Estafas con voz y video deepfake: reglas de verificación que protegen a su empresa

Los delincuentes ya clonan voces y falsifican videollamadas para hacerse pasar por ejecutivos y proveedores. Conozca las reglas de verificación que detienen estas estafas.

M Por Max 27 de octubre de 2026 · 7 min de lectura

Estafas con voz y video deepfake: reglas de verificación que protegen a su empresa

Las herramientas de IA ya pueden imitar la voz de una persona a partir de una grabación corta y producir un video convincente de un rostro que en realidad no está en la llamada. El FBI ha advertido que los delincuentes usan estas herramientas para hacerse pasar por ejecutivos, familiares y funcionarios con el fin de obtener dinero o acceso a cuentas. Para una empresa, la defensa no consiste en intentar "oír" si una voz es falsa. Consiste en unas reglas de verificación sencillas: toda solicitud para mover dinero, cambiar datos bancarios o dar acceso se confirma por un segundo canal en el que usted ya confía, la aprueban dos personas y nunca se apresura porque quien llama diga que es urgente.

Qué dicen realmente las advertencias

Varias agencias de EE. UU. han publicado advertencias sobre la suplantación generada con IA. Vale la pena leerlas completas, porque describen los patrones que su personal probablemente verá:

FBI / IC3, 3 de diciembre de 2024 ("Criminals Use Generative Artificial Intelligence to Facilitate Financial Fraud"): los delincuentes usan audio generado con IA para suplantar a personas, incluso para obtener acceso a cuentas bancarias, y video generado con IA para hacerse pasar por ejecutivos de empresas, agentes del orden u otras figuras de autoridad durante videollamadas en tiempo real.
FBI / IC3, 15 de mayo de 2025 ("Senior US Officials Impersonated in Malicious Messaging Campaign"): desde abril de 2025, actores maliciosos enviaron mensajes de texto y mensajes de voz generados con IA que decían venir de altos funcionarios de EE. UU., generaban confianza y luego llevaban a las víctimas a otra plataforma de mensajería para robar credenciales. El consejo del FBI es verificar la identidad llamando a un número que usted mismo encuentre y nunca enviar dinero con base en una solicitud no verificada.
Alerta de FinCEN FIN-2024-Alert004, noviembre de 2024: FinCEN informó un aumento, desde 2023, de reportes de actividad sospechosa que describen el presunto uso de medios deepfake en fraudes contra instituciones financieras y sus clientes, y enumera señales de alerta para los bancos.

El hilo común no es la tecnología. Es el mismo manual de ingeniería social de siempre (autoridad, urgencia, secreto y una solicitud de dinero o acceso) con una voz o un rostro más creíble.

Cómo llegan estas estafas a una empresa

Los esquemas descritos en estas advertencias suelen encajar en unos pocos patrones. Conocerlos facilita detectar la solicitud, aunque la voz suene correcta.

El "director" que necesita una transferencia hoy

Una llamada o nota de voz que suena como el dueño o un gerente le pide al contador enviar un pago, comprar tarjetas de regalo o pagar a un proveedor "confidencial" antes de que termine el día. Quien llama puede decir que está abordando un vuelo o en una reunión y que no puede hablar mucho.

El proveedor con "nuevos datos bancarios"

Un contacto conocido de un proveedor llama (o deja un mensaje de voz) para confirmar un cambio de cuenta bancaria, a menudo justo después de un correo con la misma solicitud. La llamada sirve para que el correo parezca legítimo. Es la versión por voz del compromiso del correo empresarial (BEC).

La videollamada con un participante falso

Una videollamada corta en la que un ejecutivo conocido aparece brevemente, pide una transacción y se va. La mala calidad del video, una "mala conexión" o una cámara que se apaga son excusas convenientes.

La llamada a soporte técnico

Alguien que suena como un empleado llama a TI o a un gerente para restablecer una contraseña, volver a registrar un dispositivo de MFA o dar acceso "porque estoy bloqueado y el cliente está esperando".

Equipo en una videollamada revisando una solicitud de pago antes de aprobarla

Las reglas de verificación que lo detienen

Estos controles funcionan tanto si la suplantación se genera con IA como si es simplemente un buen actor por teléfono. Póngalos por escrito, pida al dueño que los apruebe y aplíquelos a todos, incluido el dueño.

1. Devuelva la llamada a un número que ya tiene

Nunca verifique una solicitud con los datos de contacto que vienen en la misma llamada, mensaje de voz, texto o correo. Cuelgue y llame a la persona usando un número de sus propios registros: el archivo maestro de proveedores, un contrato firmado, el directorio de la empresa o el contacto guardado en su teléfono antes de la solicitud. El FBI da el mismo consejo en los dos avisos mencionados.

2. Use una frase de verificación para dinero y accesos

Acuerde una palabra clave o pregunta de control con las personas que pueden autorizar pagos, y manténgala fuera del correo, del chat y de los documentos compartidos. El FBI recomienda una palabra secreta para las familias; la misma idea sirve para un equipo directivo pequeño. Cámbiela si alguien se va o si sospecha que se ha compartido.

3. Exija dos personas para pagos y cambios bancarios

Todo beneficiario nuevo, cambio de cuenta bancaria o cambio de depósito directo de nómina necesita la aprobación de dos personas, y una de ellas hace la llamada de verificación.
Las transferencias y los pagos ACH por encima de un umbral interno necesitan un segundo aprobador en el portal del banco, no solo un "sí" verbal.
Pregunte a su banco qué funciones de doble control y aprobación de beneficiarios admite su cuenta empresarial y actívelas.

4. Los cambios de nómina y depósito directo siguen un proceso fijo

Los empleados cambian sus datos bancarios solo a través del sistema de recursos humanos o de nómina con sesión iniciada y MFA, o en persona; nunca por teléfono, texto o correo a un gerente. Avise al empleado en su dirección conocida después de cualquier cambio.

5. La urgencia y el secreto son motivos para ir más despacio

Establezca como política que nadie será penalizado por verificar una solicitud legítima. Si alguien dice "no se lo cuente a nadie" o "esto no puede esperar a la llamada de verificación", el proceso se aplica igual. La dirección tiene que decirlo en voz alta, porque de lo contrario el personal no se atreverá a demorar a un "director".

6. Proteja el soporte técnico y los restablecimientos de MFA

Las solicitudes de restablecer contraseñas y volver a inscribir MFA deben verificarse de la misma forma: llame al número del directorio o confirme con un gerente por otro canal. Prefiera MFA resistente al phishing cuando sea posible (vea nuestra guía de autenticación multifactor).

Un guion que su personal puede usar

Dele al personal de recepción, contabilidad y TI palabras que puedan decir sin sentirse descorteses:

"Gracias. Nuestra política es confirmar todo pago o cambio de cuenta llamando al número que tenemos registrado. Le devuelvo la llamada enseguida."

Si quien llama insiste:

"Entiendo que es urgente. No puedo hacer una excepción, pero le llamo en unos minutos al número que tenemos en nuestro sistema."

Y luego cumpla. Un ejecutivo o proveedor real contestará la llamada; un estafador normalmente no.

Reduzca lo que los atacantes pueden copiar

No puede eliminar de internet todas las grabaciones de voz de su equipo directivo, ni debe dejar de hacer marketing. Pero sí puede dificultar la estafa:

Mantenga fuera de publicaciones y anuncios de empleo quién aprueba los pagos y cómo funciona su proceso de aprobación.
Revise qué datos del personal se ven en el sitio web y en los perfiles sociales, y si aparecen números de teléfono personales.
Anime a la dirección a mantener privadas sus cuentas personales en redes sociales, como sugiere el FBI.
Capacite al personal con ejemplos reales de las advertencias, junto con las señales de phishing que todo empleado debe conocer.

Qué hacer si un pago ya salió

Llame a su banco de inmediato y pida que retiren o congelen la transferencia. La rapidez importa.
Presente una denuncia en ic3.gov con los detalles de la transacción.
Conserve el mensaje de voz, el registro de llamadas, los mensajes y los correos; no los borre.
Cambie contraseñas y revise la MFA de toda cuenta de la que el estafador pudo haberse enterado.
Siga sus pasos de respuesta a incidentes (nuestra lista para las primeras 24 horas después de una brecha es un buen punto de partida).

Existen herramientas para detectar medios sintéticos, pero ninguna de las advertencias citadas las trata como sustituto del proceso. Una llamada de verificación y un segundo aprobador funcionan sin importar lo bueno que sea el engaño.

Si quiere ayuda para redactar reglas de verificación de pagos, configurar la doble aprobación y la MFA, y capacitar a su equipo, solicite una evaluación de TI gratuita. Core Florida IT trabaja con empresas de Miami-Dade y todo el sur de Florida en ciberseguridad y soporte de TI administrado, en inglés y en español.