Fraude deepfake: la síntesis de voz y vídeo se vuelve accesible y las llamadas falsas de directivos, masivas
Hace solo unos años, falsificar de forma convincente una voz o un rostro requería un estudio, tiempo y conocimientos. Hoy bastan unos minutos de vídeo público y un servicio online asequible. Para las empresas, esto significa que «he oído su voz» ya no es un argumento.
Cómo se generalizó la tecnología
Los modelos actuales de síntesis de voz reproducen el timbre, la entonación y la forma de hablar de una persona a partir de muestras de audio muy breves. Los modelos de vídeo en tiempo real superponen el rostro de otra persona sobre un participante de una videollamada. Lo que antes era un experimento de laboratorio hoy está disponible como servicio por suscripción.
La materia prima para estas falsificaciones abunda: entrevistas, ponencias en congresos, webinars, vídeos en redes sociales. Cuanto más público es un directivo, más fácil resulta reunir muestras de su voz y de su rostro.
Uno de los primeros casos ampliamente conocidos se remonta a 2019: el responsable de una empresa energética británica transfirió unos 220.000 euros tras una conversación telefónica con el «director de la empresa matriz», cuya voz había sido sintetizada. En 2024, un empleado de una empresa de ingeniería multinacional en Hong Kong realizó pagos por unos 25 millones de dólares tras una videorreunión en la que todos los «colegas» resultaron ser falsos.
Escenarios de ataque típicos
- «Una llamada del director». Un clon de voz de un directivo llama a un contable o tesorero y pide un pago urgente y confidencial.
- Una videorreunión falsa. Varios «participantes» con rostros sintetizados crean el efecto de una aprobación colectiva.
- Cambio de datos bancarios del proveedor. Un correo sobre una «nueva cuenta» se refuerza con una llamada con la voz conocida del gestor de la contraparte.
- Burlar la biometría de voz. Una voz sintetizada se usa para superar la identificación automática en centros de atención telefónica.
- Notas de voz en mensajería. Breves «audios del jefe» que piden continuar la conversación en otra aplicación o pagar una factura.
Por qué la gente se lo cree
Los ataques deepfake rara vez se basan solo en la calidad de la falsificación. La combinan con las palancas clásicas de la ingeniería social: autoridad («es una decisión del CFO»), urgencia («la operación se cierra hoy»), confidencialidad («no se lo digas a nadie, ni siquiera a tu responsable») y prueba social («todos en la llamada ya lo han aprobado»).
En esa situación, el empleado que duda corre el riesgo de parecer incompetente o desleal. Por eso la regla de verificación debe ser obligatoria e impersonal: nadie debería tener que decidir si es «oportuno» volver a consultar con un directivo.
Señales de falsificación, y por qué no conviene confiar en ellas
A veces un deepfake se delata: parpadeo poco natural, contornos del rostro borrosos al girar la cabeza, desfase entre el sonido y los labios, artefactos «metálicos», pausas extrañas ante preguntas inesperadas. Conviene conocer estas señales, pero no se puede construir la defensa sobre ellas.
- La calidad de la síntesis mejora rápidamente y los artefactos visibles desaparecen con cada nueva generación de modelos;
- Una mala conexión o una cámara apagada justifican fácilmente cualquier defecto;
- Bajo estrés y con prisa, las personas perciben mucho menos que en los ejemplos de formación.
Defensa: proceso, no detección
Una protección eficaz contra el fraude deepfake no intenta distinguir una voz real de una falsa. Hace que esa pregunta deje de importar.
- Confirmación out-of-band. Cualquier solicitud no estándar se confirma por otro canal registrado de antemano.
- Verificación por callback. El empleado devuelve la llamada a un número del directorio interno, no al contacto del correo o de la llamada.
- Maker-checker sin excepciones. Ninguna «operación secreta» anula la segregación de funciones.
- Frases clave y guiones de rechazo. Procedimientos acordados de antemano que permiten a cualquiera detener una operación sin consecuencias para sí mismo.
- Formación con escenarios realistas. Simulacros periódicos con llamadas falsas para los equipos de finanzas y tesorería.
La voz y el rostro se han convertido en datos que se pueden copiar. Solo merece confianza una verificación que no pueda falsificarse con una sola llamada. — Redacción de Sentinel Ledger
