El director financiero aparece en pantalla. Conoce los asuntos, habla con seguridad y solicita una operación urgente. Todo parece normal, salvo lo esencial: no es él. Con los deepfakes de directivos, la empresa se enfrenta a un ataque contra su sistema de confianza. De cara a septiembre de 2026, la prioridad no es solo detectar una imagen manipulada. Es preparar a la organización para verificar un mensaje creíble y después responder sin amplificar la trampa.
Un fraude que adopta los códigos de la empresa
En 2024, el grupo de ingeniería Arup confirmó haber sido víctima en Hong Kong de un fraude que utilizaba deepfakes. Según la información publicada, un empleado había participado en una videoconferencia en la que se había suplantado la identidad de varios interlocutores, entre ellos un falso director financiero. A continuación se realizaron transferencias por unos 25 millones de dólares. El factor decisivo no fue únicamente la calidad técnica: la reunión daba a una petición inusual la apariencia de una instrucción colectiva.
Ese mismo año, un intento dirigido contra WPP utilizó la identidad de su director general, Mark Read, con una voz clonada y una reunión virtual simulada, entre otros recursos. Fracasó. En Ferrari, un ejecutivo también habría frustrado un intento de suplantación de la voz del máximo responsable al plantear una pregunta personal que el interlocutor no podía responder, según un relato publicado por Bloomberg en 2024.
Estos episodios ilustran una tendencia, sin permitir predecir de forma automática su frecuencia en 2026. El atacante no siempre busca crear una ilusión perfecta: busca conseguir que alguien actúe antes de verificar. La urgencia, la confidencialidad, la autoridad jerárquica y un contexto familiar compensan a veces los defectos de la falsificación.
El riesgo va más allá de la transferencia fraudulenta
Para una dirección de comunicación, el escenario no se limita a la tesorería. Un vídeo falso puede anunciar el cierre de una fábrica, atribuir declaraciones discriminatorias a un presidente o prometer un producto inexistente. Un mensaje de voz puede inducir a una agencia a publicar un comunicado. Un fragmento manipulado puede llegar simultáneamente a empleados, periodistas y clientes.
El daño puede empezar antes de cualquier autenticación: capturas de pantalla, llamadas a los responsables, solicitudes de reacción. En una empresa cotizada, un mensaje falso también puede generar agitación en el mercado. La respuesta debe entonces coordinar ciberseguridad, comunicación, asesoría jurídica y relaciones con inversores, con una evaluación de las obligaciones aplicables.
Por tanto, el escenario futuro más preocupante no es necesariamente un vídeo espectacular que se vuelve viral. Es una sucesión de pequeñas señales coherentes: una invitación creíble, una voz conocida, un documento bien presentado. Cada elemento refuerza a los demás hasta hacer que la verificación parezca superflua.
Establecer canales de referencia antes de necesitarlos
Primera tarea: definir dónde tiene validez la comunicación oficial. El sitio web institucional debe contar con un espacio identificable para la información sensible y las aclaraciones. Los empleados deben conocer el canal interno de referencia. Los periodistas, socios y clientes estratégicos deben disponer de datos de contacto ya verificados, en lugar de un número descubierto en el mensaje sospechoso.
Una cuenta con una insignia en una plataforma no basta: puede verse comprometida, ser imitada o malinterpretarse. Una publicación en el sitio web tampoco hace milagros si los accesos son vulnerables. La autenticación se basa en una cadena de confianza, no en un logotipo. Las cuentas protegidas mediante autenticación robusta, los permisos limitados y la validación por dos personas de los anuncios sensibles forman parte del dispositivo.
También hay que prever la indisponibilidad del canal principal. Si el sitio web se ve comprometido, ¿dónde publicar? Si el sistema de mensajería resulta sospechoso, ¿cómo reunir al comité de crisis? Un directorio de emergencia guardado fuera de las herramientas habituales y un canal alternativo probado evitan improvisar en el peor momento.
Verificar la solicitud, no solo el rostro
Las pautas de detección visual quedan obsoletas rápidamente. Buscar parpadeos extraños o una boca desincronizada puede ayudar, pero no constituye un procedimiento fiable. La compresión, una mala conexión y las herramientas de generación desdibujan estos indicios. Los detectores automáticos pueden contribuir al análisis; su resultado no debe tratarse como un veredicto.
La regla operativa es más sencilla: una instrucción inusual exige una confirmación independiente. Se devuelve la llamada al directivo o a su asistente a un número conocido. Se utiliza un circuito de aprobación distinto. No basta con responder en el hilo sospechoso, ni se debe llamar al número que este facilita.
- Dinero: ningún cambio de datos bancarios ni transferencia excepcional basados únicamente en una llamada o un vídeo.
- Publicación: todo anuncio sensible pasa por una doble validación, aunque parezca proceder de la cúpula.
- Datos: ninguna transmisión confidencial sin verificar la identidad y la necesidad real.
- Urgencia: la presión para eludir las normas se convierte en un motivo para elevar la alerta, nunca en una autorización.
Una pregunta personal o una contraseña compartida pueden ofrecer una protección puntual, pero no deberían constituir la única barrera: esos secretos circulan o se descubren. Sobre todo, el directivo debe autorizar públicamente a sus equipos a verificar su identidad. Sin ese permiso, el mejor procedimiento corre el riesgo de ceder ante el miedo a desobedecer.
Preparar una respuesta pública que no alimente la falsificación
El comité de crisis debe saber quién decide, quién investiga y quién habla. El equipo de seguridad conserva las pruebas y examina las cuentas; comunicación sigue la difusión del contenido; asesoría jurídica evalúa las actuaciones necesarias. Un registro compartido distingue entre hechos confirmados, hipótesis y decisiones. Este intercambio limita las versiones contradictorias.
Incluso antes de completar el análisis pericial, un mensaje provisional puede precisar que circula un contenido atribuido al directivo, que su autenticidad se está verificando y que no debe emprenderse ninguna acción basándose en él. Remite al canal oficial y anuncia una próxima actualización, sin prometer un plazo imposible de cumplir.
Una vez confirmada la manipulación, el desmentido debe ser explícito, estar fechado y ser fácil de encontrar. Corrige la afirmación central en lugar de volver a publicar innecesariamente el vídeo entero. Las plataformas reciben las denuncias, los periodistas la información verificada y los responsables una instrucción clara. La conservación de las pruebas debe preceder a las solicitudes de retirada.
No toda falsificación merece una rueda de prensa. Una difusión limitada puede requerir una respuesta dirigida a públicos concretos; un rumor ampliamente reproducido exige mayor visibilidad. La decisión depende de los públicos afectados y de las posibles consecuencias, no solo del número de visualizaciones.
Ensayar la crisis sin tender trampas a los empleados
Un ejercicio útil comienza con un escenario concreto: un mensaje de voz falso enviado a una agencia, un vídeo recibido por un periodista, una videoconferencia que solicita una excepción. Se mide el tiempo necesario para alertar, devolver la llamada, suspender la acción y producir un primer mensaje coherente. El objetivo no es ridiculizar a quienes creyeron en la falsificación, sino detectar los fallos del procedimiento.
¿Y ahora qué? Para septiembre de 2026 y los años posteriores, la hipótesis razonable es la de unas suplantaciones más accesibles y mejor integradas en los intercambios cotidianos, no la de un engaño convertido en infalible. Las empresas mejor preparadas no serán las que prometan detectarlo todo. Serán aquellas en las que cada persona sepa dejar en suspenso una solicitud, verificarla fuera del canal sospechoso y encontrar rápidamente una comunicación oficial fiable.
