El martes pasado, a las 9:47 de la mañana, el gerente de una empresa de Castellón recibió una llamada de su director financiero.
Reconoció la voz al instante. Mismo timbre. Misma forma de empezar las frases con un "mira, te llamo rápido porque estoy con el cliente". El director financiero le pidió autorizar una transferencia urgente de 48.000 euros a un proveedor nuevo. "Es para cerrar el pedido de la semana que viene. No puedo esperar a la firma."
La voz era falsa. Clonada con inteligencia artificial.
Ese gerente había venido a una charla nuestra un mes antes. Algo le hizo tilín. Colgó y llamó al móvil personal de su director financiero. "¿Me has pedido una transferencia de 48.000 euros?" Silencio al otro lado. "¿Qué transferencia?"
La empresa de al lado no tuvo tanta suerte. Cuatro días después cayó con el mismo patrón. 73.000 euros. El banco no devolvió nada porque la orden se autorizó con la voz del apoderado. Verificada por el propio sistema.
Te lo digo claro: los deepfakes ya no son cosa de vídeos de políticos o de famosas en redes. Son la herramienta favorita de los estafadores para vaciar cuentas de empresas españolas. Y tu pyme es el objetivo perfecto.
Qué es un deepfake y por qué 2026 es el año del fraude con IA
Un deepfake es un audio, un vídeo o una imagen generados con IA para que una persona parezca decir o hacer algo que nunca dijo ni hizo.
Esto no es nuevo. Lo nuevo es la facilidad.
En 2022, clonar una voz requería horas de audio y conocimientos técnicos. En 2026, cualquier persona con 20 euros al mes y una suscripción a una herramienta de clonación consigue una copia aceptable de tu voz con 30 segundos de muestra. A veces con tres.
¿Y de dónde sacan la muestra? De ti. De tus vídeos de LinkedIn, de las stories de Instagram de tu empresa, de las grabaciones de reuniones que alguien subió a YouTube, de los audios que tus comerciales mandan por WhatsApp. Estás emitiendo tu voz gratis todos los días. Ellos solo la recogen.
Los datos no dejan lugar a dudas. Según el informe de Sumsub de 2025, los casos de fraude con deepfake se multiplicaron por diez entre 2023 y 2025 a nivel global. En España, el INCIBE ya advertía en 2024 de que el fraude con voz clonada era el vector de ataque de más rápido crecimiento contra pymes. Y lo que veo en el día a día con clientes es que 2026 está siendo el año de la explosión definitiva, sobre todo con una variante nueva: los deepfakes en videollamadas en tiempo real.
Antes el fraude era por teléfono. Ahora el estafador puede aparecer en tu pantalla con la cara del director de tu proveedor en una videollamada de Teams. Moviendo la boca. Respondiendo a tus preguntas. En tiempo real.
La primera vez que un cliente me contó que había visto a su "proveedor" en videollamada pedirle un cambio de cuenta bancaria, pensé que exageraba. No exageraba. El algoritmo de intercambio de caras en directo ha avanzado más en dos años que el vídeo sintético en la década anterior.
El fraude del CEO: el ataque que más dinero mueve
Se llama fraude del CEO, Business Email Compromise o BEC, y es la modalidad reina. No porque sea la más sofisticada, sino porque ataca directamente al eslabón más débil de cualquier empresa: la autoridad.
El patrón es siempre el mismo. El estafador suplanta a alguien con poder — el dueño, el director financiero, un socio — y ordena algo urgente y confidencial. Una transferencia. Un cambio de cuenta de un proveedor. El envío de nóminas o datos de clientes.
Lo que hace la IA es quitarle al BEC su punto débil clásico. Antes, el correo fraudulento se detectaba porque "sonaba raro" o porque la víctima llamaba al jefe para confirmar. Ahora el estafador te llama a ti primero. Con la voz del jefe. O te manda un audio de WhatsApp del "director general" pidiéndote el número de teléfono del contable.
Según el último informe del FBI sobre ciberdelincuencia, el BEC sigue siendo la estafa más lucrativa del mundo: más de 2.700 millones de dólares en pérdidas declaradas solo en 2024. Y ojo al dato que más me preocupa: el 61% de las empresas españolas reconoce haber sufrido al menos un intento de fraude BEC en el último año, según un estudio de Proofpoint. La mayoría no lo denuncia por vergüenza.
Un cliente de Valencia, una empresa de componentes industriales con 34 empleados, recibió un correo de su "proveedor habitual" de Alemania anunciando un cambio de número de cuenta. Todo correcto. Mismo logo, mismo dominio casi idéntico (una letra cambiada), misma persona de contacto. La única diferencia: esta vez, el "proveedor" llamó por teléfono para avisar del cambio. Con una voz clonada perfecta.
Pagaron 28.000 euros a la cuenta equivocada antes de que el proveedor real les escribiera preguntando qué pasaba con el pago. La IA no hizo un solo agujero en su sistema. Hizo que la propia empresa se lo abriera.
Y te voy a decir la parte que nadie cuenta: el 92% de estos fraudes no se pueden prevenir con tecnología. Se previenen con procesos. Con desconfianza organizada. Con la regla de que ningún dinero sale sin dos confirmaciones independientes.
Vishing, smishing y la estafa del "hijo en apuros"
No todo es el fraude del CEO. El otro gran filón de los deepfakes de voz es el que ataca directamente al bolsillo emocional: la estafa del familiar en apuros.
En abril me llamó un autónomo de Alicante. Tenía la voz rota. Le habían sacado 2.800 euros con una llamada de su propio hijo. La voz del chico, llorando, diciendo que le habían robado el móvil, que estaba retenido en una comisaría de otro país y que necesitaba el dinero ya para una fianza. Le pasaron con un "policía" que le dio un número de cuenta "de la oficina judicial".
¿Cómo consiguieron la voz del hijo? Por el Instagram del chico. Tenía vídeos jugando a la consola con amigos. Suficiente.
Esta estafa no es nueva: lleva años haciéndose con llamadas genéricas. Lo que cambia la IA es la personalización. Antes el estafador decía "papá, soy yo, he tenido un problema" y esperaba que el padre adivinara. Ahora dice tu nombre, el de tu hijo, y suena exactamente como él.
Y luego está el vishing clásico contra empresas: el falso técnico de Microsoft, el falso comercial de tu banco, el falso proveedor de luz que te amenaza con el corte si no pagas ya. En el artículo que escribí sobre phishing te expliqué cómo funcionaba la versión por correo. La versión por voz es igual, pero con el arma de la confianza: oír una voz humana desactiva las alarmas que sí se activan ante un correo sospechoso.
Cómo detectar un deepfake: lo que funciona y lo que ya no sirve
Voy a ser honesto contigo, que es lo que me gusta.
Las guías que circulan por internet diciendo que mires el parpadeo, los reflejos de las gafas o la iluminación están desactualizadas. Los deepfakes de 2026 ya corrigen esas imperfecciones. Si confías en tu ojo, vas a perder.
Un estudio de la Universidad de California de 2025 demostró que los humanos solo aciertan el 52% de las veces al distinguir un vídeo real de uno falso. El 52%. Es decir: tirando una moneda.
Dicho esto, hay señales que todavía funcionan en situaciones reales de fraude:
- La petición es urgente, confidencial y fuera de los cauces normales. Es la señal número uno. El 100% de los fraudes con deepfake que he visto tienen estas tres características. La urgencia mata el pensamiento crítico.
- El canal es nuevo o cambiado. ¿Tu director financiero te llama desde un número que no tienes guardado? ¿Tu proveedor cambió de cuenta y encima te llama para avisarte? Desconfía.
- Piden dinero, datos o credenciales. Da igual lo real que suene la voz. El deepfake es el envoltorio. La petición es el fraude.
Mi regla práctica para clientes es simple: no intentes detectar el deepfake. Detecta la petición. Una llamada de tu jefe pidiéndote algo normal no es un problema. Una llamada de tu jefe pidiéndote una transferencia urgente a un proveedor nuevo, lo es, suene como suene.
El protocolo que sí te protege (y que aplico con todos mis clientes)
Olvídate de la tecnología mágica. Esto es lo que funciona:
1. La regla de la doble confirmación
Ninguna transferencia por encima de 1.000 euros se ejecuta sin dos confirmaciones independientes: una por el canal habitual (correo, ERP) y otra por un canal distinto verificado (llamada al número que tú tienes guardado, nunca al que te llama).
Si la orden viene por voz o vídeo, la confirmación debe ser escrita. Y viceversa. El cruce de canales es lo que mata al fraude: el estafador rara vez controla dos vías a la vez.
2. La frase de seguridad
Es una palabra o frase corta que solo conocen las personas autorizadas para dar órdenes de pago. Suena a película de espías. Funciona mejor que cualquier antivirus.
Cuando alguien pide una operación sensible por teléfono o videollamada, se le pide la frase. Si no la dice, no hay operación. Punto. Un cliente de una empresa de logística de Sagunto lo implanta esta semana con su equipo directivo: tres palabras pactadas, cero ambigüedad.
3. Verificación de cambios de cuenta de proveedores
Todo cambio de número de cuenta de un proveedor se verifica con una llamada al número oficial que consta en tu sistema, no al que aparece en el correo o en la llamada entrante. Y el cambio solo se valida tras 48 horas de margen. Si un proveedor "real" te necesita el dinero antes de ese plazo, que busque alternativas: los bancos no mueven cuentas en 24 horas por capricho.
4. Reducir la huella digital de tu equipo directivo
Esto duele, porque a los que nos gusta LinkedIn nos duele. Pero cada vídeo donde el dueño habla 30 segundos es materia prima para un clon. No digo que dejes de publicar. Digo que tu equipo sepa que lo publicado puede usarse en tu contra. Y que nadie publique audios de voz largos, números de teléfono internos ni organigramas con roles claros ("director financiero", "responsable de pagos").
5. Accesos con doble factor y permisos mínimos
El deepfake suele ser la puerta de entrada para pedir credenciales. Si el estafador consigue el acceso de un comercial a tu ERP, no necesitará clonar más voces. Activa la verificación en dos pasos en todo: banca online, correo, ERP, herramientas de gestión. Y revisa quién tiene acceso a qué. En el artículo de Zero Trust te expliqué el principio: nunca confíes, siempre verifica. Aquí aplica igual.
6. Formación y simulacros reales
La formación en ciberseguridad no puede ser un PDF que se manda por correo una vez al año y nadie lee. Eso no funciona y lo sabes.
Con los clientes de CreativeDom hacemos simulacros: lanzamos un ataque controlado con voz clonada contra su propio equipo para ver quién cae. La primera vez, el 30% pica. La tercera, el 3%. El músculo de la sospecha se entrena igual que cualquier otro.
Qué hacer si ya te han estafado (las primeras 72 horas)
Si has llegado a transferir dinero, el tiempo es tu único aliado. Y corre en tu contra.
- Contacta con tu banco de inmediato. En las primeras 72 horas hay margen real de reversión, sobre todo en transferencias SEPA. Cada hora que pasa reduce la probabilidad de recuperar el dinero. En el caso de la empresa de Valencia que te contaba, el banco lo intentó: el dinero ya había salido de la cuenta receptora en 40 minutos.
- Denuncia. Policía Nacional, Guardia Civil o Ertzaintza, según tu zona. Lleva todo: números, fechas, grabaciones si las tienes, correos. La denuncia no recupera el dinero, pero alimenta las bases de datos que permiten bloquear cuentas mulas y desarticular redes.
- Avisa al INCIBE. El 017 es la línea de ayuda gratuita y confidencial en ciberseguridad. Te orientan, documentan el caso y, en según qué situaciones, coordinan con las fuerzas de seguridad.
- Comunícalo internamente. No es momento de buscar culpables. Es momento de que todo el equipo sepa qué ha pasado, para que nadie más pique con la misma trama mientras investigáis.
Y una cosa más, que nadie dice: si te han estafado, no eres tonto. Eres humano. Los estafadores profesionales dedican su jornada laboral a esto. Tú dedicas la tuya a tu negocio. La culpa no es tuya. La responsabilidad de blindarte, a partir de hoy, sí.
La defensa también usa IA
No quiero que este artículo te suene a "la IA es el demonio y hay que apagarlo todo". Sería falso y además hipócrita: yo ayudo a empresas a implantar IA todos los días, desde atención al cliente con chatbots hasta mantenimiento predictivo. Si te interesa el lado bueno de la tecnología, tengo un artículo sobre cómo la IA generativa ayuda a tu negocio que equilibra la balanza.
La clave está en el uso. La misma tecnología que permite clonar voces permite detectar fraudes: herramientas que analizan microexpresiones en videollamadas, sistemas que verifican la autenticidad de un audio en segundos, soluciones que monitorizan transferencias anómalas en tiempo real. Las entidades financieras ya las usan. Tu empresa también puede.
Pero te lo advierto: ninguna herramienta de detección sustituye al proceso. La tecnología reduce el riesgo. El protocolo lo elimina. Si instalas el mejor detector de deepfakes del mercado y tu contable sigue autorizando transferencias con una llamada de voz sin verificar, has gastado el dinero en el sitio equivocado.
En la guía de 10 medidas de ciberseguridad para pymes tienes la base completa. Esto que te cuento hoy es el siguiente nivel: el fraude que no ataca tus sistemas, ataca a tus personas. Y también sobre esto hay riesgos éticos y legales de la IA que conviene conocer antes de lanzarse.
Preguntas frecuentes sobre estafas con IA y deepfakes
¿Qué es un deepfake?
Un vídeo, audio o imagen generado o manipulado con inteligencia artificial para que una persona parezca decir o hacer algo que nunca dijo ni hizo. Con pocos segundos de muestra de voz o unas pocas fotos, las herramientas actuales crean clones casi indistinguibles del original.
¿Qué es el fraude del CEO con IA?
Un ataque donde los ciberdelincuentes suplantan al director general o a un directivo mediante voz o vídeo clonados para ordenar transferencias urgentes, cambios de cuenta de proveedores o el envío de datos confidenciales. En España se han documentado casos de transferencias fraudulentas superiores a 70.000 euros con este método.
¿Cómo saber si una llamada o un vídeo es un deepfake?
Las señales visuales clásicas ya no son fiables: los humanos solo acertamos en torno al 52% de las veces. El método robusto es el protocolo: colgar y llamar al número oficial guardado, hacer una pregunta cuya respuesta solo sepa esa persona, o exigir la frase de seguridad pactada.
¿Las pymes son objetivo real de estas estafas?
Cada vez más. La gran empresa tiene departamentos de seguridad; la pyme tiene dinero en el banco y menos controles. Más de la mitad de los intentos de fraude con IA documentados en España en 2025 se dirigieron a empresas de menos de 50 trabajadores. Eres objetivo. No por tu tamaño, sino por tu falta de protocolos.
¿Qué hago si recibo una llamada sospechosa con una voz clonada?
No actúes sobre la marcha. Cuelga, contacta con la persona por el canal oficial que ya conoces y verifica la petición. Si ya has transferido dinero, contacta con tu banco en las primeras 72 horas, denuncia ante la Policía Nacional o la Guardia Civil y avisa al INCIBE en el 017.
Lo que me llevo de diez años viendo fraudes
Llevo más de una década trabajando con pymes españolas. He visto empresas perder la nómina de un mes por un correo falso y autónomos llorar por una llamada con la voz de su hijo. También he visto cómo las que se blindan — con procesos, no con sustos — dejan de ser víctimas para siempre.
La conclusión es incómoda y liberadora a la vez: no puedes controlar la tecnología de los estafadores, pero controlas tu reacción. Y tu reacción se entrena.
La próxima vez que alguien con autoridad te pida dinero, datos o una cuenta nueva con urgencia, respira. Haz una pregunta que solo la persona real sabría responder. Cruza el canal. Y espera.
Si la petición es legítima, aguantará una verificación de dos minutos. Si es un fraude, se desvanecerá en cuanto huelas el juego.
Los estafadores no roban a los desconfiados. Roban a los que van con prisa. No vayas con prisa.
Si quieres que auditemos cómo está tu empresa ante este tipo de fraude — y te decimos sin rodeos por dónde te pueden entrar — en CreativeDom hacemos exactamente eso. Y si lo que necesitas es poner orden en tu gestión para que las órdenes de pago y los accesos queden trazados y controlados, CreativeSaaS te da el sistema para que el fraude no tenga por dónde colarse.