Imagina que tu contralor recibe una llamada —o una videollamada— del CEO. La voz es idéntica, el tono es el de siempre y la instrucción es clara y urgente: transfiere a esta cuenta antes de que cierre el banco, y no lo comentes todavía con nadie. Nada en tu red detectó un ataque, porque no lo hubo. El “exploit” fue la confianza. Esto dejó de ser ciencia ficción: la inteligencia artificial volvió barato y rápido clonar a un ejecutivo, y la suplantación de identidad es hoy uno de los fraudes de mayor volumen del mundo.
Qué cambió: la IA abarató el engaño
Clonar una voz convincente ya no requiere un laboratorio: basta con material que tu empresa publica sin pensarlo —un podcast, un webinar, una entrevista, un video en redes—. Con eso, un atacante genera audio (y cada vez más, video) que suena y se ve como tu directivo. Y no es teoría: en octubre de 2026 se documentó el primer ataque operado casi de punta a punta con agentes de IA contra tres bancos (Shinhan, KB Kookmin y Hana, en Corea del Sur), usando una suite ofensiva basada en modelos de lenguaje. La IA no inventa fraudes nuevos: industrializa los que ya funcionan, subiendo su velocidad y su escala.
Las cifras no son de nicho. Son de los fraudes más caros que hay:
Que hasta las grandes plataformas lo estén blindando lo dice todo: en junio de 2026, Google lanzó en Android una función de detección de llamadas falsas con IA. Cuando una empresa como Google invierte en frenar esto a nivel de sistema operativo, es señal de que el fraude por suplantación ya es masivo, no anecdótico.
Cómo funciona el engaño
// huella pública del ejecutivo → clonación con IA → llamada “urgente y confidencial” → transferencia o cambio de CLABE
El patrón es casi siempre el mismo: reconocimiento de quién manda y de quién autoriza pagos, clonación con IA, y una llamada o videollamada “urgente y confidencial” diseñada para presionarte a saltar el procedimiento normal. El objetivo final es concreto: una transferencia o un cambio de cuenta (CLABE) de último minuto.
Por qué te salta todos los controles
No te atacan la red: te atacan la confianza
Tu firewall, tu antivirus y tu EDR no ven una llamada convincente. El punto débil que explota este fraude no es un servidor sin parchar: es tu proceso de autorización de pagos. Por eso ninguna herramienta técnica, por sí sola, lo detiene — y por eso el control correcto también es de proceso, no solo de tecnología.
Señales de alerta y el control que sí funciona
Qué hacer hoy
- Instituye una regla sin excepciones: ningún movimiento de fondos ni cambio de cuenta se ejecuta solo con una llamada, audio o videollamada — siempre verificación fuera de banda por un canal ya conocido.
- Pon umbrales y doble firma para pagos grandes y para altas o cambios de beneficiarios. Un segundo par de ojos rompe la cadena de la urgencia.
- Entrena con simulacros: la mayoría de tu equipo nunca ha visto un deepfake de su jefe. Que lo vea en un ejercicio controlado, no en un fraude real.
- Reduce la materia prima del atacante: revisa cuánta voz y video de tus directivos está público y si realmente hace falta que lo esté.
- Ten un plan de respuesta: a quién llamar en el banco y en tu equipo si una transferencia ya salió. En este fraude, los primeros minutos deciden si el dinero se recupera.
La lección de fondo: la IA movió el frente de batalla del perímetro técnico a la decisión humana. Las empresas que blindan su proceso de autorización —no solo su red— convierten una llamada “del jefe” en un trámite de 30 segundos de verificación, en lugar de una transferencia irreversible.
// ¿Tu equipo resistiría una llamada “del CEO”?
En Haak montamos simulacros de ingeniería social con IA (voz y deepfake), reforzamos tu proceso de autorización de pagos y entrenamos a tu gente para detectar el engaño antes de que mueva dinero.
Ver servicios de ciberseguridad →