Fraudes con IA: cómo reconocer el correo, la llamada o el video falso del gerente

Durante años, la recomendación fue fijarse en las faltas de ortografía, en el saludo genérico o en el remitente raro. Esa recomendación ya no sirve. Con inteligencia artificial, un correo falso puede estar escrito en el mismo tono que su gerente, una llamada puede tener su voz y una videollamada puede mostrar su cara.

Qué cambió con la inteligencia artificial

• Correos sin errores y en el tono correcto. La IA escribe como la persona a la que imita, a partir de lo que esa persona ha publicado o escrito antes.
• Voces clonadas. Con pocos segundos de audio, sacados de un video o de un mensaje de voz, se puede imitar a alguien en una llamada.
• Videollamadas falsas. En 2024, un empleado de una multinacional en Hong Kong transfirió unos 25 millones de dólares después de una videollamada en la que todos los demás participantes, incluido el director financiero, eran imitaciones hechas con IA.

Lo que antes requería un equipo especializado hoy está al alcance de cualquiera, y por eso las empresas pequeñas también están en la mira.

Las tres formas más comunes

1. El mensaje del gerente. «Estoy en una reunión, necesito que hagas esta transferencia hoy y que no lo comentes». Llega por correo, por WhatsApp o por una llamada con su voz.
2. El proveedor que «cambió de banco». Un correo, muchas veces desde la cuenta real del proveedor que fue intervenida, avisa que las próximas facturas se paguen en una cuenta nueva.
3. El soporte técnico falso. Alguien que se presenta como el banco, el proveedor de internet o el área de TI pide una clave, un código o instalar un programa «para revisar un problema».

Las señales que sí sirven

Como el mensaje puede verse perfecto, fíjese en lo que pide:

• Urgencia: todo tiene que ser hoy, ahora, antes de que cierre el banco.
• Reserva: «no se lo comentes a nadie», «después te explico».
• Salirse del procedimiento: saltarse una aprobación, pagar a una cuenta nueva, usar otro canal.
• Dinero, claves o datos: casi todos los fraudes terminan pidiendo una de estas tres cosas.

Si un mensaje junta dos de estas señales, deténgase y verifique.

La regla que más protege: verificar por otro canal

Ninguna tecnología reemplaza un procedimiento simple, acordado de antemano y que todos conocen:

• Antes de pagar algo fuera de lo normal, se confirma por otro canal. Si el pedido llegó por correo, se llama. Si llegó por llamada, se escribe. Siempre a un número o una dirección que ya tenía, nunca al que viene en el mensaje.
• Los cambios de cuenta bancaria de un proveedor se confirman por teléfono con una persona conocida, antes del primer pago a la cuenta nueva.
• Nadie pide claves ni códigos. Ni el banco, ni el área de TI, ni el gerente. Quien los pide, está intentando un fraude.
• Una palabra de verificación. Algunas empresas acuerdan una palabra o una pregunta que solo conocen las personas que autorizan pagos. Es simple y una IA no la puede adivinar.

Cómo preparar a su equipo

• Una conversación corta, con ejemplos reales, vale más que un manual largo. Muestre cómo se ve hoy un correo falso bien hecho.
• Deje por escrito quién puede autorizar pagos y cómo se verifican los que salen de lo común.
• Celebre a quien pregunta. Si alguien se detiene a verificar un pedido real del gerente, hizo exactamente lo correcto. El fraude funciona cuando la gente teme incomodar.
• Proteja las cuentas de correo con verificación en dos pasos: muchos de estos fraudes empiezan por una casilla intervenida.

Preparar al equipo contra suplantaciones hechas con IA es parte de nuestra seguridad informática en tiempos de IA, junto con la revisión de accesos, redes y respaldos.