La llamada llegó al director financiero de una empresa de logística española a las 11:47 de un martes. Era la voz de su CEO, perfectamente reconocible, urgente, explicando que había una adquisición en marcha que requería una transferencia de 380.000 euros antes de las 14:00 para no perder el trato. La operación se realizó. El problema: el CEO estaba en un vuelo de regreso desde Berlín y nunca hizo esa llamada. La voz era una clonación generada por inteligencia artificial generativa entrenada con grabaciones públicas del CEO en entrevistas y conferencias. Era perfecta. Imposible de distinguir.
Cómo funciona el fraude con inteligencia artificial generativa
Lo que hace apenas dos años requería semanas de trabajo especializado y recursos técnicos sofisticados, hoy puede hacerse en minutos con herramientas accesibles en abierto. Los sistemas de inteligencia artificial generativa actuales pueden:
- Clonar una voz con menos de 30 segundos de audio de referencia, incluyendo entonación, velocidad y matices emocionales específicos del individuo.
- Generar vídeos deepfake de alta calidad a partir de una sola fotografía, capaces de superar los controles de videoconferencia estándar.
- Replicar estilos de escritura con precisión suficiente para engañar a colaboradores que conocen bien a la persona suplantada.
- Crear identidades completas —documentos, perfiles en redes, historial digital— que resisten verificaciones superficiales.
- Orquestar ataques multicanal que combinan llamada, email y mensaje de texto simultáneos para aumentar la credibilidad del engaño.
Los casos que están llenando los juzgados europeos en 2026
El Centro Europeo de Delitos Informáticos de Europol ha publicado un informe que eleva en un 340% los casos de fraude empresarial con base en inteligencia artificial generativa respecto al año anterior. La media de pérdida por incidente en empresas medianas europeas supera los 250.000 euros. Los casos más documentados siguen el mismo patrón:
- Fraude del CEO (Business Email Compromise 2.0): suplantación de directivos con voz o vídeo para autorizar transferencias urgentes.
- Suplantación de proveedores: generación de comunicaciones convincentes de proveedores habituales solicitando cambio de cuenta bancaria.
- Falsificación de contratos: documentos alterados con firmas generadas por IA que superan la verificación visual.
- Fraude en procesos de selección: candidatos que usan deepfakes en videoentrevistas para acceder a posiciones con acceso a sistemas críticos.
- Manipulación de evidencias: creación de pruebas falsas en procesos de auditoría interna o disputas comerciales.
Ya no podemos confiar en que una voz familiar en una llamada es quien dice ser. Ese supuesto básico en el que se basa toda la comunicación empresarial acaba de volverse obsoleto.
Especialista en fraude corporativo del Banco de España
El perfil de empresa más vulnerable: probablemente la tuya
Los análisis de Europol y del INCIBE español revelan que las empresas más vulnerables a estos ataques no son las que tienen peores sistemas de seguridad informática. Son las que tienen mejores culturas de respuesta urgente a demandas de la dirección. Las pymes con equipos pequeños, donde un responsable de finanzas conoce y obedece directamente al CEO sin capa intermedia de validación, son el objetivo favorito.
El 71% de las empresas que han sufrido un ataque exitoso de este tipo tenían menos de 200 empleados. El 83% carecía de un protocolo verificado para autorizar transferencias solicitadas por vía telefónica o electrónica. Y el 100% de sus directivos afirmaron antes del ataque que su empresa era «demasiado pequeña para ser un objetivo».
Qué están haciendo las empresas que ya han tomado precauciones
Las organizaciones que están respondiendo a esta amenaza de forma efectiva están actuando en tres niveles simultáneos: tecnológico, procedimental y formativo. El primero incluye herramientas de verificación de identidad en tiempo real y sistemas de validación en dos canales para operaciones financieras. El segundo incluye protocolos obligatorios de confirmación verbal presencial o código de seguridad conocido para cualquier transferencia iniciada por vía remota.
Pero el nivel más crítico es el formativo. La primera línea de defensa contra el fraude con inteligencia artificial generativa son los empleados que entienden cómo funciona la tecnología, qué señales de alerta existen y cómo responder ante una solicitud urgente que presiona para saltarse los controles habituales. Las empresas que han formado a sus equipos directivos en inteligencia artificial reportan tasas de detección cinco veces superiores a las que no lo han hecho.
Protege tu empresa: forma a tus directivos en cómo funciona la IA
La mejor defensa contra los fraudes con inteligencia artificial generativa es entender cómo funciona la tecnología. En ENARTI formamos a directivos y equipos de gestión para que conozcan las capacidades reales de la IA, identifiquen sus riesgos y diseñen protocolos de protección efectivos.