Falsificar la cara de tu CFO cuesta $50. Tus controles de transferencia no estaban hechos para eso.

La primera vez que intenté engañar a una de estas herramientas de detección, me llevó una tarde y unos cincuenta dólares.

Saqué de YouTube charlas públicas de un colega en conferencias, las pasé por un modelo de intercambio de rostros que corría en una tarjeta gráfica de consumo y apunté la salida a una cámara virtual. Luego me uní a una videollamada de prueba como alguien que no soy. El complemento de "detección de deepfakes" que estábamos evaluando se quedó ahí, con la luz verde encendida, perfectamente contento. Había sido diseñado para atrapar a alguien que sostiene una foto impresa frente a una cámara web. Yo le había entregado una señal sintética limpia directamente al flujo de datos, y nunca miró lo correcto.

Esa tarde es todo el problema de la detección empresarial de deepfakes en una sola escena. Las herramientas son reales, algunas son buenas, y casi ninguna te protege del ataque que realmente está vaciando las cuentas bancarias corporativas. La defensa que funciona no es una herramienta en absoluto. Es lo que pasé el año siguiente convenciendo a los CFO de que necesitaban y no podían comprar en un marketplace — la razón por la que al final construimos una práctica de defensa en capas contra deepfakes en Veriprajna en lugar de revender el complemento de alguien.

Déjame contarte cómo llegué ahí, porque empecé creyendo justo lo contrario.

Pensé que era un problema de detección. No lo es.

Cuando miré por primera vez el fraude corporativo con deepfakes, hice lo que hace todo tecnólogo: asumí que era un problema de precisión a la espera de un modelo mejor. Compra el mejor detector, conéctalo a Zoom y listo. Detecta la cara falsa, detén el fraude.

Así que fui a buscar el mejor detector. Y cuanto más leía, más se hundía el suelo bajo ese plan.

El número que rompió mi supuesto salió del trabajo de referencia de Purdue de 2025: las herramientas de detección que anuncian una precisión del 96 al 99 por ciento en el laboratorio caen al 50 al 65 por ciento en producción real. Léelo otra vez con la cabeza de un CFO. El cincuenta por ciento es tirar una moneda. El sesenta y cinco por ciento significa que uno de cada tres falsos pasa. Te piden apostar una transferencia — a veces una transferencia de ocho cifras — a una alerta probabilística que falla un tercio de las veces.

Un detector que acierta dos de cada tres veces es un gran resultado de investigación y un control catastrófico. No puedes poner a cara o cruz en la ruta de autorización del dinero que no vuelve.

Me quedé con eso un tiempo. El instinto en seguridad es siempre perseguir el modelo mejor. Pero no hay ningún número de precisión que haga aceptable "la máquina cree que esta cara probablemente es real" como base para mover dinero. Ni siquiera el 99 por ciento lo sería — porque el atacante solo necesita ganar una vez, y elige el día.

Eso fue lo primero que entendí mal, y admitirlo cambió todo lo que construimos después.

¿Cómo funciona realmente una llamada deepfake de $25.6 millones?

El caso que estudia todo el mundo en este campo es Arup, la firma global de ingeniería, en febrero de 2024. Un empleado de finanzas en Hong Kong se unió a una videollamada con el CFO de la empresa y varios otros altos ejecutivos, habló de una transacción confidencial y, en los días siguientes, ejecutó quince transferencias por un total de $25.6 millones a cinco cuentas bancarias de Hong Kong.

Todas las personas en esa llamada, excepto la víctima, eran sintéticas.

Lo que me impacta de Arup no es la tecnología. Es lo ordinario del camino. Los atacantes recolectaron vídeo y audio públicos de los ejecutivos — YouTube, grabaciones de conferencias, LinkedIn — y entrenaron modelos generativos para reproducir no solo rostros, sino entonación y microexpresiones. El coste de los datos de entrenamiento fue cero, porque todos publicamos nosotros mismos las caras de nuestros ejecutivos. El entrenamiento del modelo corrió en hardware de consumo por menos de cincuenta dólares.

Luego llegó la parte que la mayoría de las defensas pasan por alto. El empleado al principio se mostró escéptico — buen instinto —, así que los atacantes escalaron del correo a una videollamada, porque ver caras familiares es exactamente lo que anula el escepticismo. E inyectaron el vídeo sintético con software de cámara virtual, herramientas como OBS VirtualCam o el Deepfake Offensive Toolkit de código abierto, alimentando fotogramas fabricados directamente en el flujo de la videoconferencia.

Esta es la distinción con la que ahora abro cada conversación con un CISO, porque es la que determina si tu dinero está a salvo:

Un ataque de presentación sostiene algo frente a una cámara. Un ataque de inyección evita la cámara por completo. Las comprobaciones de vivacidad captan el primero y nunca ven el segundo.

La mayor parte de la "detección de deepfakes" del mercado — las comprobaciones biométricas de vivacidad al estilo iProov pensadas para el alta de identidad, las herramientas que te piden girar la cabeza o seguir una luz — están diseñadas para ataques de presentación. Son genuinamente buenas en eso; la tecnología Flashmark de iProov está certificada por NIST exactamente para ese trabajo. Pero un ataque de inyección entrega a la app de videoconferencia una señal sintética que parece una entrada legítima de hardware, y la lógica de vivacidad aguas arriba queda contenta. Los ataques de inyección subieron un 255 por ciento en 2023 por una razón. Así es como se vencen las defensas que las empresas acaban de comprar.

Sin malware. Sin credenciales robadas. Sin red vulnerada. Lo único comprometido en Arup fue la confianza en lo que una persona vio y oyó en una pantalla.

¿Por qué un solo proveedor no va a detener esto?

Cuando entendí el ataque, empecé a mapear el panorama de proveedores para ver quién podía detenerlo. Monté una hoja de cálculo — modalidad, integración de plataforma, para qué sirve realmente cada herramienta y, crucialmente, dónde se rompe cada una. Se alargó rápido, y la conclusión era incómoda para quien esperara escribir un solo pedido de compra.

Reality Defender hace monitorización multimodal en tiempo real dentro de Zoom, pero su análisis del lado del servidor añade latencia de ida y vuelta a cada fotograma, y como inspecciona el contenido en lugar de la ruta de la cámara, su cobertura de ataques de inyección es delgada — una señal sintética limpia sigue leyéndose como entrada legítima. Pindrop es excelente con la voz — documentó el aumento del 1.300 por ciento en el fraude con deepfakes y es la razón por la que me tomo el audio en serio — pero no analiza el flujo de vídeo en absoluto. GetReal Security correlaciona señales biométricas, de comportamiento y de contexto durante una llamada en vivo, lo cual se acerca más a la forma correcta, pero es un entrante más nuevo con una Serie A de $17.5 millones y un historial limitado a escala empresarial. RealityCheck de Beyond Identity verifica que la señal de la cámara web proviene de hardware físico — directamente relevante para la inyección —, pero es a nivel de dispositivo y no mira el contenido. Adaptive Security ejecuta formación de simulación de deepfakes para empleados, lo cual importa, pero la formación no es un control; no bloquea nada.

Podría seguir. El punto es la forma, no el catálogo: cobertura de vídeo aquí, audio allá, vivacidad en un tercer sitio, atestación de dispositivo en un cuarto, y las brechas entre ellos son exactamente donde vive un atacante competente.

Y luego está la respuesta de la consultoría. Las Big Four y los grandes integradores se ofrecen encantados a dirigir un encargo de deepfakes — por $500,000 a $5 millones — y entregarte un marco de gobernanza y una presentación para el consejo. Sin herramientas de detección. Recomendarán a los proveedores de arriba; rara vez construyen o integran nada. He leído esos entregables. No están equivocados. Simplemente no son una defensa.

Ningún proveedor único cubre vídeo, audio, comportamiento y el proceso humano. Alguien tiene que diseñar las costuras entre ellos. Ese alguien suele ser nadie, y por eso las costuras son por donde se va el dinero.

El control que no cuesta nada y lo detiene todo

Aquí es donde mi pensamiento dio un vuelco completo.

Había pasado semanas metido en precisión de detección, modalidades de proveedores, taxonomía inyección-versus-presentación. Y la respuesta a "qué habría detenido Arup" resultó no tener nada que ver con nada de eso.

Una política obligatoria de verificación fuera de banda: cualquier instrucción financiera por encima de un umbral definido debe confirmarse a través de un número de callback preregistrado o un canal cifrado separado antes de la ejecución. No un número que te da quien llama — un número que ya tenías, guardado antes de que empezara todo esto. El CFO deepfakeado puede ser impecable. La inyección puede ser indetectable. No importa, porque el dinero no se mueve por la fuerza de la llamada. Se mueve después de que un analista de tesorería marque un número pegado dentro del cajón de su propio escritorio y oiga a la persona real decir que sí.

Este control no cuesta nada de implementar. Es eficaz contra todas las variantes del fraude con medios sintéticos — presentes, futuras, de vídeo, de voz, lo que construyan los atacantes después — porque no intenta detectar la falsificación. Quita la videollamada de la ruta de autorización por completo.

Seré sincero sobre por qué me costó aceptarlo. Soy tecnólogo. Quería que la respuesta fuera un modelo. La idea de que la intervención de mayor ROI ante una amenaza de IA de vanguardia sea una política de llamadas telefónicas de 1995 me pareció un chasco. Hizo falta ver fallar los números de detección en las pruebas — una y otra vez, la luz verde ante una falsificación — para dejar de resistirme a la verdad poco glamurosa.

Las capas de detección añaden confianza. Los controles de proceso añaden certeza. El error es comprar lo primero y saltarse lo segundo.

Esa es la columna vertebral de lo que construimos ahora: primero el proceso, la detección como defensa en profundidad encima. Las herramientas de detección se ganan su sitio señalando anomalías y comprándote un momento de duda. No se ganan el derecho a ser lo único entre un atacante y tu tesorería.

La factura que nadie vio venir: tu seguro caducó

Durante mucho tiempo la conversación de presupuesto con los CFO no iba a ninguna parte. La pérdida es hipotética hasta que ocurre, el gasto es real hoy, y en el fondo de la mente de todos estaba el supuesto de que el ciberseguro lo cubriría de todos modos.

Luego, en enero de 2026, ese supuesto murió en silencio.

Las pólizas cibernéticas estándar ahora excluyen explícitamente a los "intermediarios generados por IA." Las pólizas de D&O, E&O y de prácticas laborales están añadiendo exclusiones amplias de IA. El fraude con deepfakes que era problema de tu aseguradora en 2024 es tu problema en 2026 — a menos que hayas comprado un endoso aparte de deepfakes, que cuesta $500 a $3,000 al año y que casi nadie tiene. Si el ataque de Arup te ocurre ahora, los $25.6 millones no están asegurados. Punto final.

Ese único cambio movió más presupuesto que todas las estadísticas de pérdidas que jamás había citado. Reformuló todo. Esto no es "gastar dinero para quizás evitar un hipotético". Es "la cobertura con la que contabas desapareció, y la responsabilidad aterrizó en tu mesa". Los tribunales cada vez más consideran negligentes a los empleadores por la ausencia de controles específicos contra deepfakes, y la vieja "regla del impostor" pone la pérdida en quien estaba mejor posicionado para prevenir el fraude. Después de enero de 2026, ese eres tú.

Lo que los reguladores están a punto de exigir

Hay dos fechas que les digo a todos los consejos que pinten en la pared, porque convierten esto de un juicio en un plazo.

2 de agosto de 2026: entran en vigor las obligaciones de transparencia del artículo 50 de la Ley de IA de la UE para contenido deepfake, con sanciones de hasta €35 millones o el 7 por ciento del volumen de negocios global. Si operas en cualquier lugar cerca de la UE, la era de tratar la gobernanza de medios sintéticos como opcional termina en esa fecha.

Y desde diciembre de 2023, la SEC exige que los incidentes materiales de ciberseguridad se divulguen en el Formulario 8-K en un plazo de cuatro días hábiles. Un fraude con deepfakes de más de $25 millones casi con seguridad supera el umbral de materialidad. Así que imagina la secuencia real: descubres el fraude, y ahora corre un reloj de cuatro días para una presentación pública que describe exactamente cómo fallaron tus controles de transferencia — mientras el dinero ya se ha ido. La regla de divulgación convierte una pérdida privada en una pública con tus inversores leyendo.

Hay una tensión más dura y silenciosa debajo de la historia de cumplimiento, y es donde los marcos de consultoría tienden a hacer gestos con las manos. La biometría del comportamiento que hace que la autenticación continua funcione de verdad — dinámica de pulsaciones, patrones de ratón, las señales que correlacionan las herramientas al estilo GetReal — es precisamente el dato que activa la ley de privacidad biométrica de Illinois. BIPA produjo más de 107 acciones colectivas en 2025; Clearview AI resolvió una por $51.75 millones. El artículo 9 del RGPD trata los datos biométricos como categoría especial que requiere consentimiento explícito. Así que tu mejor señal de detección es también tu mayor pasivo de privacidad si la despliegas sin consentir bien a tus empleados. Resolver el problema de seguridad a la ligera crea un problema de litigio. Mapear cada control a BIPA, al RGPD, a la norma de la SEC y a los estándares de prueba ISO 30107 y CEN/TS 18099 no es papeleo — es cómo evitas cambiar una exposición de ocho cifras por otra.

¿No puedo simplemente formar a los empleados para detectar las falsificaciones?

La gente siempre me pregunta si la formación en concienciación de empleados resuelve esto. Solo enseñar a todo el mundo a detectar las falsificaciones.

Ojalá. La detección humana de deepfakes ronda el 50 por ciento — más o menos lo que daría el azar, y la tecnología mejora cada mes. Como especie, somos malos en esto. El empleado de Arup no fue descuidado; fue lo bastante escéptico como para resistirse al principio. La videollamada fue lo que venció su juicio, porque las caras y voces que reconocemos saltan el cerebro analítico. La formación ayuda a que la gente pause e invoque el proceso. No convierte a nadie en un detector humano fiable, y cualquier programa vendido con esa premisa vende comodidad.

La otra pregunta que me hacen es si esto está exagerado — un par de titulares asustadores. No lo está. Las pérdidas por fraude con deepfakes en EE. UU. se triplicaron desde unos $360 millones en 2024 hasta $1.1 mil millones en 2025. El incidente empresarial medio ahora ronda los $680,000, y las campañas de fraude al CEO están golpeando a cientos de empresas al día. Los kits de identidad sintética se venden por unos cinco dólares en la dark web; un vídeo falso empieza en cincuenta. La economía se ha invertido — ahora cuesta casi nada atacar y una fortuna estar desprevenido.

Y está a punto de empeorar de una forma concreta. Casi la mitad de los profesionales de seguridad esperan que la IA agéntica — sistemas que encadenan reconocimiento, generación de deepfakes e ingeniería social sin un humano en el bucle — sea un vector de ataque principal a finales de 2026. La tarde de cincuenta dólares que pasé engañando a un detector se convierte en un pipeline totalmente automatizado que corre contra cientos de objetivos mientras el operador duerme.

Lo que construimos de verdad

Así que cuando una empresa viene a nosotros, no aparecemos con un producto que vender. Somos neutrales respecto a los proveedores por diseño — no revendemos ninguna de las herramientas que nombré, que es la única forma honesta de decirle a un cliente que el marco de consultoría de $500K y el complemento elegante de Zoom son ambos, por sí solos, insuficientes.

Empezamos por la capa de proceso, porque es la intervención de mayor ROI y no requiere comprar nada: flujos de verificación fuera de banda, doble autorización por encima de umbrales, la disciplina del callback que hace que la precisión de detección sea casi irrelevante para si el dinero está a salvo. Luego diseñamos la pila de detección alrededor de tu entorno real de videoconferencia — eligiendo la combinación correcta de modalidades entre esos unos veinte proveedores en lugar de un discurso de una sola plataforma, y cerrando la costura del ataque de inyección que dejan abierta las herramientas de vivacidad. Mapeamos cada control a las regulaciones que ahora te afectan. Y lo sometemos a un red team: ejecutamos el ataque sintético contra tus defensas existentes para encontrar la brecha antes de que lo haga un criminal — el mismo ejercicio de una tarde que corrí al principio, convertido en un servicio. Si quieres la arquitectura completa, está detallada en nuestra página de defensa contra deepfakes.

Te dejo con lo que le digo a cada consejo cuando cae la demo y la sala se queda en silencio.

El control que sobrevive a cada versión de esto — la cara deepfakeada, la señal inyectada, lo que construyan después — es el número preregistrado que un analista de tesorería marca antes de que el dinero se mueva. Es lo menos sofisticado de tu pila de seguridad, y después de enero de 2026 es lo único que se interpone entre una cara sintética y una pérdida no asegurada.