.svg)
Hasta hace poco, un correo mal redactado o un IBAN sospechoso eran las señales que ponían en alerta a cualquier equipo financiero. Hoy, esas señales han dejado de ser suficientes. Los deepfakes han cambiado las reglas: un atacante puede clonar la voz del director financiero con solo tres segundos de audio, o simular una videollamada completa con varios "compañeros" generados por IA. Lo que hace unos años parecía ciencia ficción es, en 2026, una amenaza cotidiana con pérdidas que se cuentan en cientos de millones de euros.
En este artículo vamos a explicar qué es exactamente un deepfake, por qué se ha convertido en el vector de fraude ia de mayor crecimiento, qué implica para las instituciones financieras, cómo detectarlo y, sobre todo, qué protocolos funcionan de verdad para proteger a nuestra empresa.
Un deepfake es un contenido audiovisual sintético (vídeo, audio o imagen) generado o manipulado mediante inteligencia artificial, capaz de suplantar el rostro, la voz o los gestos de una persona real con un nivel de realismo que resulta muy difícil de distinguir del original. La tecnología se apoya en redes neuronales generativas (GANs), autoencoders y, cada vez más, en modelos de difusión, que han eliminado buena parte de las señales visuales que antes delataban la manipulación: parpadeo antinatural, bordes borrosos, iluminación incoherente.
El dato que mejor resume la magnitud del problema es este: basta con tres segundos de audio para clonar una voz con un 85 % de coincidencia. Y ese material está disponible de forma gratuita y masiva: entrevistas, vídeos corporativos, apariciones en LinkedIn, podcasts. Cualquier directivo con presencia pública es, sin saberlo, una fuente de entrenamiento para un atacante.
Aquí es donde el problema deja de ser una curiosidad tecnológica y se convierte en un riesgo operativo de primer orden. Los deepfakes han llevado el clásico fraude del CEO a un nivel completamente nuevo. Ya no hablamos solo de un correo suplantando a un directivo: hablamos de llamadas, videollamadas e incluso reuniones enteras donde todos los participantes, salvo la víctima, son recreaciones generadas por IA.
Los casos reales son escalofriantes. En febrero de 2024, un empleado financiero de una multinacional en Hong Kong completó 15 transferencias por 25 millones de dólares tras una videollamada donde el director financiero y varios colegas eran, en realidad, deepfakes. En enero de 2026, una compañía del Fortune 500 perdió 28 millones de dólares en una única llamada con voz clonada de un CEO suizo. Y las cifras agregadas confirman que no son casos aislados: las pérdidas globales por fraude en facturas y transferencias vinculadas a deepfakes alcanzaron cerca de 929 millones de euros en 2025, triplicando la cifra del año anterior, con proyecciones que apuntan a los 16.000 millones de dólares a finales de 2026.
En España, el 23% de las empresas ha sufrido ya intentos de fraude con deepfakes, y estudios internacionales sitúan en el sector financiero y fintech las pérdidas medias más altas por incidente: por encima de los 600.000 dólares.
Para bancos, aseguradoras y departamentos financieros de cualquier empresa, los deepfakes plantean un desafío que va mucho más allá del correo electrónico fraudulento tradicional. Romper la premisa sobre la que se sostenía buena parte del control interno: que ver y oír a una persona era suficiente para confiar en ella.
En banca, los riesgos se concentran en tres frentes. Primero, la suplantación en procesos de verificación de identidad (KYC): un atacante puede intentar abrir cuentas o autorizar operaciones usando vídeo o voz sintéticos que imitan a un cliente real. Segundo, el fraude en transferencias corporativas, donde un empleado del área financiera recibe instrucciones de un "directivo" que en realidad es una recreación generada por IA. Y tercero, la manipulación de mercados, con deepfakes de figuras públicas o ejecutivos que difunden noticias falsas capaces de mover cotizaciones en cuestión de minutos.
Según datos recientes de Sophos, el 62 % de las empresas sufrió ataques impulsados por IA durante el último año, siendo los deepfakes de audio el vector más frecuente (44 % de las organizaciones reportaron al menos un incidente), mientras que los ataques de vídeo ya afectan al 36 %. El Thales 2026 Data Threat Report eleva esa cifra hasta el 60 % de empresas que reconocen haber sufrido algún incidente relacionado.
La protección de los datos financieros frente a este riesgo exige una combinación de medidas técnicas y organizativas. En el plano técnico, cifrado robusto de las comunicaciones internas, autenticación multifactor reforzada (que no dependa únicamente de reconocimiento biométrico, hoy vulnerable) y monitorización de transacciones con reglas específicas para operaciones atípicas.
En el plano organizativo, el factor decisivo es el rediseño de los procesos de aprobación. Ninguna transferencia significativa debería depender de una única comunicación, por convincente que parezca. El principio de doble validación (o "cuatro ojos") es, según los expertos consultados por la industria, la medida que detiene hasta el 95% de los ataques de este tipo: ninguna transferencia por encima de un umbral definido se ejecuta sin la aprobación de al menos dos personas autorizadas, y cualquier solicitud urgente se verifica por un canal distinto al que llegó originalmente.
La detección técnica avanza, pero libra una carrera constante contra la generación. Las herramientas actuales analizan artefactos en audio y vídeo: movimientos labiales inconsistentes, anomalías de frecuencia en la voz, iluminación incoherente entre el rostro y el fondo. Soluciones especializadas (algunas ya integradas en plataformas de seguridad empresarial) ofrecen puntuaciones de probabilidad sobre si un contenido es sintético.
Pero conviene ser honestos sobre las limitaciones. Estudios recientes muestran que las personas solo detectan correctamente un deepfake de vídeo de alta calidad en torno al 24,5 % de las ocasiones, y el 70 % reconoce no confiar en su propia capacidad para distinguir una voz clonada de una real. Como advierte el CEO de una compañía especializada en detección de voz, "la detección nunca alcanzará una precisión del 100 %; las empresas deben diseñar sus procesos para que un único deepfake, por convincente que sea, no pueda causar daño". Esa frase resume perfectamente por qué el control de proceso importa más que la tecnología de detección.
Con todo lo anterior sobre la mesa, ¿qué medidas concretas funcionan? Recogemos aquí las que la evidencia disponible señala como más efectivas.
Verificación por canal distinto (out-of-band). Ante cualquier solicitud de transferencia inusual o urgente, colgar y contactar por un canal diferente al que llegó la petición: llamar a un número guardado previamente, nunca al que aparece en el correo o en la propia llamada sospechosa. El atacante puede falsificar un canal, pero difícilmente varios simultáneamente.
Doble validación obligatoria. Ninguna transferencia significativa se autoriza con una sola firma. A partir de un umbral definido por cada empresa, se exige aprobación de al menos dos personas independientes.
Palabras clave de seguridad. Un código previamente acordado entre el equipo directivo y financiero, que debe mencionarse en cualquier instrucción de pago urgente. Si la persona al otro lado no lo conoce, es una señal de alarma inmediata.
Preguntas de verificación personal. En casos documentados, preguntar algo que solo la persona real podría saber (una anécdota reciente, un dato no público) ha bastado para desenmascarar al atacante, que corta la comunicación al no poder responder.
Formación específica y actualizada. La mayoría de los programas de ciberseguridad siguen centrados en el phishing por correo, mientras los atacantes han migrado hacia el vishing y los deepfakes de voz y vídeo. La formación debe actualizarse para cubrir estos vectores concretos, con simulacros periódicos.
Cultura de escepticismo saludable. El problema de fondo es a menudo cultural: los equipos financieros están entrenados para ejecutar con agilidad, no para cuestionar a sus superiores. Cambiar esa dinámica, dando permiso explícito para parar una operación ante cualquier duda, es tan importante como cualquier medida técnica.
Automatización con control de flujo. Un sistema que exige cotejo automático entre factura, pedido y albarán, y que bloquea cualquier pago que no encaje con el patrón habitual, añade una capa de protección que no depende exclusivamente del juicio humano en el momento del ataque.
En Dost llevamos años trabajando en blindar el ciclo de cuentas a pagar frente a las distintas formas de fraude, incluidas las más sofisticadas que aprovechan la inteligencia artificial. Somos una de las plataformas SaaS de referencia en Europa para automatizar la gestión de facturas y albaranes de proveedores, y nuestra solución incorpora controles diseñados precisamente para este nuevo panorama de riesgo.
¿Qué aportamos en concreto?
El resultado: un proceso de pagos donde la decisión nunca recae en una sola comunicación, por convincente que sea. Frente a un deepfake, la mejor defensa no es adivinar si la voz es real: es tener un proceso que no dependa de esa certeza.
Falsificar facturas constituye, en el Código Penal español, un delito de falsedad documental (artículos 390 y siguientes) que, cuando se utiliza para obtener un beneficio patrimonial ilícito, entra en concurso con el delito de estafa (artículos 248 a 250). Si además se emplea la usurpación de la identidad de un directivo o de un tercero (por ejemplo, mediante un deepfake), puede sumarse el delito de usurpación de estado civil o de identidad (artículo 401). Las penas varían según la cuantía defraudada y las circunstancias agravantes, pudiendo alcanzar varios años de prisión en los casos más graves. La reforma penal de 2025 ha incorporado disposiciones específicas para contemplar el uso de inteligencia artificial en este tipo de delitos.
La inteligencia artificial es un campo tecnológico amplio que abarca cualquier sistema capaz de realizar tareas que normalmente requerirían inteligencia humana: reconocer patrones, generar texto, tomar decisiones, predecir resultados. El deepfake es una aplicación muy concreta de la IA: el uso de redes generativas para crear o manipular contenido audiovisual que suplanta a una persona real. Dicho de otro modo, todo deepfake usa IA, pero la inmensa mayoría de las aplicaciones de IA no tienen nada que ver con deepfakes. El fraude ia es el término paraguas que engloba tanto los ataques basados en deepfakes como otras formas de fraude potenciadas por inteligencia artificial (correos generados automáticamente, chatbots fraudulentos, análisis predictivo para elegir víctimas).
Más allá del fraude, los deepfakes tienen usos legítimos: doblaje cinematográfico, efectos especiales, restauración de voces históricas, sátira y entretenimiento. Sin embargo, los usos maliciosos dominan las estadísticas actuales. Los más frecuentes son: el fraude del CEO mediante voz o vídeo clonado para autorizar transferencias fraudulentas; las estafas de inversión, que usan vídeos falsos de personajes públicos o financieros para dar credibilidad a plataformas fraudulentas (representan el 80 % de las pérdidas por deepfakes en redes sociales); la pornografía no consentida, que sigue siendo la categoría más numerosa en volumen; y la desinformación política, con vídeos falsos de candidatos en procesos electorales. En el ámbito empresarial, el fraude financiero es, con diferencia, el uso que genera mayores pérdidas económicas por incidente.
Los deepfakes han cambiado de forma irreversible el panorama del fraude ia dirigido a empresas. Ya no basta con desconfiar de un correo mal escrito: hoy la voz y la imagen de un directivo pueden clonarse con herramientas accesibles por menos de diez dólares al mes, y la capacidad humana para detectar la manipulación es, según los estudios disponibles, alarmantemente baja.
La buena noticia es que la defensa más eficaz no depende de ganar la carrera tecnológica contra los generadores de deepfakes, sino de rediseñar los procesos internos. Doble validación, verificación por canal distinto, palabras clave y una cultura donde cuestionar una instrucción urgente no se penalice, sino que se recompense. Son medidas sencillas, de bajo coste y con una eficacia demostrada muy superior a la de cualquier herramienta de detección.
En Dost ayudamos a los equipos financieros a construir esa capa de protección de forma sistemática: con flujos de aprobación que nunca dependen de una única comunicación, cotejo automático entre pedido, albarán y factura, y trazabilidad completa de cada decisión. Si queréis revisar cómo de expuesto está vuestro circuito de pagos frente a este tipo de fraude, hablemos. Frente a un deepfake, la confianza ciega en lo que vemos y oímos ha dejado de ser una defensa válida; el proceso que la sustituye, sí lo es.
