Deepfakes de IA: la nueva arma del fraude digital que engaña a bancos y empresas

El fraude digital no solo es más común, sino que se ha vuelto fundamentalmente más difícil de detectar. El aumento anual del 40% en el fraude está impulsado casi en su totalidad por herramientas de IA generativa que permiten a los delincuentes clonar voces, crear vídeos sintéticos y fabricar identidades falsas por unos 20 dólares y 30 minutos de esfuerzo .

Esto no es abstracto. En 2024, un empleado de finanzas de la empresa de ingeniería Arup se unió a una videollamada con quien parecía ser el director financiero y varios colegas. Todos en esa pantalla eran deepfakes generados por IA. La empresa autorizó transferencias por aproximadamente 25 millones de dólares .

Estas 'Estafas del Jefe' —en las que los estafadores suplantan a CEOs, directores generales o familiares— representan ahora la categoría de fraude de más rápido crecimiento en los servicios financieros. Explotan una debilidad crítica: los sistemas de verificación de identidad en los que bancos y empresas han confiado durante una década ya no son adecuados.

¿Qué impulsa el aumento anual del 40% en el fraude digital?

La aceleración tiene tres causas principales:

IA generativa mercantilizada. Las herramientas para crear vídeos fotorrealistas, clonar voces y generar documentos sintéticos ya están disponibles comercialmente y son accesibles para personas con muy poca habilidad técnica . Los kits de deepfake para eludir la verificación KYC cuestan unos 20 dólares y tardan 30 minutos en desplegarse . La clonación de voz requiere tan solo tres segundos de audio —a menudo extraídos de redes sociales, conferencias sobre resultados o reuniones grabadas— para producir una réplica con un 85% de precisión .

Automatización a escala industrial. El fraude está pasando de ser un ataque único de alto valor a ataques automatizados y masivos . Las estafas de suplantación de identidad crecieron más de un 1.400% solo en 2025 . El cambio es tan pronunciado que el número de víctimas aumenta incluso cuando las pérdidas totales se mantienen estables: la señal del fraude industrializado y automatizado por IA optimizado para el volumen .

Fraude de identidad sintética. Esto le costó a la industria global de servicios financieros unos 22.000 millones de dólares en 2024, 31.000 millones en 2025, y se proyecta que supere los 40.000 millones en 2026, con la tecnología deepfake como principal impulsor . El fraude sofisticado que utiliza identidades generadas por IA aumentó un 180% interanual .

Los deepfakes representan ahora el 11% de toda la actividad fraudulenta global, según datos recopilados por Vectra AI . El fraude de identidad con deepfakes está en camino de aumentar un 495% en 2026 en comparación con 2025 . Solo los servicios financieros enfrentaron un aumento del 2.137% en los intentos de fraude con deepfakes desde 2022 .

Cómo las 'Estafas del Jefe' usan clonación de voz y vídeo sintético con IA

En una Estafa del Jefe, los delincuentes se hacen pasar por un alto ejecutivo (CEO, director general o CFO) para engañar a los equipos financieros y que aprueben transferencias urgentes. Las técnicas se dividen en varias categorías:

Clonación de voz con IA. Los criminales usan una muestra de audio corta (a menudo tomada de conferencias públicas, reuniones grabadas o clips de redes sociales) para sintetizar una voz convincente . La voz clonada se despliega en llamadas telefónicas o mensajes de voz que ordenan a un subordinado transferir fondos. En enero de 2026, un empresario suizo perdió varios millones de francos suizos tras una serie de llamadas telefónicas que utilizaban una voz clonada por IA que suplantaba a un socio comercial de confianza .

Videollamadas deepfake. El caso de Arup es el ejemplo más famoso, pero no es aislado. En marzo de 2025, un director financiero en Singapur autorizó transferencias por aproximadamente 42 millones de dólares después de recibir instrucciones de quien parecía ser el CFO de su empresa durante una videollamada . Los atacantes utilizaron réplicas de vídeo y audio generadas por IA del CFO y otros ejecutivos .

Suplantación de familiares en emergencias. Una variante paralela utiliza la clonación de voz para hacerse pasar por un familiar (a menudo un hijo o nieto) que dice estar en un accidente de coche, arrestado, secuestrado o en una emergencia médica para exigir pagos urgentes . Las pérdidas documentadas de este tipo de estafas superan los 5 millones de dólares .

Tácticas multicanal. Los estafadores usan WhatsApp, correo electrónico, Microsoft Teams y llamadas telefónicas para crear una sensación de autoridad y urgencia. A menudo investigan información disponible públicamente para que la suplantación sea más convincente y presionan a las víctimas con falsa urgencia y confidencialidad . En julio de 2026, fiscales federales de EE.UU. acusaron a 14 personas en una trama de fraude con deepfakes de 47 millones de dólares que se dirigió a más de 1.200 adultos mayores suplantando a funcionarios bancarios y familiares .

Por qué los sistemas de verificación de identidad de los bancos están fallando

Los bancos y las fintech han pasado la última década construyendo la verificación de identidad remota en torno a un patrón simple: mostrar un documento de identidad, tomarse una selfie y, quizás, hacer una breve comprobación de vida. En 2026, ese patrón está fallando de manera mensurable.

La verificación KYC de documento + selfie está siendo derrotada. La verificación estándar de documento más selfie es vencida por herramientas de intercambio de rostros e inyección de cámara. Los ataques de inyección —donde los atacantes introducen un vídeo deepfake pregrabado directamente en una transmisión de cámara en vivo— aumentaron un 783% solo en 2024 . Los intercambios de rostros con deepfakes eluden las comprobaciones de vida estándar el 58% de las veces .

Las identidades sintéticas eluden la incorporación. Los estafadores alteran fotos en documentos de identidad perdidos o robados y utilizan deepfakes para pasar las comprobaciones de verificación remota. Luego abren cuentas que utilizan para préstamos, fraude con tarjetas de crédito y lavado de dinero . Uno de cada 100 intentos de verificación implica ahora algún tipo de deepfake .

Los ataques de inyección y repetición están mercantilizados. Los atacantes utilizan herramientas como OBS Virtual Camera o controladores personalizados para enrutar una transmisión de vídeo pregrabada o generada por IA a una sesión de verificación . El software ahora se vende como herramienta básica .

La escala es abrumadora. Los intentos de fraude con deepfakes en EE.UU. aumentaron un 1.100% solo en el primer trimestre de 2025 . Se estima que el 85% de los casos de fraude de identidad utilizan ahora herramientas de IA generativa . El Informe de Fraude de Identidad 2026 de Entrust encontró que los deepfakes están vinculados a uno de cada cinco intentos de fraude biométrico, y las selfies deepfake aumentaron un 58% en 2025 .

Advertencias de la SEBI sobre las Estafas del Jefe (julio de 2026)

La Junta de Bolsa y Valores de India (SEBI) emitió una advertencia formal el 17 de julio de 2026 (Comunicado de Prensa No. 40/2026) advirtiendo a todas las empresas listadas y entidades reguladas sobre la Estafa del Jefe . Puntos clave de la advertencia:

• La SEBI declaró que los estafadores están utilizando clonación de voz con deepfake y videollamadas generadas por IA para suplantar a altos ejecutivos y engañar a los departamentos financieros para que transfieran fondos .
• La advertencia fue provocada por alertas del Centro de Coordinación contra el Cibercrimen de India (I4C) .
• La SEBI instó a las empresas a implementar procesos de verificación más estrictos para todas las transferencias de fondos, incluida la confirmación fuera de banda (por ejemplo, devolver la llamada a un número conocido y verificado de forma independiente) y la aprobación de varias personas para pagos por encima de ciertos umbrales .
• El regulador advirtió que los estafadores investigan información disponible públicamente para crear suplantaciones convincentes y a menudo presionan a las víctimas con falsa urgencia y confidencialidad .

La advertencia de la SEBI es parte de una tendencia más amplia. En el cuarto trimestre de 2025, la Red de Control de Delitos Financieros de EE.UU. (FinCEN) emitió una advertencia a las instituciones financieras sobre el uso de deepfakes en el fraude de identidad . El Parlamento Europeo, la INTERPOL y múltiples reguladores nacionales han emitido alertas similares .

Qué pueden hacer las empresas ahora

Los reguladores y expertos en seguridad recomiendan constantemente el mismo conjunto de controles:

• Verificación fuera de banda. Nunca apruebes una transferencia bancaria basándote únicamente en una llamada telefónica, videollamada o correo electrónico. Devuelve la llamada a la persona a un número conocido y verificado de forma independiente, no al número que te llamó .
• Aprobación de varias personas. Exige que al menos dos personas aprueben los pagos por encima de un cierto umbral .
• Límites de transacción. Establece límites diarios o por transacción que requieran escalación .
• Capacitación del personal. Los equipos financieros deben saber que una voz o un rostro familiar en una llamada ya no es una prueba de identidad fiable .
• KYC continuo. El antiguo modelo de 'verificar una vez al incorporarse' ya no es suficiente. El monitoreo continuo de la identidad y el comportamiento se está volviendo necesario .

Como dijo un observador de la industria: "La confianza se está utilizando como arma en la era digital. Con la clonación de voz, las tecnologías deepfake y las plataformas de fraude como servicio cada vez más accesibles, los investigadores necesitan plataformas forenses integradas, intercambio de inteligencia en tiempo real y nuevos marcos probatorios" .

La conclusión es simple pero incómoda: las señales sensoriales en las que siempre hemos confiado para saber con quién estamos hablando —una voz familiar, un rostro reconocible— ya no son fiables. Las organizaciones necesitan construir procesos de verificación que asuman que todos los canales de comunicación pueden estar comprometidos.