El director financiero aparece en pantalla. La misma voz, las mismas gafas, la misma manera de exigir una decisión rápida. A su alrededor, varios compañeros parecen dar su aprobación. ¿Hay que ejecutar la transferencia? Esta escena resume la trampa de los deepfakes en las videoconferencias: convertir una presencia audiovisual familiar en una prueba de identidad. De cara a septiembre de 2026, el desafío no consiste solo en reconocer una imagen manipulada, sino en impedir que una imitación convincente baste para desencadenar una acción irreversible.
Un fraude que explota sobre todo la confianza
El caso que se ha convertido en emblemático se remonta a 2024. En Hong Kong, un empleado realizó transferencias por un total de unos 200 millones de dólares de Hong Kong, equivalentes a unos 25 millones de dólares estadounidenses, tras una videoconferencia en la que aparecían falsos directivos y compañeros. El grupo de ingeniería Arup confirmó posteriormente que era la empresa afectada. Según la información difundida por la policía, la reunión utilizaba imitaciones digitales de personas conocidas por el empleado.
Este caso no demuestra que cualquier estafador pueda fabricar una reunión perfecta. Demuestra algo más importante: la multiplicación de rostros en pantalla no constituye una validación independiente. Si toda la escena está controlada por el atacante, las señales de aprobación no son más que un decorado. Los hechos conocidos acreditan este riesgo; los escenarios planteados aquí para septiembre de 2026 son proyecciones de futuro, no un balance de incidentes verificado a esa fecha.
El ataque suele combinar varios ingredientes: información pública sobre los directivos, fragmentos de voz, vídeos, un pretexto creíble y presión temporal. Un organigrama, una conferencia publicada en internet y unos hábitos de trabajo expuestos en las redes sociales pueden proporcionar la materia prima. El deepfake no sustituye a la ingeniería social: le da un rostro.
Por qué no basta con mirar con más atención
Un contorno de la boca inestable, una sincronización imperfecta, unas gafas que se deforman: estas anomalías pueden alertar. Pero una mala conexión, la compresión del vídeo o un filtro estético también producen defectos. Por el contrario, una imitación puede parecer convincente en una ventana pequeña, sobre todo durante una conversación breve. La ausencia de anomalías visibles no es, por tanto, una prueba de autenticidad.
Pedir que alguien gire la cabeza o pase una mano por delante del rostro puede perturbar algunos sistemas. Sin embargo, no constituye una prueba universal. Un sistema más avanzado puede gestionar esos movimientos; un estafador también puede alegar que la cámara está averiada. Incluso una respuesta espontánea demuestra sobre todo que un interlocutor reacciona en directo, no que tenga la identidad que muestra.
La voz presenta la misma ambigüedad. El acento, el ritmo y la entonación son indicios familiares, pero no secretos. Una pregunta personal puede ayudar, siempre que su respuesta no sea pública ni esté accesible en una cuenta de correo comprometida. Por tanto, hay que trasladar la verificación a un elemento que el atacante no controle.
La pregunta adecuada: ¿qué acción hay que autorizar?
No todas las reuniones justifican el mismo nivel de control. Una presentación comercial y un cambio de datos bancarios no exponen a la empresa al mismo riesgo. El punto de partida consiste en identificar las acciones sensibles: pagos, envío de archivos confidenciales, restablecimiento de accesos, incorporación de un administrador o modificación de un proveedor.
Para estas operaciones, la videoconferencia debe seguir siendo un canal de conversación, sin convertirse nunca por sí sola en un mecanismo de autorización. Un procedimiento útil se resume en unas pocas reglas sencillas:
- Llamar por un canal establecido, a un número procedente del directorio interno o del expediente del proveedor, nunca de la solicitud recibida.
- Hacer que se confirme la operación en la herramienta de gestión, mostrando su importe, su beneficiario o la naturaleza exacta de los permisos concedidos.
- Exigir una segunda validación independiente para las operaciones de alto impacto.
- Suspender cualquier excepción urgente hasta verificarla, incluso cuando parezca proceder de la dirección.
La llamada no es una solución mágica: una línea telefónica también puede ser secuestrada, y una voz, imitada. Su fortaleza reside en la independencia del canal y en su combinación con otros controles. Dos aprobaciones obtenidas en la misma reunión sospechosa no equivalen a dos validaciones realizadas por separado en un circuito controlado.
Autenticar la cuenta y después asegurar la decisión
La autenticación multifactor protege frente a parte de las tomas de control de cuentas. Las llaves de seguridad y las claves de acceso basadas en FIDO2/WebAuthn ofrecen, en particular, una resistencia al phishing que no proporcionan los simples códigos introducidos manualmente. Para las cuentas sensibles, esta protección reduce el riesgo de que un estafador se una a una reunión con una identidad profesional legítima.
Pero hay que distinguir tres cosas: la cuenta conectada, la persona que la utiliza y la acción que autoriza. Una sesión puede ser secuestrada; un equipo puede estar comprometido. Por tanto, un distintivo de participante autenticado no certifica que el rostro transmitido sea real. La autorización final debe seguir vinculada a una operación explícita, trazable y verificable.
La configuración de la plataforma también importa: limitar los invitados, controlar las admisiones, restringir el uso compartido de pantalla y verificar a los participantes inesperados. Estas medidas cierran puertas sin resolver, por sí solas, la suplantación audiovisual. Funcionan mejor con dispositivos administrados, actualizaciones periódicas y supervisión de las conexiones inusuales.
Los detectores: una alarma, no un veredicto
Las herramientas de detección buscan, entre otros indicios, incoherencias entre el sonido y la imagen, rastros de generación o características inusuales de la señal. Su utilidad depende en gran medida de las condiciones de prueba. Un rendimiento medido con vídeos preparados no garantiza el mismo resultado con una transmisión comprimida, oscura, inestable o producida por un modelo desconocido.
Antes de comprar, una empresa debería preguntar qué tipos de manipulaciones se prueban, cómo se miden los falsos positivos y qué ocurre cuando la herramienta ofrece un resultado incierto. Una puntuación de sospecha debe activar una verificación, no una acusación. A la inversa, un resultado tranquilizador nunca debe permitir eludir una doble validación.
El despliegue también plantea cuestiones de privacidad: ¿por dónde pasan las transmisiones, se conservan, quién accede a ellas? El análisis de rostros y voces exige implicar a las áreas de seguridad, asesoría jurídica y protección de datos. Los mecanismos de procedencia firmada pueden aportar indicios sobre el origen de un contenido, pero no demuestran automáticamente la identidad ni la sinceridad de la persona grabada.
Aprender a interrumpir sin acusar
La reacción decisiva es organizativa: permitir que cualquiera diga «voy a verificarlo mediante nuestro procedimiento habitual». Los ejercicios deben entrenar este gesto en lugar de convertir a los empleados en expertos en píxeles. En caso de duda, se suspende la acción, se contacta con seguridad por un canal conocido y se conservan los elementos disponibles conforme a las normas internas. La dirección debe aceptar estos controles también para sí misma.
¿Y ahora qué? El escenario plausible para septiembre de 2026 es el de unas imitaciones más accesibles y unos indicios visuales menos fiables, sin que todos los fraudes se vuelvan indetectables. Las empresas mejor preparadas no serán las que prometan reconocer todos los rostros falsos. Serán aquellas en las que un vídeo, por convincente que sea, nunca baste para mover dinero, divulgar un secreto o habilitar un acceso crítico.
