4 min de lectura<\/p>\n
El grupo brit\u00e1nico de ingenier\u00eda Arup perdi\u00f3 25,6 millones de d\u00f3lares mediante una \u00fanica llamada de videollamada con deepfake. El atacante hab\u00eda replicado mediante IA al director financiero (CFO) y a colegas. Un empleado financiero realiz\u00f3 15 transferencias en un solo d\u00eda. Este caso ya no es una excepci\u00f3n: el fraude mediante clonaci\u00f3n de voz aument\u00f3 un 680 por ciento en 2025. Para los directores de tecnolog\u00eda (CIO) y los miembros de los consejos de administraci\u00f3n, la protecci\u00f3n contra deepfakes se ha convertido en una cuesti\u00f3n de seguridad personal.<\/strong><\/p>\n En enero de 2024, un empleado financiero de la filial de Hong Kong del grupo brit\u00e1nico de ingenier\u00eda Arup recibi\u00f3 un correo electr\u00f3nico sospechoso. Para disipar sus dudas, se le invit\u00f3 a participar en una videollamada. En la pantalla vio y escuch\u00f3 a su director financiero (CFO) y a varios colegas. Todos hablaban de forma convincente, respond\u00edan a preguntas y daban instrucciones para realizar transferencias. El empleado llev\u00f3 a cabo 15 transferencias a cinco cuentas bancarias distintas de Hong Kong, por un total de 25,6 millones de d\u00f3lares.<\/p>\n Ninguno de los participantes en la videollamada era real. Todos eran deepfakes generados mediante inteligencia artificial, creados a partir de grabaciones de v\u00eddeo y audio disponibles p\u00fablicamente. El ataque no se descubri\u00f3 hasta varias horas despu\u00e9s. La polic\u00eda de Hong Kong hizo p\u00fablico el caso en febrero de 2024, y Arup confirm\u00f3 su implicaci\u00f3n en mayo de 2024. Este caso demuestra hasta qu\u00e9 punto ha avanzado la tecnolog\u00eda de deepfakes: ya no se trata \u00fanicamente de v\u00eddeos falsos aislados, sino de videollamadas interactivas en tiempo real con m\u00faltiples participantes generados mediante IA.<\/p>\n Arup no es una peque\u00f1a empresa sin medidas de ciberseguridad. Es un grupo global con m\u00e1s de 18.000 empleados, conocido, entre otras cosas, por haber calculado la estructura est\u00e1tica de la \u00d3pera de S\u00eddney. Si Arup puede ser enga\u00f1ado, cualquier empresa puede serlo. La cuesti\u00f3n ya no es si<\/em>, sino cu\u00e1ndo<\/em> un ataque similar afectar\u00e1 a su propia organizaci\u00f3n.<\/p>\n Las estad\u00edsticas son inequ\u00edvocas. El fraude mediante clonaci\u00f3n de voz aument\u00f3 un 680 % en 2025 respecto al a\u00f1o anterior. Los atacantes necesitan tan solo tres segundos de material de audio para generar una copia de voz con una coincidencia del 85 %. Los v\u00eddeos de LinkedIn, las apariciones en podcasts, las grabaciones de conferencias y los webinarios internos proporcionan gratuitamente el material bruto necesario.<\/p>\n El \u00abCEO-Fraud\u00bb, es decir, la enga\u00f1osa manipulaci\u00f3n intencionada de empleados mediante la imitaci\u00f3n de altos directivos, afecta, seg\u00fan informes del sector, a un m\u00ednimo de 400 empresas diariamente en todo el mundo. El 64 % de las empresas estadounidenses sufrieron en 2024 un ataque de compromiso de correo electr\u00f3nico empresarial (BEC), con p\u00e9rdidas medias de 150.000 d\u00f3lares por incidente. Los deepfakes incrementan considerablemente la tasa de \u00e9xito de estos ataques, ya que socavan la \u00faltima red de seguridad de los empleados: la verificaci\u00f3n visual y ac\u00fastica.<\/p>\n \n\u00abExiste un problema fundamental de seguridad y privacidad de datos que eclipsa el entusiasmo por los agentes de IA\u00bb. Particularmente inquietante: el 80 % de las empresas carece de protocolos establecidos o planes de respuesta ante ataques basados en deepfakes. Las tradicionales campa\u00f1as de formaci\u00f3n en concienciaci\u00f3n sobre seguridad se centran en los correos electr\u00f3nicos de phishing y el ingenio social mediante texto. En la mayor\u00eda de las organizaciones, la defensa contra la manipulaci\u00f3n audiovisual no est\u00e1 contemplada. A principios de 2025, una oleada coordinada de ataques con deepfake afect\u00f3 en Italia a destacados empresarios: los criminales imitaron al ministro de Defensa y sustrajeron al menos 1 mill\u00f3n de euros a una sola v\u00edctima.<\/p>\n Fuentes: Deepstrike.io 2025, Fortune\/CNN 2024, informes del sector<\/p>\n Los miembros de los consejos de administraci\u00f3n y los directivos son los objetivos preferidos de los ataques con deepfake, por tres razones. Primero: sus voces y rostros est\u00e1n disponibles p\u00fablicamente. Las intervenciones en conferencias, entrevistas, podcasts, v\u00eddeos de LinkedIn y asambleas de accionistas ofrecen material de audio y v\u00eddeo de alta calidad para entrenar modelos de deepfake. Cuanto m\u00e1s prominente sea un directivo, m\u00e1s f\u00e1cil ser\u00e1 su falsificaci\u00f3n.<\/p>\n Segundo: las \u00f3rdenes emitidas por los miembros de los consejos de administraci\u00f3n se cuestionan con menor frecuencia. En las organizaciones jer\u00e1rquicas, la barrera psicol\u00f3gica para poner en duda una instrucci\u00f3n del CEO o del CFO es elevada. Los atacantes que utilizan deepfakes aprovechan esta din\u00e1mica de forma deliberada. El caso Arup demuestra<\/a>: incluso ante dudas iniciales, una videollamada convincente bast\u00f3 para que el empleado llevara a cabo las acciones solicitadas.<\/p>\n Tercero: las empresas de DACH (Alemania, Austria y Suiza) con estructuras jer\u00e1rquicas planas est\u00e1n particularmente expuestas. En muchas pymes, el CFO tiene acceso directo a los sistemas de transferencia. No existe un principio de doble verificaci\u00f3n para transferencias inferiores a 100.000 euros. Un \u00fanico responsable financiero enga\u00f1ado con \u00e9xito puede transferir cantidades de seis cifras en cuesti\u00f3n de minutos, sin que ninguna otra persona deba dar su conformidad.<\/p>\n Nivel 1: Detecci\u00f3n t\u00e9cnica.<\/strong> Software especializado puede analizar v\u00eddeos y audios con deepfake en tiempo real. Herramientas como Pindrop, Sensity AI o Resemble Detect examinan artefactos en el habla y la imagen que resultan invisibles para el ojo y el o\u00eddo humanos. Las tasas de detecci\u00f3n oscilan entre el 85 % y el 95 %, aunque var\u00edan seg\u00fan la calidad de la falsificaci\u00f3n. Los CIO deben integrar estas herramientas en su arquitectura de seguridad<\/a>, especialmente en plataformas de videollamadas y sistemas telef\u00f3nicos.<\/p>\n Nivel 2: Protocolos organizativos.<\/strong> Para todas las transacciones financieras superiores a un umbral definido debe aplicarse un protocolo de verificaci\u00f3n que no pueda eludirse mediante v\u00eddeo ni audio. Concretamente: devoluci\u00f3n de llamada a un n\u00famero fijo registrado previamente (no al n\u00famero mencionado en la videollamada con deepfake), confirmaci\u00f3n mediante mensajer\u00eda cifrada con una palabra clave acordada previamente o autorizaci\u00f3n presencial por parte de una segunda persona autorizada. Estos protocolos deben quedar formalizados por escrito, comunicarse a todo el equipo financiero y someterse peri\u00f3dicamente a pruebas.<\/p>\n Nivel 3: Formaci\u00f3n en concienciaci\u00f3n.<\/strong> Los empleados deben saber que los deepfakes existen y c\u00f3mo funcionan. Las tradicionales campa\u00f1as de formaci\u00f3n contra el phishing no son suficientes. Los CIO deben introducir m\u00f3dulos espec\u00edficos de concienciaci\u00f3n sobre deepfakes que muestren ejemplos pr\u00e1cticos y ense\u00f1en a identificar sus se\u00f1ales reveladoras: movimientos bucales antinaturales, latencia entre el movimiento labial y el sonido, ausencia de reacci\u00f3n ante preguntas inesperadas y iluminaci\u00f3n extra\u00f1a. La lecci\u00f3n m\u00e1s importante: si una instrucci\u00f3n resulta inusual, debe cuestionarse, independientemente de qui\u00e9n la emita y de lo convincente que parezca su apariencia o su voz.<\/p>\n Nivel 4: Reducci\u00f3n de la huella p\u00fablica.<\/strong> Los CIO y los CISO deben colaborar con el departamento de comunicaci\u00f3n para evaluar cu\u00e1nto material de audio y v\u00eddeo de los directivos est\u00e1 disponible p\u00fablicamente. No todo puede eliminarse, pero s\u00ed reducirse su volumen. Las reuniones internas no deben grabarse si no es estrictamente necesario. Las grabaciones de presentaciones de los consejos de administraci\u00f3n no deben publicarse sin protecci\u00f3n en YouTube o en la p\u00e1gina web corporativa. Cada minuto de material disponible p\u00fablicamente constituye un minuto de material de entrenamiento para los atacantes.<\/p>\n La protecci\u00f3n contra deepfakes no es un tema marginal para el departamento de seguridad. Es un tema para el consejo de administraci\u00f3n<\/a>. La responsabilidad personal de la direcci\u00f3n ejecutiva bajo el marco normativo NIS2<\/a> agrava a\u00fan m\u00e1s la situaci\u00f3n: si se demuestra que no se adoptaron medidas adecuadas de protecci\u00f3n frente a una amenaza conocida, ello podr\u00eda considerarse una negligencia grave.<\/p>\n Para los CIO esto significa concretamente: antes del segundo trimestre de 2026 debe estar disponible un an\u00e1lisis de riesgos relacionado con deepfakes para la propia organizaci\u00f3n. \u00bfQui\u00e9nes son las personas m\u00e1s expuestas? \u00bfCu\u00e1nto material p\u00fablico existe? \u00bfQu\u00e9 procesos de transacciones financieras son vulnerables? Sobre la base de este an\u00e1lisis se elaborar\u00e1n protocolos de verificaci\u00f3n, se evaluar\u00e1n herramientas de detecci\u00f3n y se implementar\u00e1n programas de formaci\u00f3n en concienciaci\u00f3n. Los costes son razonables comparados con los de un ataque exitoso. Arup perdi\u00f3 25,6 millones de d\u00f3lares. Un programa integral de protecci\u00f3n contra deepfakes para una pyme representa una fracci\u00f3n m\u00ednima de esa cantidad.<\/p>\n Los atacantes utilizan material de audio y v\u00eddeo de directivos disponible p\u00fablicamente para replicar mediante IA su voz y su rostro. Esto se emplea en videollamadas en tiempo real o mensajes de voz para inducir a los empleados a realizar transferencias o entregar datos. La calidad es tan alta que resulta indistinguible para el ojo y el o\u00eddo humanos.<\/p>\n<\/details>\n Tan solo tres segundos de material de audio bastan para crear una copia de voz con una similitud del 85 %. Grabaciones m\u00e1s largas mejoran la calidad. Fuentes: entrevistas, podcasts, intervenciones en conferencias, v\u00eddeos de LinkedIn y webinarios grabados.<\/p>\n<\/details>\n El software especializado alcanza tasas de detecci\u00f3n del 85 % al 95 %. La detecci\u00f3n humana es notablemente m\u00e1s dif\u00edcil. Se\u00f1ales reveladoras: movimientos bucales antinaturales, latencia entre imagen y sonido, ausencia de reacci\u00f3n ante preguntas inesperadas y cambios extra\u00f1os en la iluminaci\u00f3n. Sin embargo, la mejor defensa no es la detecci\u00f3n, sino los protocolos de verificaci\u00f3n.<\/p>\n<\/details>\n Un principio de doble verificaci\u00f3n para todas las transacciones financieras superiores a un umbral definido, combinado con una devoluci\u00f3n de llamada a un n\u00famero fijo registrado previamente. Ninguna transferencia debe ejecutarse exclusivamente sobre la base de una videollamada o un mensaje de voz, por muy convincente que parezca la persona que aparece.<\/p>\n<\/details>\n S\u00ed, especialmente las pymes. Las estructuras jer\u00e1rquicas planas, con acceso directo del CFO a los sistemas de transferencia; la ausencia de autorizaci\u00f3n dual para transacciones inferiores a 100.000 euros; y una cultura en la que rara vez se cuestionan las \u00f3rdenes de los superiores convierten a las pymes alemanas en objetivos ideales para el fraude CEO-Fraud con deepfake.<\/p>\n<\/details>\n Fuente de imagen: Tima Miroshnichenko \/ Pexels<\/em><\/p>\n","protected":false},"excerpt":{"rendered":" 4 min de lectura El grupo brit\u00e1nico de ingenier\u00eda Arup perdi\u00f3 25,6 millones de d\u00f3lares mediante una \u00fanica llamada de videollamada con deepfake. El atacante hab\u00eda replicado mediante IA al director financiero (CFO) y a colegas. Un empleado financiero realiz\u00f3 15 transferencias en un solo d\u00eda. Este caso ya no es una excepci\u00f3n: el fraude […]<\/p>\n","protected":false},"author":114,"featured_media":12799,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"ceo","_yoast_wpseo_title":"CEO: Gu\u00eda esencial para protegerse de deepfakes hoy","_yoast_wpseo_metadesc":"Protecci\u00f3n contra deepfakes para ejecutivos: evita fraudes millonarios con soluciones avanzadas. Descubre c\u00f3mo proteger tu empresa ahora.","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"featured_post_sortierung":0,"featured_post":0,"pre_headline":"","bildquelle":"","teasertext":"","language":"de","_evm_slot_owner":"","_evm_translation_lang":"","_wp_old_slug":[],"footnotes":""},"categories":[667],"tags":[],"class_list":["post-14962","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-ciberseguridad","entry"],"wpml_language":"es","wpml_translation_of":12800,"yoast_head":"\nEn resumen<\/h2>\n
\n
El caso Arup: Anatom\u00eda de un ataque con deepfake<\/h2>\n
Las cifras: Por qu\u00e9 2026 ser\u00e1 el a\u00f1o de los ataques con deepfake<\/h2>\n
\nMeredith Whittaker, presidenta de Signal (SXSW, marzo de 2025)<\/cite>\n<\/p><\/blockquote>\nPor qu\u00e9 los ejecutivos est\u00e1n especialmente expuestos<\/h2>\n
Cuatro niveles de protecci\u00f3n contra ataques con deepfake<\/h2>\n
Qu\u00e9 deben incluir los CIO en su agenda ahora mismo<\/h2>\n
Preguntas frecuentes<\/h2>\n
\u00bfC\u00f3mo funciona un ataque con deepfake contra una empresa?<\/strong><\/summary>\n
\u00bfCu\u00e1nto material de audio necesita un atacante para crear una copia de voz?<\/strong><\/summary>\n
\u00bfEs posible detectar deepfakes en videollamadas en tiempo real?<\/strong><\/summary>\n
\u00bfCu\u00e1l es la medida de protecci\u00f3n inmediata m\u00e1s importante contra el fraude CEO-Fraud con deepfake?<\/strong><\/summary>\n
\u00bfEst\u00e1n especialmente expuestas las empresas de DACH?<\/strong><\/summary>\n
Recomendaciones de lectura de la redacci\u00f3n<\/h2>\n
\n
M\u00e1s contenido del MBF Media Netzwerk<\/h2>\n
\n