Actualizado el 25/10/2026
La videollamada que costó 25 millones de dólares
En febrero de 2024, la policía de Hong Kong reveló uno de los casos más impactantes de fraude financiero mediante ingeniería social con IA documentados hasta la fecha, en la oficina local de una multinacional, posteriormente identificada como la británica Arup. Según informó CNN, un empleado del área financiera participó en una videollamada con quien creía que era el CFO de la empresa y otros colegas de alto nivel. Todos eran falsos. Eran recreaciones hechas con deepfake, con voces e imágenes falsas. El resultado: transferencias bancarias que sumaron HK$ 200 millones, cerca de US$ 25,6 millones, enviados en 15 transferencias a cuentas fraudulentas, según la policía de Hong Kong.
Desde entonces, el caso se ha convertido en la referencia principal en los debates sobre fraudes millonarios con inteligencia artificial en el entorno corporativo.
La pregunta que queda es inevitable: si incluso una multinacional con un departamento financiero estructurado fue vulnerable a este tipo de golpe deepfake, ¿qué sucede cuando el objetivo es una empresa más pequeña, con procesos menos formalizados y equipos más reducidos?
Lo que este golpe revela sobre los riesgos financieros de las PYMEs
El punto más relevante de este caso para los gestores de pequeñas y medianas empresas no es el valor perdido, sino el mecanismo del ataque. El fraude deepfake no dependió de la invasión de sistemas, no requirió el robo de contraseñas y no explotó ninguna vulnerabilidad técnica de software. El objetivo fue el elemento más difícil de proteger solo con tecnología: la confianza humana.
Las PYMEs son objetivos crecientes precisamente porque suelen tener procesos de aprobación financiera menos formalizados. En empresas con 10 a 200 empleados, es común que un solo colaborador tenga la autoridad para aprobar transferencias significativas sin requerir validación en un canal secundario. Este escenario crea una enorme ventana de oportunidad para fraudes por ingeniería social con IA.
La sofisticación de los deepfakes ha evolucionado de manera acelerada. Las herramientas disponibles comercialmente ya permiten clonar voz e imagen con muestras cortas de audio y video, muchas veces obtenidas en redes sociales o grabaciones públicas. Para un criminal, la lógica es simple: si el empleado ve y escucha al jefe ordenando una transferencia urgente, la probabilidad de cumplimiento es altísima, especialmente bajo presión de tiempo y confidencialidad, artimañas clásicas de la ingeniería social.
Además, el golpe deepfake en videollamada tiende a desactivar los desencadenantes de desconfianza que normalmente funcionarían en un correo electrónico sospechoso. La presencia visual crea una ilusión de autenticidad difícil de cuestionar en el momento. Por eso, la seguridad financiera empresarial no puede depender solo de la percepción individual del empleado.
Capas de protección que hacen una diferencia real
La buena noticia es que existen estrategias concretas y accesibles para reducir drásticamente el riesgo de este tipo de fraude digital en empresas de cualquier tamaño. La protección efectiva funciona en capas complementarias:
- Autenticación multifactor obligatoria en accesos financieros: La MFA garantiza que, incluso si un colaborador es convencido de proporcionar credenciales durante un ataque, el acceso y la ejecución de transacciones requieren una segunda verificación independiente que el criminal no controla.
- Protocolos de validación fuera de banda: Cualquier transferencia por encima de un valor predefinido debe ser confirmada a través de un canal secundario seguro, diferente del canal por el que llegó la solicitud. Una llamada de retorno a un número previamente registrado es suficiente para interrumpir la mayoría de los ataques de ingeniería social con IA.
- Monitoreo conductual continuo: Las soluciones de detección y respuesta en endpoints (EDR) combinadas con monitoreo continuo identifican comportamientos anómalos en tiempo real, como accesos inusuales, intentos de movimientos financieros inusuales o transferencias a destinos no registrados.
- Capacitación de concientización gestionada y continua: Las simulaciones regulares de phishing y deepfake, con retroalimentación inmediata, elevan la madurez del equipo de forma medible. Los programas continuos de concientización ayudan al equipo a reconocer y rechazar solicitudes fraudulentas.
- Modelo Zero Trust aplicado a procesos financieros: Ninguna solicitud, ni siquiera de un superior jerárquico, debe ser atendida sin verificación independiente. La premisa es simple: no confíes automáticamente en ninguna identidad digital sin validación adicional.
La pregunta que todo gestor financiero necesita responder
Si un colaborador de su empresa recibiera ahora una videollamada urgente de su principal ejecutivo pidiendo una transferencia confidencial, ¿cuál sería su próximo paso?
Si la respuesta es "él probablemente realizaría la transferencia", su empresa tiene una ventana de vulnerabilidad real, independientemente del tamaño o del sector. La buena noticia es que cerrar esta ventana no requiere una transformación tecnológica compleja. Requiere procesos claros, capacitación consistente y capas de verificación que funcionen incluso bajo presión.
La TI gestionada contribuye directamente aquí: con políticas de acceso basadas en Zero Trust, monitoreo 24/7 de comportamientos anómalos, MFA implementado en toda la cadena de aprobación financiera, capacitaciones de concientización aplicadas periódicamente y protocolos de continuidad que garantizan doble validación en transacciones críticas. Estas capacidades, combinadas, crean una arquitectura de defensa que no depende de la suerte de ningún empleado en un momento de presión.
La tecnología de deepfake seguirá evolucionando. Pero las empresas que construyen procesos robustos y equipos bien entrenados siempre están un paso adelante, independientemente de cómo se presente el fraude.
Referencias
- CNN: Finance worker pays out $25 million after video call with deepfake 'chief financial officer'
- CNN: British engineering giant Arup revealed as $25 million deepfake scam victim
¿Quieres entender qué capas de protección tienen sentido para el tamaño y el perfil de tu empresa? Habla con un especialista de Zamak para una Consultoría Inicial de Cortesía, sin compromiso.
Preguntas frecuentes
¿Qué es el fraude por videollamada con deepfake en el entorno corporativo?
Es una estafa de ingeniería social en la que los delincuentes usan recreaciones hechas con deepfake, con voces e imágenes falsas, para hacerse pasar por ejecutivos durante una videollamada. Así fue como la oficina de Hong Kong de la británica Arup fue inducida, a principios de 2024, a transferir cerca de US$ 25,6 millones a cuentas fraudulentas al creer que hablaba con el CFO de la empresa y otros colegas de alto nivel, según informó CNN. El ataque no explota fallas técnicas de software: el objetivo es la confianza humana.
¿Por qué las pequeñas y medianas empresas son blancos crecientes de este tipo de fraude?
Las pymes suelen tener procesos de aprobación financiera menos formalizados: en empresas con 10 a 200 empleados, es común que un solo colaborador tenga autoridad para aprobar transferencias significativas sin que se exija una validación por un canal secundario. Esto abre una amplia ventana de oportunidad para los fraudes de ingeniería social con IA.
¿Cómo puede una empresa protegerse del fraude financiero por deepfake?
La protección eficaz funciona en capas: autenticación multifactor obligatoria en los accesos financieros, protocolos de validación fuera de banda (confirmar por un canal secundario, como una llamada a un número previamente registrado, cualquier transferencia por encima de un monto predefinido), monitoreo de comportamiento 24/7 con EDR y capacitación de concientización continua. El modelo Zero Trust aplicado a los procesos financieros garantiza que ninguna solicitud, incluso de un superior jerárquico, se atienda sin verificación independiente.