El teléfono suena al final de la jornada. Una voz familiar exige una transferencia urgente, menciona una adquisición confidencial y pide eludir el procedimiento habitual. Este escenario de fraude del CEO no tiene nada de nuevo. Pero la inteligencia artificial puede darle una fuerza adicional: la voz que se escucha se parece ahora a la del jefe. Para las empresas, el reto ya no consiste solo en reconocer a un impostor, sino en hacer que su imitación resulte inútil. Con la vista puesta en septiembre de 2026, este análisis se basa en hechos documentados con anterioridad; las posibles evoluciones se presentan como prospectivas.
Una vieja estafa, un recurso persuasivo adicional
El fraude del CEO explota tres resortes clásicos: la autoridad, la urgencia y el secreto. Un estafador se hace pasar por un responsable para obtener un pago o información sensible. El correo electrónico falsificado, la cuenta de correo comprometida y el falso asesor bancario ya constituyen un arsenal eficaz. La clonación de voz refuerza esta mecánica, sin sustituir a las demás herramientas.
Los servicios de síntesis de voz permiten producir una voz similar a partir de grabaciones, con una calidad variable según la herramienta, el idioma y las condiciones del audio. Entrevistas, conferencias y vídeos institucionales pueden proporcionar material. Sin embargo, una demostración convincente no garantiza una conversación improvisada perfecta: la prosodia, las interrupciones o los nombres propios todavía pueden delatar la falsificación.
No obstante, la protección no puede basarse en esas imperfecciones. Una conexión deficiente, un interlocutor con prisa o un mensaje de voz breve reducen las oportunidades de detectarlas. Sobre todo, el atacante no necesita engañar a toda la empresa: le basta con convencer a la persona capaz de iniciar o preparar la operación.
Los casos conocidos muestran, ante todo, una falla organizativa
En 2024, la policía de Hong Kong describió un fraude en el que un empleado había participado en una videoconferencia con falsos compañeros, entre ellos un falso director financiero, antes de efectuar transferencias por un total de unos 200 millones de dólares de Hong Kong. El grupo de ingeniería Arup confirmó posteriormente que era la empresa afectada. Este caso combinaba imitaciones de audio y vídeo: por tanto, no se limita a una llamada de voz.
Sin embargo, ilustra un cambio decisivo: ver y oír a interlocutores aparentemente conocidos ya no constituye, por sí solo, una prueba suficiente. Ya en 2023, la Comisión Federal de Comercio de Estados Unidos también alertaba sobre el uso de la clonación de voz en las estafas de emergencias familiares. El contexto es distinto, pero el mecanismo psicológico se traslada al trabajo: una voz reconocida puede disipar la desconfianza.
Estos ejemplos no permiten medir con precisión la frecuencia de los fraudes de voz en las empresas. Los incidentes publicados ofrecen una visión parcial, y el uso real de una voz sintética puede ser difícil de determinar. El riesgo justifica controles, no estadísticas improvisadas ni el anuncio de una oleada imposible de cuantificar.
Devolver la llamada es útil, siempre que se cambie realmente de canal
La regla central se resume en una frase: una llamada puede transmitir una solicitud, pero no debe bastar para autorizar un movimiento de dinero. El número que aparece en pantalla no demuestra la identidad de quien llama, ya que puede ser suplantado. Y devolver la llamada a un número facilitado durante la conversación equivale a veces a pedir al estafador que confirme su propia identidad.
Una llamada de comprobación útil parte de un directorio interno controlado o de un dato de contacto ya registrado y verificado. Para un cambio de datos bancarios de un proveedor, la confirmación debe obtenerse de un contacto conocido, sin utilizar el número que figure únicamente en el mensaje que solicita la modificación. El objetivo es romper la cadena de confianza construida por el atacante.
Sin embargo, esa llamada no debe convertirse en una autorización verbal sustitutiva. Para los pagos sensibles, complementa un procedimiento formal: solicitud registrada, documentos justificativos, aprobación en una herramienta con autenticación y separación de responsabilidades. Si el atacante también controla un correo electrónico o una cuenta interna, multiplicar los intercambios en ese mismo entorno solo aporta una independencia aparente.
Reconstruir la validación en torno al pago
Un procedimiento sólido examina la operación en lugar del talento como imitador de quien la solicita. ¿El beneficiario es nuevo? ¿Acaba de cambiar la cuenta bancaria? ¿El importe, el país de destino o el horario se salen de lo habitual? Una supuesta instrucción del presidente de la empresa no debe anular estas preguntas.
- Separar la preparación de la aprobación: la persona que crea un beneficiario o prepara una transferencia no debería poder validarlo todo por sí sola.
- Reforzar los controles de las operaciones atípicas: prever una segunda aprobación independiente, justificantes y, según el riesgo, un plazo de seguridad.
- Proteger los accesos: priorizar una autenticación resistente al phishing cuando las herramientas lo permitan, especialmente para el correo electrónico y las aplicaciones financieras.
- Registrar las excepciones: toda excepción debe contar con un responsable identificado, una justificación y una verificación independiente de la llamada inicial.
La doble validación no tiene nada de mágica si dos personas obedecen a la misma llamada alarmista. Cada una debe examinar los elementos de la operación y disponer de una vía para elevar la consulta. Una pyme puede aplicar este principio sin una infraestructura compleja: beneficiarios registrados previamente, límites adecuados, un segundo firmante y contactos alternativos ya constituyen una base concreta.
El derecho a decir no importa tanto como la tecnología
El punto débil es a veces cultural. Cuando un directivo exige excepciones con regularidad, acostumbra a sus equipos a desactivar sus propias protecciones. Al estafador solo le queda reproducir ese comportamiento. Por tanto, una política creíble empieza en la cúpula: ninguna urgencia alegada por teléfono exime de los controles, ni siquiera cuando la solicitud procede realmente del director general.
Los ejercicios de concienciación deben enseñar a interrumpir una operación, no solo a detectar una voz extraña. Un escenario que combine un correo verosímil, una llamada apremiante y un cambio de cuenta bancaria permite poner a prueba el procedimiento. La evaluación debe centrarse en las reacciones y los obstáculos organizativos, sin humillar al empleado que haya caído en la trampa.
Los detectores de voces sintéticas pueden aportar una señal adicional, pero su rendimiento depende de los modelos, la compresión y el ruido. Pueden no detectar una imitación o considerar sospechosa una grabación auténtica. Una frase secreta estática presenta una limitación similar: una vez divulgada o grabada, puede reutilizarse. Ninguno de estos dispositivos sustituye una validación independiente.
Preparar también los primeros minutos tras el fraude
Si ya se ha enviado un pago sospechoso, hay que contactar inmediatamente con el banco para intentar bloquearlo o solicitar su devolución, sin garantía de recuperación. La empresa debe conservar los mensajes, las referencias de la transacción y los registros útiles, avisar a sus responsables de seguridad y finanzas y, después, denunciar los hechos ante las autoridades competentes. Un plan preparado evita perder tiempo buscando quién puede actuar.
¿Y ahora qué? La perspectiva más plausible es una mayor combinación de voz, vídeo y mensajes personalizados, más que una sustitución de todas las estafas por avatares perfectos. Su evolución exacta sigue siendo incierta. La respuesta, en cambio, puede comenzar de inmediato: quitar a la familiaridad de una voz su poder de autorización y establecer controles que sigan siendo válidos incluso cuando la imitación resulte convincente.