Tu director financiero recibe una videollamada del CEO pidiendo una transferencia urgente. La voz es idéntica, la cara también. El problema: el CEO nunca llamó. El fraude con IA llegó a México y la mayoría de las empresas no sabe ni cómo se ve.
Imagina esto. Tu contador recibe un mensaje de WhatsApp del director general: "te marco en cinco minutos, es urgente". Cinco minutos después, videollamada. Es él. Su cara, su voz, su forma de hablar, hasta el fondo de su oficina. Te pide una transferencia inmediata a un proveedor nuevo para cerrar un trato antes de que termine el día. Confidencial, dice. No lo comentes con nadie todavía.
El contador transfiere. Y el director general nunca hizo esa llamada.
Esto ya pasó. En 2024, una multinacional en Hong Kong perdió 25 millones de dólares cuando un empleado fue engañado en una videollamada donde todos los participantes eran deepfakes, incluido el supuesto director financiero. Para 2026, la herramienta que hace eso bajó de precio, subió de calidad y se volve accesible para cualquier estafador con una laptop.
"Recibimos un audio de WhatsApp del dueño autorizando un pago. La voz era perfecta. Por pura paciencia lo llamamos al celular para confirmar y nos contestó confundido: él no había mandado nada. Nos salvó una llamada de treinta segundos." — Gerente administrativa, empresa de logística en Monterrey
Un deepfake es contenido sintético —audio, imagen o video— generado por IA para suplantar a una persona real. Lo que cambió en 2026 es la barrera de entrada.
Para clonar una voz convincente, un atacante necesita entre 3 y 30 segundos de audio. ¿De dónde lo saca? De un video en LinkedIn, un podcast, una conferencia grabada, un mensaje de voz reenviado. Para la cara, fotos públicas bastan. Después, software que hace meses costaba miles de dólares y ahora se renta por suscripción.
El ataque casi nunca es puramente técnico. Es ingeniería social potenciada con IA: combinan el deepfake con una historia creíble y, sobre todo, con urgencia. La urgencia es el arma. Te apuran para que no pienses, para que no verifiques, para que actúes antes de dudar.
En México, autorizaciones, pagos y decisiones operativas viajan por WhatsApp todos los días. Es práctico. También es el canal perfecto para un audio falso: nadie sospecha de un mensaje de voz del jefe.
Pedir confirmar la identidad del director se siente incómodo, casi como una falta de respeto. Los atacantes explotan exactamente esa jerarquía. ¿Quién le va a colgar al dueño para "verificar"?
Mientras más visible es un ejecutivo —entrevistas, webinars, redes— más material hay para clonarlo. Irónicamente, el marketing personal del CEO es la materia prima del fraude.
Y aquí está lo contraintuitivo: la mejor defensa contra un ataque de IA de punta no es otra IA. Es un proceso humano simple y obligatorio.
| Defensa | Qué resuelve | Costo de implementar |
|---|---|---|
| Verificación por segundo canal | Confirma identidad fuera del canal del ataque | Casi cero — es un acuerdo, no un sistema |
| Palabra clave / código entre directivos | Frase que solo conocen las personas reales | Cero |
| Doble autorización para pagos | Nadie transfiere solo, sin importar quién pida | Bajo — proceso financiero |
| Capacitación anti-phishing y deepfakes | El empleado reconoce el patrón de urgencia | Medio — recurrente |
| Filtrado de correo y monitoreo (SOC) | Frena el vector inicial antes de la llamada | Medio-alto — pero cubre todo |
Todo fraude de este tipo depende de que actúes rápido. Así que la defensa central es una sola frase, repetida hasta que sea cultura: "ninguna transferencia se hace sin verificar por un segundo canal, sin importar quién la pida ni qué tan urgente sea". Si el "CEO" llama por video, le marcas a su celular. Si manda audio, le escribes por otro lado. Treinta segundos contra millones de pesos.
El fraude con IA es la capa más nueva, pero entra por las mismas puertas de siempre: correos comprometidos, contraseñas débiles, empleados sin entrenar. Por eso lo tratamos como parte de un programa de ciberseguridad completo, no como un parche aislado. Si todavía no tienes lo básico cubierto, te conviene leer por qué el 83% de las empresas mexicanas no sobrevive un ataque de ransomware y qué cambia cuando ordenas tu seguridad con un marco como ISO 27001 para PyMEs.
En SCRAM operamos centros de monitoreo 24/7 y armamos los protocolos de verificación junto con el equipo directivo. Porque la tecnología frena el primer 90% del ataque; el último 10% —la llamada perfecta del falso CEO— lo frena un proceso que tu gente respeta aunque venga del jefe.
Referencias:
¿Necesitas ayuda con tecnología?
SCRAM Consulting lleva 27+ años integrando soluciones de tecnología para empresas en México.
Hablar con un experto
Armando Cortés forma parte del equipo de SCRAM Consulting, integradora B2B de soluciones IT empresariales con presencia en México y Estados Unidos desde 1997. Acompaña a empresas mid-market mexicanas en proyectos de infraestructura, ciberseguridad, hardware industrial, soporte 24/7 e integración de IA aplicada al stack operativo del negocio.
Relacionados
¿Qué es un SOC y Necesita Uno tu Empresa? (Explicado sin Tecnicismos)
June 23, 2026
Checklist de Ciberseguridad para PyMEs: 12 Puntos que Puedes Revisar Hoy
June 23, 2026
Ciberseguridad para Empresas en México: La Guía Completa para Protegerte sin Volverte Paranoico
June 23, 2026
Suscríbete al blog
Artículos de tecnología y seguridad cada semana.
Sigue leyendo
¿Qué es un SOC y Necesita Uno tu Empresa? (Explicado sin Tecnicismos)
June 23, 2026 · 7 min
Checklist de Ciberseguridad para PyMEs: 12 Puntos que Puedes Revisar Hoy
June 23, 2026 · 8 min
Ciberseguridad para Empresas en México: La Guía Completa para Protegerte sin Volverte Paranoico
June 23, 2026 · 15 min
