Estafas con IA y deepfakes · Lección 5 de 6 · 13 min
En el trabajo: pagos, cuentas y videollamadas
Contenido de la lección
En enero de 2024, una persona del departamento de finanzas de Arup en Hong Kong, una empresa británica de ingeniería, recibió un correo del director financiero que le pedía una transacción secreta. Le pareció un engaño. Luego la convocaron a una videollamada con el director y varios compañeros, los vio y los oyó, y dejó de dudar.
Hizo 15 transferencias a cinco cuentas: unos 200 millones de dólares de Hong Kong, más de 25 millones de dólares estadounidenses. Las personas de la videollamada eran recreaciones hechas con IA. Arup confirmó después que se usaron voces e imágenes falsas, y añadió que ni su estabilidad financiera ni sus sistemas internos se vieron afectados. El engaño no entró por los ordenadores, sino por una persona.
En esta lección verás los dos guiones del trabajo, el falso directivo y el cambio de cuenta de un proveedor, qué enseña el caso de Arup y la regla que lo frena: ningún pago depende de una sola persona ni de un solo canal. No es solo cosa de multinacionales: INCIBE dedica una guía al fraude del CEO en la pyme.
- El falso directivo. Un pago urgente y confidencial en nombre de la dirección.
- El cambio de cuenta. Un proveedor de siempre que, de pronto, cambia de banco.
- La videollamada. Caras y voces conocidas que no prueban nada.
Antes de seguir, recuerda · 2 preguntas de las lecciones 3 y 4
1¿Qué hace la verificación del beneficiario que los bancos ofrecen desde octubre de 2025?
No es esa. La correcta es «Avisa si el nombre no coincide con el titular de la cuenta». Compara el nombre que escribes con el titular de la cuenta. Si coincide, solo dice que la cuenta es de esa persona, no que esa persona sea de fiar.
2¿Cuál de estas es la señal más clara de un engaño?
No es esa. La correcta es «Un cambio de número o de cuenta, con prisa por pagar». Las faltas y la voz metálica ya no sirven: la IA escribe y habla bien. Un cambio de número o de cuenta con prisa por pagar es el corazón del guion.
El falso directivo y el cambio de cuenta
El falso directivo. Según INCIBE, el atacante estudia la empresa y pide a quien puede pagar una operación urgente y confidencial, en nombre de la dirección. Europol añade otra señal: que pida saltarse los procedimientos. En 2024, INCIBE contó el caso de una empresa que recibió una llamada con una voz «exactamente igual» a la de su director.
El cambio de cuenta. Un proveedor de siempre avisa de que ha cambiado de banco y envía la cuenta nueva para las próximas facturas. A veces el correo llega desde una dirección casi igual a la suya, y INCIBE aconseja comprobar el remitente letra a letra.
La comprobación es la misma en los dos. Europol lo dice así: no uses los datos de contacto del mensaje que pide el cambio, sino los de la correspondencia anterior. El Banco de España aconseja confirmarlo por teléfono o en persona.
INCIBE añade una medida que se olvida: limitar lo que se publica sobre quién paga y quién autoriza en la empresa, porque es lo primero que estudia el atacante.
La videollamada con varias personas
El caso de Arup deja tres lecciones. La primera: más caras no son más prueba. Quien pagó dudó de un correo y se convenció al ver a varios compañeros juntos, y ninguno era real.
La segunda: no hizo falta una conversación en directo. Según la policía de Hong Kong, los vídeos estaban grabados de antemano y no interactuaron con la víctima. Bastó con que pareciera una reunión.
La tercera: la señal estaba desde el principio. Una transacción secreta, urgente y fuera del circuito es el guion del falso directivo, venga por correo, por audio o por vídeo. Su primera sospecha era la buena.
Le puede pasar a cualquier empresa. El director global de sistemas de Arup contó que sufren intentos con regularidad: facturas falsas, suplantaciones, voces imitadas por WhatsApp y deepfakes.
Si te convocan por sorpresa a una videollamada para un pago urgente, la regla es la misma que por teléfono: cuelgas y llamas tú al número de siempre de esa persona.
La regla de las dos personas
INCIBE propone diez medidas contra el fraude del CEO. Tres se repiten en todas las guías:
- Dos personas por encima de un importe. A partir de un umbral, ningún pago lo aprueba una sola persona. El Banco de España recomienda lo mismo.
- Comprobar por otro canal. Una petición que llega por correo, audio o vídeo se confirma llamando al número de siempre.
- Un procedimiento para los cambios de cuenta. Nadie da de alta un IBAN nuevo sin la llamada de comprobación.
INCIBE añade desconfiar de lo marcado como confidencial, limitar lo que se publica sobre quién paga en la empresa y formar a quien gestiona pagos. El Banco de España propone simulacros. Ninguna de estas medidas cuesta dinero ni exige tecnología: son costumbres, y se aprueban en una reunión.
En la práctica siguiente decides, petición a petición, si se paga o se comprueba antes.
Ocho peticiones de pago, una a una. Se deslizan a un lado (o se usan los botones o las flechas) según se puedan pagar ya o haya que comprobarlas antes, y cada una explica por qué.
¿Se paga ya o se comprueba antes?
- El director pide por WhatsApp un pago urgente y confidencial: Se comprueba antes. Prisa, secreto y un destinatario nuevo: el guion entero.
- Un proveedor avisa por correo de que cambia de cuenta: Se comprueba antes. Se confirma llamando al teléfono de la ficha, no al del correo.
- Una factura de siempre, a la cuenta de siempre: Se paga. Nada ha cambiado: se paga por el circuito de siempre.
- En videollamada, la directora pide pagar hoy fuera del circuito: Se comprueba antes. Ver su cara no prueba nada; saltarse el circuito es la señal.
- La nómina del mes, aprobada por dos personas como siempre: Se paga. Es el procedimiento normal, con sus dos firmas.
- Un audio del gerente: «hazlo ya, no puedo hablar»: Se comprueba antes. No poder hablar es la excusa para que no lo compruebes.
- Un pago grande firmado por dos, tras llamar al número de siempre: Se paga. Dos personas y una comprobación por otra vía: así se paga.
- Un correo del proveedor que pide pagar a otra cuenta: Se comprueba antes. El remitente se puede falsear, y la cuenta nueva es la señal.
Un procedimiento que nadie se salta
El falso directivo funciona porque nadie quiere frenar a la dirección. Por eso la regla tiene que valer también, y sobre todo, cuando quien pide saltársela parece el director general.
Lo que ayuda es que la propia dirección lo diga antes, por escrito y a todo el equipo: «nunca os pediré un pago fuera del circuito; si alguien lo hace en mi nombre, comprobadlo». Así, quien frena un pago urgente no desobedece: cumple lo que se pidió.
Y cuando llegue un intento, aunque no se haya pagado nada, se cuenta. Europol aconseja avisar siempre a la policía, también de los intentos evitados, y en la empresa sirve para que el siguiente lo reconozca. Si ya se ha pagado, la lección 6 cuenta qué hacer en la primera hora. INCIBE propone tener ese plan escrito antes: a quién se llama primero y quién habla con el banco.
- Dicho antes. La dirección avisa por escrito de que nunca pedirá saltarse el circuito.
- Nadie se lo salta. Tampoco cuando parece que lo pide el director general.
- Los intentos se cuentan. A la policía y al equipo, aunque no se haya pagado nada.
Hazlo: la lista de pagos de tu equipo
- El umbral: a partir de qué importe aprueban un pago dos personas. Si no lo hay, propón uno.
- El cambio de cuenta: quién lo confirma, a qué teléfono (el de la ficha) y dónde queda anotado.
- Lo urgente: qué se hace cuando alguien de la dirección pide saltarse el circuito.
- El aviso: a quién se cuenta un intento, aunque no se haya pagado.
Un ejemplo de regla: cualquier pago a una cuenta nueva, o por encima del umbral, lo aprueban dos personas, y la segunda llama al teléfono de la ficha antes de firmar. Revisad la lista una vez al año y cada vez que cambie quién paga.
Si la empresa tiene un seguro, pregunta si cubre el fraude con suplantación: INCIBE lo menciona entre sus recomendaciones.
Si no te toca decidirlo, llévalo a quien sí: es una lista corta y se aprueba en una reunión. Apúntala en tu cuaderno.
Se guarda solo en este navegador y no sale de él.
Comprueba lo que has aprendido · 3 preguntas
1Un proveedor de siempre te escribe: ha cambiado de banco y te da la cuenta nueva. ¿Cómo lo compruebas?
No es esa. La correcta es «Llamando al teléfono que ya tenías en su ficha». Europol lo dice así: no uses los datos de contacto del mensaje que pide el cambio, sino los de correspondencia anterior.
2¿Qué enseña el caso de Arup en Hong Kong?
No es esa. La correcta es «Que una videollamada con caras conocidas no prueba nada». Quien pagó sospechó por la petición secreta y dejó de dudar al ver a sus «compañeros». Eran recreaciones grabadas de antemano.
3¿Qué es la regla de las dos personas?
No es esa. La correcta es «Que, por encima de un importe, el pago lo aprueben dos personas». La recomiendan INCIBE y el Banco de España: un umbral a partir del cual ningún pago depende de una sola persona.
Ningún pago urgente sin una segunda persona y una llamada al número de siempre, aunque lo pida la dirección.
Fuentes
Los datos y las fechas de la lección se comprobaron en estas fuentes el 16 de octubre de 2026. Las que están en inglés son los textos originales.
- CNN: una persona de finanzas paga 25 millones de dólares tras una videollamada con un falso director financiero, 4 de febrero de 2024 (en inglés)
- CNN: Arup, víctima de la estafa con deepfake de 25 millones, 16 de mayo de 2024 (en inglés)
- The Guardian: Arup, víctima de una estafa con deepfake de 20 millones de libras, 17 de mayo de 2024 (en inglés)
- Hong Kong Free Press: una multinacional pierde 200 millones de dólares de Hong Kong en una videoconferencia falsa, 5 de febrero de 2024 (en inglés)
