Una estafa «deepfake» dirigida a directores financieros consiste en un ataque de suplantación de correo electrónico empresarial en el que se utiliza una voz o un vídeo falsos: los delincuentes se hacen pasar por un director financiero o un alto ejecutivo, te invitan a una reunión o llamada en directo y, a continuación, te presionan para que realices una transferencia urgente, facilites tus credenciales o ejecutes un programa malicioso. En 2026, la respuesta más segura no es «detectar la falsificación». Es verificar la solicitud por un canal alternativo antes de que se transfiera dinero, se conceda acceso o se muevan datos.
Manual de estafas con «deepfakes» dirigidas a directores financieros en 2026
La intención de búsqueda en este caso es informativa y tiene un marcado enfoque en la gestión de riesgos: quieres saber cómo funcionan estas estafas, hasta qué punto son creíbles y qué debería hacer tu equipo financiero antes de que llegue la próxima solicitud de pago urgente. El término «estafa del director financiero deepfake» suele referirse a una suplantación de identidad en tiempo real, no solo a un mensaje de voz falso.
El patrón ya nos resulta familiar. Los atacantes recopilan vídeos públicos, grabaciones de conferencias sobre resultados, material de LinkedIn, grabaciones filtradas de reuniones o archivos multimedia robados; clonan la voz o el rostro del ejecutivo; y, a continuación, integran la suplantación de identidad en un ataque de phishing, un ataque de suplantación de correo electrónico empresarial, una sesión falsa de Zoom o un proceso de selección de personal falso.
Un caso ocurrido en 2024 puso de manifiesto este riesgo de forma dolorosamente concreta. La policía de Hong Kong describió una estafa por videoconferencia en la que un empleado transfirió $200 millones de HK$, unos $25 millones de dólares estadounidenses en 2024, tras una llamada con falsos altos cargos, entre ellos un supuesto director financiero. Esa cifra resulta útil porque desmonta el mito de que el fraude mediante deepfakes es principalmente teórico.
Para 2026, las estafas más eficaces no se basan en un vídeo perfecto. Se basan en la autoridad, el momento oportuno y una petición que resulte lo suficientemente verosímil: haz una transferencia a este proveedor hoy mismo, aprueba esta transacción con criptomonedas, únete a esta reunión de respaldo a través del enlace, o ayuda al «departamento de TI» a solucionar tu problema de audio siguiendo unas instrucciones.
¿Cómo se desarrollan realmente los ataques de suplantación de identidad de altos directivos en tiempo real?
Una estafa de «deepfake» al director financiero suele comenzar antes de la llamada. El atacante analiza las líneas jerárquicas, los procedimientos de pago, las filiales, los banqueros, los proveedores y los calendarios de viajes, y luego elige un momento en el que una confirmación habitual resulte inoportuna.
A partir de ahí, la ingeniería social se encarga de la mayor parte del trabajo. El falso directivo puede aparecer en una videoconferencia en directo o simulada, utilizar una voz clonada en una llamada telefónica o combinar un hilo de correo electrónico convincente con una breve aparición en vídeo que disuada de plantear preguntas.
Google Cloud/Mandiant informó en 2026 de que UNC1069 utilizó cuentas de Telegram comprometidas, una infraestructura falsa de Zoom, un vídeo deepfake del director general —según se informó— e instrucciones de resolución de problemas denominadas «ClickFix» para distribuir malware. En ese caso, Mandiant señaló que la infraestructura incluía el dominio zoom.uswe05.us, un pequeño detalle que demuestra lo realistas que pueden parecer estos señuelos cuando se mueven a gran velocidad.
Las reuniones falsas también se solapan con el fraude en la contratación. El Informe Anual IC3 de 2025 del FBI describió denuncias relacionadas con el empleo y la IA que implicaban la suplantación de voz o posibles «deepfakes» de voz durante entrevistas en línea, con desajustes entre el movimiento de los labios y el audio, a menudo con el objetivo de acceder a redes informáticas privadas. Si tu empresa considera que la incorporación de contratistas es un proceso menos riguroso que las aprobaciones del departamento de tesorería, eso supone una brecha que los atacantes pueden aprovechar.
La lección práctica es clara: tu plataforma de reuniones no es un sistema de identificación. Zoom y BrightHire anunciaron en junio de 2026 la incorporación de una función de detección de fraudes en las entrevistas en directo a través de Zoom, que incluye señales de detección de deepfakes para los clientes de Zoom Workplace con una suscripción activa a BrightHire; sin embargo, ni siquiera las herramientas de detección más útiles sustituyen a la verificación por parte de la empresa.
Las cifras que se esconden tras la amenaza
Es difícil cuantificar los delitos relacionados con el «deepfake», ya que las víctimas los denuncian como «compromiso de correo electrónico empresarial», «fraude laboral», «malware» o «apropiación de cuentas». No obstante, las cifras disponibles para el periodo 2024-2026 apuntan en una misma dirección: la suplantación de identidad asistida por IA ha pasado de ser una novedad a convertirse en un modelo operativo.
El informe de IBM de 2025 sobre el coste de las filtraciones de datos reveló que 16% de las filtraciones se debieron a atacantes que utilizaron inteligencia artificial. De esas filtraciones en las que intervino la inteligencia artificial, el phishing generado por IA representó 37% y los ataques de suplantación de identidad mediante deepfakes, 35%.
Haz los cálculos. Si imaginas 1.000 incidentes que se ajusten a esa distribución, 160 implicarían el uso de IA por parte de los atacantes y 56, suplantación de identidad mediante deepfakes. Eso supone solo el 5,61 % del total de infracciones en este cálculo simplificado, pero es una parte importante del subconjunto asistido por IA, y el impacto puede concentrarse en una única cadena de aprobación.
El Informe Anual IC3 de 2025 del FBI registró 22 364 denuncias y $893 346 472 en pérdidas relacionadas con «Cómo se podría utilizar la IA en fraudes y estafas». También recogió 135 denuncias relacionadas con la IA por estafas de suplantación de identidad empresarial (BEC) y 691 por estafas laborales; las estafas laborales relacionadas con la IA causaron pérdidas por valor de casi $13 millones en 2025.
| Fuente y año | Encontrar | Por qué es importante para los equipos financieros |
|---|---|---|
| Policía de Hong Kong, 2024 | Se transfirieron 1 TP8T200 millones de HK$, unos 1 TP8T25 millones de dólares estadounidenses, tras una videollamada con altos cargos en la que se utilizó un vídeo falsificado mediante deepfake. | Muestra cómo una sola reunión puede hacer que se pierda la precaución habitual |
| Encuesta de Deloitte, 2024 | El 51,61 % de los ejecutivos prevé que se produzcan más ataques de «deepfake» —o de mayor envergadura— contra datos financieros y contables en los próximos 12 meses. | Los altos directivos ya consideraban las finanzas como un objetivo prioritario |
| IBM: El coste de una filtración de datos, 2025 | El 16% de las infracciones implicó el uso de IA por parte de los atacantes; el 35% de ellas utilizaron la suplantación de identidad mediante deepfakes | Los «deepfakes» son un método de violación de la seguridad cuantificable asistido por IA |
| FBI IC3, 2025 | 22 364 denuncias por fraude relacionado con la IA y $893 346 472 en pérdidas | Las pérdidas por estafas relacionadas con la IA ya no son más que un ruido marginal en las noticias |
| IBM X-Force, 2026 | Aumento del 49% en el número de grupos de ransomware activos en 2025 con respecto a 2024 | La suplantación de identidad puede ser el primer paso hacia el malware y la extorsión |
Sinceramente, la tabla subestima la gravedad del problema para las pequeñas y medianas empresas. Una multinacional puede hacer frente a un intento fallido de transferencia y mejorar sus controles; una empresa más pequeña, en cambio, puede perder el dinero destinado a las nóminas, la confianza de los proveedores y tiempo de respuesta ante incidentes en una sola tarde.
Cómo la estafa del director financiero «deepfake» burla los controles habituales
Muchas empresas siguen defendiendo los pagos como si la principal amenaza fuera un correo electrónico sospechoso. La estafa del «deepfake» del director financiero cambia el contexto emocional al introducir un rostro, una voz o un cargo conocidos en el momento de la aprobación.
La autenticación multifactorial estándar ayuda, pero no garantiza la buena fe. Un responsable financiero puede superar la autenticación multifactorial, iniciar sesión en el portal oficial del banco y, aun así, enviar dinero a una cuenta de delincuentes si el «director financiero» con el que está hablando por teléfono le ha convencido de que la transferencia es confidencial.
Los límites de pago también pueden fallar. Los atacantes pueden dividir las facturas, presentar una solicitud de cambio de proveedor por un importe inferior al límite de revisión o pedir acceso en lugar de dinero. Esta última variante suele pasar más desapercibida: un falso directivo te pide que invites a un «consultor», que apruebes a un trabajador a distancia o que sigas unos pasos para solucionar un problema, y la pérdida final se debe al acceso a la red en lugar de a una transferencia bancaria.
En el caso de los riesgos adyacentes, tu equipo de seguridad debería comparar este patrón con Fraude mediante deepfakes de voz y controles de confianza en la identidad, ya que la voz por sí sola resulta ahora demasiado insignificante como para considerarla una prueba. Esas mismas tácticas de presión también se observan en un contexto más amplio Ciberataques basados en la inteligencia artificial, donde la automatización ayuda a los delincuentes a probar los señuelos más rápidamente.
Otro escollo del que nadie habla lo suficiente: las frases clave pueden quedar obsoletas. Si tu frase de emergencia aparece impresa en un documento de incorporación, está guardada en una wiki compartida o se reutiliza durante años, ya no es un secreto, sino un recuerdo.
¿Se pueden detectar los «deepfakes» en tiempo real?
Algunos proveedores y prototipos de investigación afirman ofrecer detección en tiempo real o detección mediante sonda activa, y parte de ese trabajo resulta prometedor. Sin embargo, no se garantiza una detección fiable en 2026, sobre todo cuando al atacante le basta con una breve aparición, una iluminación deficiente, un falso problema de conexión o una presión basada principalmente en el audio.
El anuncio realizado por Zoom y BrightHire en junio de 2026 es una indicación útil de hacia dónde se dirige el mercado: la detección de fraudes durante las entrevistas en directo, mediante el uso de indicadores propios y tecnología de detección de deepfakes. Se trata de un caso de uso concreto y práctico, no de un escudo mágico para todas las reuniones de la junta directiva, las negociaciones de fusiones y adquisiciones o los pagos a proveedores.
La detección también plantea una cuestión de gestión. ¿Quién ve la alerta? ¿Se interrumpe la reunión automáticamente? ¿Qué ocurre si el director financiero está de viaje y se conecta a una red Wi-Fi de hotel con poca cobertura, y el sistema genera un falso positivo durante una emergencia real?
Mi opinión: hay que considerar la detección como una alarma de humo, no como una puerta cortafuegos. Puede avisarte, pero tu flujo de trabajo debe seguir garantizando que ni un solo empleado bajo presión abra las salidas.
Crea un flujo de trabajo de verificación que resista a un jefe falso
La mejor defensa contra una estafa de «deepfake» en la que se suplantan las identidades de los directores financieros es, por definición, aburrida. Lo que se necesita es un proceso que funcione cuando la gente está cansada, la solicitud es urgente y la persona que aparece en pantalla parece tener más rango que todos los demás.
- Exigir devoluciones de llamada fuera de banda para nuevos beneficiarios, cambios en los datos bancarios, transferencias de emergencia, acceso privilegiado e incorporación de nuevos empleados a distancia. Utiliza un número conocido de tu agenda, no uno que figure en el mensaje.
- Utilizar la aprobación por parte de varias personas para las decisiones relativas a la financiación y al acceso. Dos responsables de la aprobación deben verificarlo por separado, y ninguno de ellos debe basarse en la misma reunión como prueba.
- Crear nuevas frases de desafío En el caso de eventos de alto riesgo, ve alternándolos y evita incluirlos en documentos compartidos y sistemas de gestión de incidencias.
- Entrena para lidiar con la presión, no solo con los artefactos. Los empleados deben considerar como señales de alerta el secretismo, la urgencia, el cambio de plataforma y la indicación de «no se lo digas todavía al departamento jurídico».
- Registrar excepciones. Si un directivo se salta el proceso por una razón justificada, hay que dejar constancia de quién aprobó la excepción y confirmarlo posteriormente.
Para las empresas que están reforzando su programa de identidad general, medidas de control contra el fraude de identidad sintética deben considerarse en el mismo contexto que la suplantación de identidad de directivos. La contratación a distancia, el acceso de los contratistas, las autorizaciones financieras y los canales de asistencia privilegiados coinciden en un mismo punto débil: la confianza concedida con demasiada rapidez.
Microsoft 365 y otras suites de colaboración suelen formar parte de estos flujos de trabajo, pero el cansancio ante la autenticación multifactorial (MFA) y el robo de tokens pueden seguir dejando lagunas; este problema se aborda en profundidad en Por qué la autenticación multifactorial (MFA) de Microsoft 365 podría no ser suficiente. En el caso de las organizaciones en expansión, también resulta útil identificar qué controles alcanzan la madurez primero, tal y como se describe en prioridades de seguridad a medida que las empresas crecen.
Un equipo financiero pequeño puede poner en práctica mañana mismo una norma viable: ningún nuevo beneficiario, cambio de datos bancarios o pago urgente a un directivo será válido hasta que una segunda persona confirme la información mediante una llamada de verificación utilizando un directorio de confianza. A este precio, es difícil encontrar algo mejor.
Preguntas frecuentes
¿Cómo funcionan las estafas con deepfakes?
Los atacantes recopilan archivos multimedia públicos o sustraídos, crean imitaciones de voz o vídeo, las combinan con técnicas de phishing, BEC, enlaces falsos a reuniones o procesos de incorporación falsos, y luego solicitan dinero, credenciales, instrucciones para instalar malware o acceso. La suplantación de identidad genera confianza; el fallo en el proceso provoca la pérdida.
¿Cuál es la señal de alerta de una estafa de «deepfake» en la que se suplantan las identidades de los directores financieros?
La señal de alerta más clara es la presión para eludir los procedimientos habituales de verificación, sobre todo en el caso de una transferencia urgente, un cambio de proveedor, un acuerdo secreto o una solicitud de acceso. Los fallos técnicos, los movimientos extraños de los labios y las anomalías en el audio son importantes, pero la presión para saltarse los procedimientos lo es aún más.
¿Se puede detectar un «deepfake» en tiempo real durante una llamada de Zoom?
A veces, pero no con la fiabilidad suficiente como para basar las autorizaciones únicamente en la detección en 2026. Utiliza las herramientas de detección cuando sea adecuado y, a continuación, exige una verificación fuera de banda para las acciones de alto riesgo.
¿Son las estafas con «deepfakes» del director financiero un problema exclusivo de las grandes empresas?
No. Las grandes empresas son objeto de intentos de fraude más importantes, pero las empresas más pequeñas suelen tener menos niveles de aprobación y un acceso más informal a los directivos. Una sola llamada fraudulenta puede provocar daños en la nómina, con los proveedores o en las operaciones bancarias.
ES 
EN 
FR