Cuando la voz deja de ser una prueba suficiente
Durante años, muchas personas han considerado que una llamada telefónica o una videollamada eran señales razonables de autenticidad. Reconocer la voz de un responsable, ver su imagen en pantalla o mantener una conversación aparentemente natural aportaba confianza a una petición. Sin embargo, las herramientas capaces de generar o modificar voz, imagen y vídeo han reducido el valor de estas señales como prueba aislada de identidad.
Un fraude con deepfake no necesita reproducir una conversación perfecta. Puede bastar con imitar algunos rasgos, utilizar información pública sobre la organización y plantear una petición creíble en un momento de presión. El objetivo suele ser provocar una transferencia, cambiar una cuenta bancaria, compartir información sensible, aprobar un acceso o saltarse un procedimiento interno.
La cuestión no es determinar si una empresa puede identificar todos los contenidos manipulados. En muchos casos, esa tarea será difícil incluso para una persona atenta. La defensa más sólida consiste en diseñar procesos que no dependan únicamente de la apariencia, la voz o la urgencia de una comunicación.
La identidad percibida no sustituye a la verificación independiente.
Cómo se construye el fraude
Las peticiones fraudulentas suelen combinar varios elementos conocidos de la ingeniería social:
- Autoridad: la solicitud aparenta proceder de la dirección, un cliente importante, un proveedor o un departamento con capacidad de decisión.
- Urgencia: se afirma que hay que actuar de inmediato para evitar una pérdida, cerrar una operación o resolver una incidencia.
- Confidencialidad: se pide no consultar a otras personas para no retrasar el proceso o porque la operación sería sensible.
- Contexto: el atacante utiliza nombres, proyectos, proveedores, viajes, reuniones o problemas reales de la organización.
- Canal alternativo: se solicita continuar por una aplicación de mensajería, un número no habitual o una cuenta de correo diferente.
La inteligencia artificial puede reforzar la credibilidad de estos elementos, pero no cambia la naturaleza esencial del riesgo: una persona recibe una instrucción que parece legítima y se le empuja a incumplir un control. Por eso, la respuesta debe combinar tecnología, procedimientos y cultura de seguridad.
Qué peticiones requieren controles reforzados
No todas las comunicaciones necesitan el mismo nivel de comprobación. Conviene establecer una clasificación clara para las solicitudes que pueden generar impacto económico, operativo, legal o reputacional. Entre ellas se encuentran:
- Transferencias, pagos excepcionales o cambios de beneficiario.
- Modificación de cuentas bancarias de clientes, proveedores o empleados.
- Alta, baja o elevación de privilegios en sistemas corporativos.
- Restablecimiento de credenciales o cambios en métodos de autenticación.
- Compartición de información financiera, personal, estratégica o confidencial.
- Descarga, instalación o ejecución de software fuera del procedimiento habitual.
- Publicación de mensajes, comunicados o instrucciones atribuidos a la dirección.
- Acceso físico o remoto a instalaciones, dispositivos o entornos críticos.
La clasificación debe reflejar el contexto de cada empresa. Una petición aparentemente menor puede ser relevante si afecta a una cuenta privilegiada, a una operación de alto valor o a un sistema esencial. El criterio principal debe ser el posible impacto, no solo el importe económico inmediato.
Verificar por una vía independiente
El control más importante es la verificación fuera del canal utilizado para recibir la instrucción. Si la petición llega por una videollamada, no se debe confirmar únicamente mediante esa misma llamada. Si procede de un correo, responder a ese mensaje puede no ser suficiente, especialmente si la cuenta está comprometida o la dirección del remitente ha sido suplantada.
Una vía independiente puede ser un número corporativo obtenido del directorio interno, una aplicación aprobada, una confirmación presencial o la validación de otra persona autorizada. Lo importante es que el segundo canal no dependa de los datos proporcionados en la propia solicitud.
Por ejemplo, ante una petición urgente de cambio de cuenta bancaria, la persona receptora puede aplicar este criterio:
- No utilizar el teléfono incluido en el correo o mensaje.
- Consultar los datos de contacto registrados previamente en los sistemas corporativos.
- Contactar con un responsable autorizado del proveedor mediante ese canal conocido.
- Registrar la confirmación y conservar la evidencia de la validación.
- Mantener el procedimiento habitual aunque la petición parezca proceder de la dirección.
La verificación no debe convertirse en una conversación informal del tipo "¿de verdad eres tú?". Es preferible confirmar datos que solo conozcan las partes legítimas, pero sin utilizar preguntas predecibles que puedan responderse con información pública o previamente expuesta.
Separar solicitud, aprobación y ejecución
Un proceso seguro evita que una sola persona pueda solicitar, aprobar y ejecutar una operación sensible. Esta separación de funciones reduce la dependencia de la percepción individual y dificulta que una petición fraudulenta avance sin revisión.
En pagos y cambios de cuentas, por ejemplo, el flujo puede exigir que una persona registre la solicitud, otra confirme al beneficiario mediante un canal independiente y una tercera autorice la ejecución cuando el riesgo o el importe lo justifiquen. En accesos, el alta puede requerir la aprobación del responsable del sistema y la validación del propietario de la información.
La segregación no debe aplicarse de forma mecánica. Si los controles son excesivamente complejos, las personas pueden intentar esquivarlos. Deben ser proporcionales, conocidos y compatibles con la operativa real, incluyendo mecanismos para atender situaciones urgentes sin eliminar las comprobaciones esenciales.
Diseñar una política clara para las urgencias
Una cultura de seguridad madura no penaliza a quien detiene una operación dudosa. Al contrario, deja claro que la urgencia no autoriza a saltarse los controles. La dirección debe comunicar qué tipos de petición nunca se aprobarán exclusivamente por voz o vídeo y qué procedimiento debe seguirse cuando exista presión de tiempo.
La política puede incluir reglas sencillas:
- Ningún cambio de cuenta bancaria se ejecuta solo por una llamada o videollamada.
- Las solicitudes de acceso privilegiado requieren una aprobación registrada.
- Las peticiones confidenciales deben validarse con el responsable correspondiente, aunque procedan de un alto cargo.
- Si hay una desviación del proceso, se documenta el motivo y se aplica una revisión posterior.
- Cualquier empleado puede solicitar una pausa sin que se interprete como falta de colaboración.
Estas reglas deben aparecer en los procedimientos de tesorería, compras, recursos humanos, soporte, administración de sistemas y atención a clientes. No basta con incluirlas en una política general que pocas personas consultan.
Qué señales deben activar la pausa
Un deepfake puede ser convincente, pero las circunstancias de la petición pueden revelar inconsistencias. Algunas señales de alerta son la insistencia en utilizar un canal nuevo, la negativa a permitir una confirmación independiente, cambios repentinos en el estilo de comunicación, instrucciones que contradicen el procedimiento habitual o la solicitud de mantener el asunto en secreto.
También conviene prestar atención a la presión emocional. El miedo, la obediencia automática y la preocupación por decepcionar a un superior pueden llevar a actuar sin revisar. Una pausa breve permite comprobar si la petición encaja con el contexto, el momento, el rol de la persona solicitante y las autorizaciones previstas.
No debe esperarse que el empleado identifique artefactos técnicos en la voz o en la imagen. Alteraciones en la sincronización labial, pausas extrañas o una calidad irregular pueden ser indicios, pero su ausencia no demuestra autenticidad. La respuesta debe centrarse en el proceso, no en convertir a cada trabajador en un especialista forense.
Formación y simulacros con responsabilidad
La formación debe mostrar ejemplos de situaciones realistas: una llamada del director financiero durante una reunión, un mensaje de vídeo de un responsable que pide una transferencia o una solicitud de soporte supuestamente enviada por un administrador. El objetivo no es enseñar a detectar todos los deepfakes, sino practicar la decisión correcta: detenerse, consultar y verificar.
Los simulacros deben evitar la humillación y la exposición pública. Es más útil medir si se aplicó el procedimiento, cuánto tardó la organización en confirmar la solicitud y qué obstáculos dificultaron la consulta. Los resultados pueden servir para mejorar directorios, turnos de aprobación, contactos de proveedores y canales de escalado.
También conviene formar a la dirección. Si los altos cargos solicitan excepciones por teléfono, presionan para actuar sin confirmación o consideran una molestia las comprobaciones, el mensaje real será contrario a la política.
Tecnología que ayuda, pero no sustituye al criterio
Las organizaciones pueden utilizar controles técnicos para reforzar la verificación: autenticación multifactor resistente al phishing cuando esté disponible, firmas electrónicas, flujos de aprobación, listas de beneficiarios, alertas por cambios sensibles, registros de actividad y restricciones a operaciones inusuales.
Estas medidas reducen oportunidades de fraude, pero no convierten una comunicación en legítima por sí mismas. Un atacante puede intentar comprometer una cuenta autorizada o aprovechar una aprobación mal revisada. Por eso, los registros deben permitir reconstruir quién solicitó, quién validó, qué información se comprobó y quién ejecutó la acción.
Acciones concretas para la empresa
Para mejorar la preparación, la organización puede empezar por estas medidas:
- Identificar las operaciones en las que una petición falsa tendría mayor impacto.
- Definir un segundo canal de verificación para cada proceso crítico.
- Publicar contactos internos y externos fiables, con revisión periódica.
- Separar solicitud, aprobación y ejecución en pagos, accesos y cambios sensibles.
- Establecer límites y alertas para operaciones excepcionales.
- Formar a empleados y dirección con escenarios de voz y vídeo manipulados.
- Revisar los incidentes y casi incidentes sin buscar culpables, sino fallos de proceso.
- Incorporar estos controles a los planes de continuidad y respuesta al fraude.
Los deepfakes hacen más difícil confiar en lo que se oye y se ve, pero no obligan a operar a ciegas. La defensa consiste en trasladar la confianza desde la apariencia de una persona hacia procedimientos verificables, autorizaciones trazables y una cultura que permita decir: "voy a comprobarlo antes de actuar".
