Suplantación del CEO y fraude con deepfakes: cómo evaluar el riesgo

El fraude de suplantación del CEO es una jugada de ingeniería social con décadas de antigüedad: hacerse pasar por el jefe, aplicar urgencia y autoridad y conseguir que un empleado haga una transferencia o entregue un acceso. Lo que ha cambiado es la fidelidad: los clones de voz y los deepfakes de vídeo generados por IA permiten ya a un atacante ser el directivo en una llamada, lo que anula la comprobación de «reconozco su voz» de la que depende en silencio buena parte de la verificación informal.

Cómo funciona el ataque

Un atacante se hace pasar por un alto directivo y presiona a un empleado para que haga algo perjudicial: normalmente un pago fraudulento y, a veces, una petición de datos o de acceso. La urgencia («necesito que esto se haga ya, con discreción») unida a la autoridad cortocircuita el escrutinio. Con una voz clonada o un vídeo deepfake, la suplantación se extiende del correo a las llamadas telefónicas y de vídeo que parecen una prueba de identidad.

Por qué los deepfakes cambian el cálculo

A los empleados se les enseña a desconfiar de las peticiones de pago por correo, pero una llamada con la voz del directivo, o un vídeo con su cara, parece verificada. La voz y el vídeo ya no pueden tratarse como autenticación, que es exactamente lo que dan por supuesto, de forma implícita, muchos procesos de aprobación de pagos.

Quién está expuesto

Cualquiera que pueda mover dinero o conceder accesos: finanzas y cuentas a pagar, asistentes de dirección, RR. HH., administradores de TI; sobre todo donde una sola persona puede actuar ante una aparente petición de un directivo sin una verificación independiente.

Señales de alerta de la suplantación del CEO

La señal de alerta más clara en un intento de suplantación del CEO es una petición que combina la autoridad de un directivo con un motivo para saltarse tu proceso habitual: urgencia, secreto o «no puedo hablar, tú hazlo».

• Urgencia y secreto: «esto tiene que salir hoy», «que quede entre nosotros», a menudo en momentos en que el directivo real está de viaje o fuera del horario laboral.
• Cambios en los pagos: datos bancarios nuevos o modificados, un beneficiario nuevo, un país de destino inusual o una petición de tarjetas regalo.
• Cambio de canal: una petición que te saca del correo corporativo hacia un teléfono personal, una app de mensajería o un nuevo enlace de videollamada.
• Identidades parecidas: un dominio del remitente con un carácter de diferencia, un nombre visible que no coincide con la dirección o una dirección de Reply-To distinta de la del From.
• Saltarse el proceso: pide saltarse al segundo aprobador, la orden de compra o la devolución de llamada «solo por esta vez».
• Resistencia a la verificación: en una llamada o un vídeo, evita una devolución de llamada a un número conocido o una pregunta de verificación acordada de antemano.

Cualquiera de ellas es motivo para detenerse y verificar por otro canal mediante un contacto conocido. Forma en ellas a finanzas, cuentas a pagar, asistentes de dirección, RR. HH. y administradores de TI, y deja claro que comprobar la petición de un directivo nunca se le reprochará a nadie.

La defensa: el proceso, no la detección

No intentes detectar el deepfake sobre la marcha. Exige una verificación por otro canal para las acciones de alto riesgo (pagos por encima de un umbral, cambios de datos bancarios, datos o accesos sensibles) mediante un canal acordado de antemano y un contacto conocido, nunca el canal por el que llegó la petición. Añade un segundo aprobador obligatorio y una devolución de llamada a un número conocido, y haz que verificar la petición de un directivo sea lo esperado, no una insubordinación.

Evalúa y ensaya con las herramientas de concienciación sobre deepfakes →, y cuantifica la exposición de las identidades con la calculadora de riesgo de identidad.

Preguntas frecuentes

¿Qué es? Un ataque BEC que suplanta a un directivo para autorizar pagos fraudulentos, la revelación de datos o accesos, ahora con la ayuda de deepfakes de voz y vídeo generados por IA.

¿Por qué lo empeoran los deepfakes? Anulan el reconocimiento de la voz y de la cara, así que una llamada o un vídeo parecen una prueba de identidad.

¿Cómo defenderse? Con verificación por otro canal y doble aprobación para las acciones de alto riesgo; da por hecho que la voz y el vídeo se pueden falsificar.

¿Quién está expuesto? Cualquiera que pueda mover dinero o conceder accesos, sobre todo sin una verificación obligatoria.