La voz resulta familiar, y el rostro también. En la pantalla, su director financiero solicita una transferencia urgente, confidencial y excepcional. Todo parece creíble, salvo por esa pequeña alarma interior: ¿por qué saltarse el procedimiento? Ante los deepfakes, la reacción adecuada no consiste necesariamente en desenmascarar una imagen manipulada. Consiste en saber decir: «Me encargo en cuanto hayamos confirmado la solicitud por nuestro canal habitual». Una frase sencilla, pero difícil de pronunciar cuando la jerarquía, la urgencia y el miedo a decepcionar entran en la conversación.
Cuando la confianza se convierte en un punto de apoyo para el atacante
El riesgo no tiene nada de pura ficción. En 2024, la policía de Hong Kong describió un fraude en el que un empleado había realizado varias transferencias tras una videoconferencia con falsos compañeros, entre ellos un falso director financiero. El grupo de ingeniería Arup confirmó posteriormente haber sido víctima de esta estafa. El caso demostró que una conversación aparentemente colectiva podía conferir una credibilidad temible a una instrucción fraudulenta.
Esto no significa que todas las reuniones por vídeo sean sospechosas, ni que los deepfakes predominen en el fraude empresarial. Las cuentas de correo comprometidas, los falsos proveedores y las manipulaciones clásicas siguen siendo amenazas importantes. Pero la imitación de voz e imagen amplía su arsenal: explota un potente atajo mental humano, el que asocia el reconocimiento de una persona con la autenticidad de su solicitud.
Con la vista puesta en septiembre de 2026, la perspectiva razonable no es, por tanto, la de una empresa donde nadie crea ya a nadie. Es la de organizaciones obligadas a distinguir con mayor claridad la relación de confianza y la prueba de autorización. Este análisis prospectivo parte de incidentes documentados y de la creciente accesibilidad de las herramientas de síntesis, sin dar por sentada una generalización cuantificada de estos ataques.
El verdadero obstáculo: atreverse a interrumpir a un superior
Sobre el papel, la instrucción parece evidente: volver a llamar para verificar. En la práctica, un empleado puede temer parecer lento, incompetente o insolente. El falso directivo se aprovecha precisamente de esa incomodidad: «Estoy de viaje», «No tenemos tiempo», «Que esto quede entre nosotros». Estos argumentos también se dan en situaciones legítimas, lo que hace incómoda la decisión.
La asertividad consiste aquí en mantener un límite sin atacar a la persona. No se trata de soltar: «Demuéstreme que realmente es usted». Se trata de recordar una norma vinculada a la operación: «Para cualquier cambio de datos bancarios, debo obtener una confirmación independiente». El cambio de enfoque es decisivo: se comprueba una solicitud, no la lealtad de un interlocutor.
Sin embargo, esta habilidad no puede depender únicamente del valor individual. Si un responsable suele penalizar las demoras, un recordatorio en una formación sobre ciberseguridad tendrá poco peso. Para que funcione, la verificación debe estar permitida en la práctica, incluso cuando retrase una solicitud auténtica de una persona influyente.
Otro canal, sí. Pero realmente independiente
Pasar del vídeo al mensaje escrito no basta automáticamente. Si el mensaje llega a la misma cuenta comprometida, la confirmación sigue estando potencialmente bajo el control del atacante. Del mismo modo, llamar a un número facilitado durante la conversación sospechosa equivale a pedir al solicitante que organice él mismo su verificación.
El principio útil es más exigente: retomar el contacto a partir de una referencia ya conocida y fiable. Puede tratarse de un número registrado en un directorio interno, de un circuito de aprobación establecido o de una validación en persona cuando sea posible. Según el carácter sensible de la acción, una segunda aprobación puede complementar esta comprobación. Como ningún canal es infalible, lo importante es no depender de un único elemento de prueba.
Tres fórmulas que evitan la acusación
- Ante la urgencia: «He entendido el plazo. Inicio la verificación prevista antes de ejecutar la transferencia».
- Ante un directivo: «Esta norma también se aplica a las solicitudes de la dirección. Le devuelvo la llamada al número del directorio».
- Ante la confidencialidad: «Puedo preservar la confidencialidad y, al mismo tiempo, recurrir a la persona autorizada para validar la operación».
Estas frases combinan el reconocimiento de la necesidad con el respeto al procedimiento. Conviene adaptarlas al vocabulario del equipo y después repetirlas en voz alta. El objetivo no es recitar un guion mecánico, sino disponer de una respuesta a mano cuando el estrés reduce la capacidad de improvisación.
Verificar la acción en lugar de escudriñar los píxeles
Un rostro ligeramente rígido, una entonación inusual o un desfase entre el sonido y la imagen pueden llamar la atención. Sin embargo, no constituyen una prueba fiable: una mala conexión también produce anomalías, y una imitación convincente puede no dejar ninguna señal evidente. Formar a los empleados únicamente para «detectar lo falso» puede, por tanto, darles una seguridad engañosa.
Es preferible examinar lo que se solicita. ¿Hay que transferir dinero, enviar un archivo sensible, cambiar una cuenta beneficiaria, comunicar información secreta de autenticación o saltarse una aprobación? Cuanto más sensible o difícil de revertir sea la acción, más sólida debe ser su validación, aunque la conversación parezca perfectamente natural.
Este enfoque presenta otra ventaja: evita considerar sospechosos un acento, un trastorno del habla o una cámara defectuosa. La prudencia se centra en condiciones operativas observables, no en la apariencia o la soltura de una persona. Las herramientas de detección pueden contribuir a la defensa, pero no deberían actuar como árbitros únicos de la confianza.
Convertir la verificación en una práctica colectiva
El primer paso corresponde a los directivos: anunciar explícitamente que aceptan que se les vuelva a llamar y que se verifiquen sus solicitudes. Y después demostrarlo, sin ironías ni reproches, cuando ocurra. Un «Ha hecho bien en verificarlo» tras una solicitud legítima enseña más que un cartel que exhorte a todos a mantenerse alerta.
Los ejercicios también deben trabajar la dimensión interpersonal. Una breve simulación puede situar a un empleado ante una solicitud apremiante y hacerle practicar después una reformulación, una negativa provisional y la derivación a una instancia superior. El análisis posterior aborda tanto los medios disponibles como las emociones: ¿en qué momento tuvo miedo de molestar? ¿Sabía con quién contactar?
Por último, la empresa debe prever las excepciones antes de la crisis. Si no se puede contactar con el responsable, ¿quién puede validar la operación? ¿Qué se puede dejar en espera? ¿Dónde se puede comunicar un intento de fraude sin difundir innecesariamente datos personales? Un procedimiento sin alternativa empuja a saltárselo. Un procedimiento viable también protege al empleado que decide suspender una operación.
¿Y ahora? Si las imitaciones se vuelven más accesibles y convincentes, la defensa deberá depender menos del talento individual para reconocer una voz. Se apoyará más en validaciones independientes y en una cultura donde pedir confirmación no sea una ofensa. La señal de madurez será sencilla: poder responder al directivo «primero lo verifico» y después retomar el trabajo sin justificaciones incómodas. La confianza no desaparece; aprende a aceptar una verificación.
