de las defensas más importantes es establecer un protocolo de verificación humano, sencillo y no negociable.
Verificación por un segundo canal
Ninguna instrucción relacionada con pagos, transferencias o cambios de datos bancarios debería ejecutarse sin una segunda verificación mediante un canal diferente y previamente conocido.
Si tu director general te llama y te pide realizar una transferencia urgente, no basta con reconocer su voz o verlo en una videollamada.
Cuelga.
Y llámalo tú al número que ya tenías guardado.
No utilices el número que apareció en pantalla.
No respondas al mismo correo.
No continúes la conversación por el mismo canal.
Utiliza un medio independiente para confirmar que realmente fue él quien hizo la solicitud.
Doble visto bueno obligatorio
Define un sistema de doble autorización para cualquier transferencia que supere un monto determinado.
Y hazlo sin excepciones.
Ni siquiera cuando alguien diga:
“Es urgente”.
“Lo necesita el director”.
“No podemos esperar”.
“Estoy en una reunión”.
“Hazlo ahora y después te explico”.
Precisamente en esos momentos es cuando el protocolo debe funcionar.
Palabra clave entre directivos
Puedes establecer una palabra o frase de verificación que solo conozcan determinados integrantes del equipo directivo.
No es una solución infalible, pero puede convertirse en una capa adicional de verificación cuando una solicitud financiera se realiza por teléfono o videollamada.
La clave es que no sea algo público, obvio o fácilmente deducible.
Capacitación de colaboradores
Capacita especialmente a las personas que manejan pagos, nóminas, cuentas bancarias y operaciones financieras.
Enséñales que la autoridad aparente de quien solicita una transferencia no es suficiente.
Tampoco lo es la urgencia.
Ni una videollamada.
Ni una voz perfectamente reconocible.
Tus colaboradores deben saber que tienen permiso para detener una operación y verificarla, incluso cuando la persona que está solicitando la transferencia sea aparentemente un alto directivo.
Tu empresa necesita una nueva definición de confianza
Durante mucho tiempo, la confianza digital se construyó alrededor de una idea sencilla:
“Si veo a la persona y escucho su voz, sé que es ella”.
Esa regla ya no funciona.
Hoy puedes ver el rostro de alguien que no está realmente ahí.
Puedes escuchar una voz que fue clonada.
Puedes recibir una videollamada de una persona que, en realidad, nunca realizó esa llamada.
Y puedes terminar autorizando una transferencia millonaria creyendo que estás siguiendo una instrucción legítima.
Por eso, la ciberseguridad de tu empresa ya no depende únicamente de tu proveedor de TI.
También depende de que la persona en contabilidad sepa que puede, y debe, colgar el teléfono y verificar antes de mover un solo peso.
Sin importar quién esté al otro lado.
Sin importar qué tan convincente sea la voz.
Sin importar qué tan realista parezca el video.
Sin importar cuánta presión exista para actuar inmediatamente.
Porque en 2026, ver y escuchar ya no es suficiente para confiar.
Si quieres revisar con un especialista qué protocolos de verificación tiene hoy tu empresa frente a este tipo de fraude y qué tan expuesta está tu operación financiera, con gusto lo platicamos.
Una política de verificación bien diseñada puede costarte una tarde de trabajo.
Un fraude como el de Arup puede costarte millones.
La pregunta ya no es si un deepfake puede engañar a alguien de tu empresa.
La pregunta es si tu empresa tiene un protocolo que funcione cuando ocurra.
Síguenos en todas nuestras redes:
Facebook: https://www.facebook.com/CareTelecom
Twitter: https://twitter.com/caretelecom?
Linkedin: https://www.linkedin.com/company/care-telecom/
Correo: info@caretelecom.com
Instagram: https://instagram.com/caretelecom?
Spotify PODCAST: Escudo Digital: https://spoti.fi/3FSvKoA
Categorías Populares
Instagram Feeds
[instagram-feed]
Popular Tags
Archivos
Nuestros Servicios