Suena tu teléfono. Es la voz de tu CEO — el mismo ritmo, la misma risa, la misma urgencia antes de una reunión del consejo — pidiéndote que transfieras $48,000 a la cuenta de un nuevo proveedor antes del mediodía. Reconoces la voz al instante. Ese es el problema: el atacante también. Con tan solo tres segundos de audio extraído, las herramientas de IA comerciales pueden clonar una voz lo suficientemente bien como para engañar a la persona que la escucha todos los días, y se estima que el 40% de los ataques de fraude del correo empresarial ya incluyen alguna forma de voz, video o texto generados por IA.
El fraude del correo empresarial (BEC, por sus siglas en inglés) ya era la segunda categoría de ciberdelito más costosa según el FBI, con $3.05 mil millones en pérdidas reportadas en Estados Unidos a lo largo de casi 25,000 denuncias en 2025 — un promedio de aproximadamente $123,000 por incidente. La IA ha hecho que la estafa sea más barata de ejecutar y más difícil de detectar: una clonación de voz convincente pasa de largo la verificación de "¿esto suena como mi jefe?" que solía ser tu última línea de defensa. La buena noticia es que los controles que detienen el BEC con deepfake son en su mayoría procedimentales, no técnicos, y una pequeña empresa puede implementarlos esta misma semana.
Cómo funciona realmente un ataque de BEC con deepfake
Olvídate de la versión de Hollywood con hackers encapuchados. Un ataque de BEC moderno impulsado por IA es una jugada breve y disciplinada en tres actos.
Acto 1: Recolectar tu voz y tus rutinas
Los atacantes comienzan recopilando material de entrenamiento, y las pequeñas empresas filtran más de lo que creen:
- Audio y video públicos. Entrevistas en pódcasts, grabaciones de webinars, clips de "conoce al fundador", saludos de buzón de voz y videos de actualización estilo resultados trimestrales proporcionan muestras de voz limpias. Treinta segundos de un solo video son más que suficientes.
- Artefactos de reuniones. Grabaciones compartidas en pantalla, llamadas transcritas y firmas de correo revelan quién aprueba pagos, qué proveedores pagas y cómo se redactan normalmente las solicitudes.
- Bandejas de entrada comprometidas. Un solo buzón víctima de phishing expone hilos de facturas, cadenas de aprobación y el tono exacto que usan tus proveedores y ejecutivos — que la IA generativa luego imita.
Acto 2: Construir el pretexto
Con ese expediente, los atacantes eligen uno de tres guiones probados:
- Suplantación de ejecutivo. Una llamada de voz o mensaje de voz de "el dueño" autorizando una transferencia urgente, a menudo enmarcada como confidencial — una adquisición, un pago de impuestos, una disputa con un proveedor que debe resolverse discretamente.
- Suplantación de proveedor. Un hilo de correo, cada vez más con redacción pulida por IA, que anuncia un cambio de datos bancarios de un proveedor real. Tu siguiente pago legítimo de factura va a la cuenta del atacante. El compromiso del lado del proveedor ha superado al clásico "fraude del CEO" como la variante dominante de BEC.
- La emboscada en videollamada. En la variante más audaz, un empleado de finanzas se une a una videollamada donde todos los demás participantes son falsos generados por IA. Un incidente ampliamente reportado terminó con una transferencia de $25 millones antes de que alguien se diera cuenta de que el CFO en pantalla nunca existió.
Acto 3: La trampa de la urgencia
Todas las variantes terminan igual: una fecha límite fabricada. "Antes del mediodía". "Antes de que llegue el auditor". "No involucres a nadie más — esto es sensible". La urgencia existe para cortocircuitar exactamente una cosa: tu proceso de verificación. Si no tienes un proceso escrito, la urgencia gana por defecto.
Por qué las pequeñas empresas son el blanco perfecto
Las grandes empresas pierden sumas mayores por incidente, pero las pequeñas empresas son atacadas con más frecuencia en relación con sus defensas. Tres razones estructurales:
- Una sola persona controla todo el flujo de pago. Cuando la misma persona recibe la factura, la aprueba y libera la transferencia, no hay un segundo par de ojos que una falsificación deba superar.
- Las relaciones con proveedores se basan en correo y confianza. Los cambios de datos bancarios llegan como respuestas casuales de correo y se escriben directamente en el sistema contable — sin llamada de verificación, sin doble aprobación.
- Las herramientas de detección alcanzan un máximo de alrededor del 85% de precisión. Ningún detector de deepfakes captura de forma fiable audio sintético de generación actual, y la mayoría de las pequeñas empresas no tienen ninguna herramienta de detección. El procedimiento es el control; el software es el respaldo.
Los datos del FBI de 2025 registraron más de 22,000 denuncias de fraude relacionadas con IA con casi $900 millones en pérdidas ajustadas — y eso cuenta solo los casos que las víctimas reconocieron y reportaron. Las desviaciones silenciosas de pagos a proveedores salen a la luz semanas después, cuando el proveedor real pregunta por qué una factura está vencida.
La lista de verificación de controles de AP: nueve controles que detienen el BEC con deepfake
No necesitas un presupuesto de seguridad empresarial. Necesitas reglas escritas que ninguna voz, video o correo pueda anular. Impleméntalas en orden.
1. Verificación fuera de banda para cada cambio de pago
Este es el control de mayor valor, y el FBI y CISA lo recomiendan explícitamente: cualquier nuevo beneficiario, cambio de cuenta bancaria o transferencia fuera de ciclo debe confirmarse a través de un canal diferente al que entregó la solicitud.
- ¿La solicitud llegó por correo? Llama al proveedor a un número conocido previamente — nunca a un número del mensaje sospechoso.
- ¿La solicitud llegó por llamada de voz? Confirma por correo a una dirección conocida, o en persona.
- Establece el proceso de verificación al inicio de cada relación con un proveedor, no durante una crisis. Acuerden de antemano quién puede solicitar cambios y cómo los confirmarán.
Una llamada de verificación a un número que ya tenías archivado derrota simultáneamente las clonaciones de voz, el compromiso de correo y las falsificaciones de video — el atacante no puede interceptar una llamada a la persona real.
2. Autorización de dos personas por encima de un umbral
Ninguna persona debería poder iniciar y liberar un pago por encima de un umbral escrito. Elige un número que se ajuste a tu volumen — muchas pequeñas empresas usan $5,000 o $10,000 — y exige un segundo aprobador para cualquier cosa por encima de eso.
La regla debe ser absoluta: sin excepciones por urgencia, jerarquía o confidencialidad. "El CEO dijo que saltáramos el proceso" es precisamente lo que diría un CEO clonado. Pon la cláusula de no excepciones por escrito para que tu contable pueda señalarla bajo presión.
3. Un procedimiento para cambios en el maestro de proveedores
La mayoría de las pérdidas por BEC fluyen a través de un punto débil: alguien edita los datos bancarios en el sistema contable basándose en un correo. Bloquea eso:
- Solo el personal designado puede editar los registros de pago de proveedores.
- Cada cambio requiere la llamada de verificación fuera de banda del control 1, documentada con fecha, hora y quién confirmó.
- Revisa el maestro de proveedores trimestralmente. Los proveedores obsoletos, los nombres duplicados con números de cuenta diferentes ("Acme Inc" vs. "Acme Inc.") y los registros modificados recientemente merecen una segunda mirada.
4. Elimina la voz y el video como canales de aprobación
Establécelo como política: una llamada de voz puede respaldar un proceso de pago, pero nunca puede reemplazarlo. Lo mismo aplica para videollamadas y notas de voz. Las aprobaciones viven en tu sistema contable o en un hilo de aprobación documentado — nunca en una llamada telefónica, por familiar que sea la voz.
Un truco práctico: establece una palabra clave tipo familiar o pregunta de desafío para las aprobaciones de pago con cada proveedor y ejecutivo clave. Un secreto compartido de baja tecnología derrota la suplantación de alta tecnología porque el atacante no puede adivinar lo que nunca se escribió en un correo.
5. MFA resistente al phishing en correo y banca
Los atacantes que comprometen un buzón real heredan su credibilidad — sus mensajes pasan todas las verificaciones de autenticación porque provienen de la cuenta genuina. La guía de CISA es directa: protege las cuentas de alto valor con autenticación multifactor resistente al phishing, como llaves de seguridad FIDO2, no solo códigos SMS.
Como mínimo: MFA en cada cuenta de correo empresarial, cada portal bancario y cada plataforma de pago. Sin inicios de sesión compartidos — las credenciales compartidas significan que no puedes saber quién aprobó qué.
6. Reduce tu huella pública de voz y video
No puedes despublicar internet, pero puedes dejar de alimentar los modelos:
- Elimina los saludos de buzón de voz que indican nombres y cargos; un saludo genérico funciona bien.
- Restringe las grabaciones de webinars y reuniones detrás de inicios de sesión en lugar de enlaces públicos.
- Adviérteles a los ejecutivos que los clips de pódcast, las charlas en conferencias y el video social son material fuente para clonación de voz — no una razón para esconderse, sino una razón por la que los otros controles son innegociables.
- Desalienta las herramientas de IA no autorizadas que suben grabaciones de reuniones a servicios de terceros; cada carga clandestina es una entrada de expediente esperando ser recolectada.
7. Capacita sobre el ataque real, no sobre el concepto
La capacitación anual de seguridad con diapositivas no sobrevive al contacto con un martes por la mañana en pánico. En su lugar:
- Reproduce para el personal una demostración real de voz clonada para que "sonaba exactamente como tú" deje de ser hipotético.
- Realiza un ejercicio de simulación: recorran lo que hace cada persona cuando llega una solicitud urgente de transferencia, paso a paso, incluyendo a quién llaman y qué dicen.
- Ensayen la frase que detiene el fraude: "Necesito verificar esto a través de nuestro proceso habitual — te llamo de vuelta". Haz que sea culturalmente seguro frenar una solicitud de la cúpula.
8. Concilia rápido y revisa los patrones de pago
La velocidad de detección limita el tamaño de la pérdida. Las transferencias a veces pueden recuperarse dentro de 24 a 72 horas a través del proceso del Equipo de Recuperación de Activos del IC3 del FBI — pero solo si lo notas a tiempo.
- Concilia las cuentas operativas y de nómina diaria o semanalmente, no mensualmente. Una revisión dentro de la misma semana detecta un pago desviado mientras la recuperación aún es posible.
- Vigila las rupturas de patrón: un proveedor pagado dos veces en un ciclo, transferencias de números redondos a nuevos beneficiarios, pagos justo por debajo de tu umbral de aprobación, o el nombre de un proveedor conocido emparejado con datos bancarios sutilmente diferentes.
- Mantén un registro de pagos limpio y con marcas de tiempo fuera de tu correo. Cuando cada pago legítimo se registra en un libro mayor con control de versiones, una transferencia no autorizada resalta de inmediato en lugar de esconderse en el ruido de la bandeja de entrada.
9. Ten un plan escrito de respuesta a incidentes
Decide antes de un incidente: quién llama al banco, quién presenta la denuncia ante el IC3 en ic3.gov, quién preserva la evidencia (encabezados completos del correo, registros de llamadas, el hilo original de la factura) y quién notifica al proveedor suplantado. Imprime el plan de una página y guárdalo donde la persona que paga las facturas pueda alcanzarlo sin iniciar sesión en nada — porque el sistema comprometido puede ser el que normalmente usa.
Errores comunes que anulan los buenos controles
Incluso las empresas con políticas escritas fallan de maneras predecibles. Audítate contra esta lista:
- Verificar dentro del hilo del atacante. Responder "¿esto es legítimo?" al correo comprometido, o llamar al número en el bloque de firma del mensaje fraudulento. La verificación debe ser fuera de banda y fuera del hilo, siempre.
- Eximir a los proveedores "conocidos". Saltarse las llamadas de verificación para proveedores de largo plazo. Los buzones de los proveedores también se comprometen — la antigüedad no es autenticación.
- Eludir el umbral. Aprobadores que dividen o ajustan pagos para mantenerse por debajo del límite de doble autorización, o atacantes que aprenden tu umbral y facturan justo por debajo. Revisa explícitamente los pagos cercanos al umbral.
- Tratar el correo escrito por IA como una señal. Hace cinco años, el inglés deficiente marcaba una estafa. La IA generativa ahora escribe prosa empresarial impecable y estilísticamente adaptada. Juzga las solicitudes por el cumplimiento del proceso, no por la calidad de la prosa.
- Archivar la política y olvidarla. Los controles que nadie ensaya se deterioran en un trimestre. Vuelve a realizar el ejercicio de simulación cuando el personal cambie de rol, y reconfirma los datos bancarios de los proveedores anualmente.
Cómo encaja la contabilidad en la defensa contra el fraude
Los controles antifraude y la contabilidad son la misma disciplina con sombreros diferentes: ambos se tratan de saber exactamente a dónde fue tu dinero y por qué. Una empresa que concilia semanalmente, mantiene registros de proveedores ordenados y registra cada pago con su factura de respaldo detectará una transferencia desviada en días; una empresa que concilia trimestralmente puede no notarlo hasta que el proveedor real envíe una carta de cobro.
Esa es también la razón por la que la contabilidad en texto plano con control de versiones se justifica aquí. Cuando tu libro mayor es un historial de archivos transparente en lugar de una base de datos de caja negra, puedes ver con precisión cuándo cambió el número de cuenta de un proveedor, quién lo cambió y qué pagos siguieron — el rastro de auditoría exacto que un investigador bancario o una aseguradora pide primero.
Simplifica tu gestión financiera
A medida que refuerzas tus controles de pago contra el fraude con deepfake, mantener registros financieros claros y auditables es lo que hace que esos controles sean exigibles — una política de verificación solo funciona si los libros muestran cada pago que debía gobernar. Beancount.io ofrece contabilidad en texto plano que te da transparencia y control totales sobre tus datos financieros — sin cajas negras, sin dependencia de proveedores. Comienza gratis y descubre por qué los desarrolladores y profesionales de finanzas están cambiando a la contabilidad en texto plano.
