Deepfakes y fraude del CEO: cómo proteger a tu empresa en 2026

Un empleado recibe una videollamada de su director financiero. La cara es la suya, la voz también y la orden parece urgente. Sin embargo, nadie de esa reunión era real. Por eso, el fraude del CEO con deepfakes se ha convertido en la estafa más rentable contra las empresas. En esta guía verás cómo funciona, qué señales lo delatan y qué protocolo lo frena.

Qué es el fraude del CEO

Es una estafa de ingeniería social muy simple. Es decir, alguien suplanta a un directivo y ordena un pago urgente.

Durante años llegaba por correo. En cambio, ahora llega con voz clonada y con vídeo generado. Además, el atacante ya no necesita escribir bien el español.

El objetivo nunca es tu tecnología. De hecho, el objetivo es una persona con acceso a una transferencia y con prisa.

Por eso el antivirus no te protege aquí. Es decir, el ataque entra por el teléfono y por la confianza, no por la red.

Cómo ha cambiado el fraude del CEO con la IA

Clonar una voz cuesta pocos segundos de audio. Por tanto, una entrevista en vídeo o una simple nota de voz bastan. Además, ese material suele estar publicado por la propia empresa.

Generar un vídeo creíble tampoco requiere ya un equipo técnico. En consecuencia, el ataque ha pasado de raro a industrial.

El caso más conocido ocurrió en una consultora internacional. Es decir, un empleado participó en una videollamada con varios compañeros falsos. Después, autorizó transferencias por unos veinticinco millones de dólares. Sin embargo, el mismo esquema funciona con importes mucho más pequeños.

Cómo funciona el ataque paso a paso

1. Investigación previa. Por ejemplo, revisan LinkedIn, la web y las notas de prensa.
2. Recolección de material. Es decir, buscan audio y vídeo público del directivo.
3. Elección del objetivo. Además, prefieren perfiles nuevos o con poca antigüedad.
4. Contacto con urgencia. Por tanto, siempre hay una operación secreta y un plazo imposible.
5. Presión y aislamiento. Es decir, piden que no se comente con nadie del equipo.
6. Pago fraccionado. Después, empiezan con un importe pequeño para ganar confianza.

Ese quinto paso es la clave. De hecho, el secreto es el ingrediente que hace posible todo lo demás. Además, muchos ataques empiezan semanas antes con preguntas inocentes. Por tanto, conviene vigilar también qué información publica la empresa.

Señales de alerta del fraude del CEO

Estas señales aparecen casi siempre. Por tanto, conviene que todo el equipo las conozca.

• Urgencia extrema. Es decir, hay que pagar hoy y sin excepciones.
• Petición de confidencialidad. Además, se prohíbe consultar con el jefe directo.
• Cambio de cuenta bancaria. Por ejemplo, un proveedor de siempre que de repente cambia de IBAN.
• Canal inusual. Por tanto, sospecha si el aviso llega por un móvil desconocido.
• Halagos y presión emocional. Sobre todo, cuando apelan a tu confianza personal.
• Imposibilidad de devolver la llamada. Es decir, siempre hay una excusa para no verificar.

Cómo proteger a tu empresa del fraude del CEO

El antídoto no es tecnológico, sino de proceso. Además, cuesta muy poco implantarlo.

1. Doble validación para cualquier pago. Por ejemplo, dos personas y dos canales distintos.
2. Verificación por canal alternativo. Es decir, cuelga y llama al número de la agenda interna.
3. Palabra clave interna. Además, acuerda una frase que solo conozca la dirección.
4. Umbral de importe con firma doble. Por tanto, define desde qué cifra hacen falta dos firmas.
5. Protocolo para cambios de cuenta. Después, confirma siempre por teléfono con el contacto habitual.
6. Formación con simulacros. Sobre todo, practica el caso antes de que ocurra de verdad.

Ese punto seis marca la diferencia. De hecho, un equipo entrenado detecta el intento en el primer minuto. Además, conviene repetir el simulacro dos veces al año. Es decir, la memoria del equipo dura menos de lo que crees.

Si quieres ampliar el marco, revisa nuestra guía de IA y ciberseguridad para pymes. Además, conviene dejar estas reglas por escrito en tu política de uso de IA.

Qué hacer si ya has pagado

Actúa en la primera hora. Por tanto, el orden importa más que la calma.

• Avisa a tu banco de inmediato. Es decir, pide el bloqueo o la retrocesión del pago.
• Denuncia ante la policía. Además, aporta correos, grabaciones y números de cuenta.
• Contacta con el INCIBE. Por ejemplo, a través de su línea gratuita de ayuda en ciberseguridad.
• Revisa los accesos. Por tanto, cambia contraseñas y comprueba reglas de reenvío del correo.
• Documenta todo. Sobre todo, para el seguro y para el informe interno.

Puedes consultar recursos y casos reales en la web del INCIBE para empresas.

Preguntas frecuentes

¿Solo afecta a grandes empresas?

No. En cambio, las pymes son objetivo preferente porque tienen menos controles. Además, en una empresa pequeña una sola persona suele poder ordenar el pago.

¿Debo avisar a la plantilla de que esto existe?

Sí, y cuanto antes mejor. Por tanto, explícalo en la próxima reunión y déjalo por escrito.

¿Se puede detectar un deepfake a simple vista?

Cada vez menos. Por tanto, no bases tu defensa en mirar la imagen con atención.

¿Sirve pedir que se toque la cara en la videollamada?

Ayuda un poco, aunque ya no es fiable. Además, la verificación por otro canal sigue siendo mucho mejor.

¿Cubre esto el seguro?

Depende de la póliza. Sin embargo, muchas excluyen el fraude autorizado por un empleado. Por tanto, revisa esa cláusula concreta con tu corredor.

Tu siguiente paso

El fraude del CEO se frena con protocolo y con entrenamiento. Sin embargo, casi ninguna pyme lo tiene escrito. Si quieres montar el procedimiento y formar a tu equipo, escríbenos desde la página de contacto. Salimos con el protocolo definido y el simulacro planificado.