Una videollamada ya no prueba identidad - Consultoría Estratégica en Seguridad

El 18 de octubre de 2026, INTERPOL lanzó una campaña para advertir sobre estafas que utilizan voz, imagen y video generados o modificados mediante inteligencia artificial. Los escenarios ya no pertenecen a la ciencia ficción: un supuesto colega puede aparecer en una videollamada y solicitar una transferencia; un familiar puede comunicar una emergencia; una autoridad puede exigir datos confidenciales.

La tecnología permite reproducir rostros y voces a partir de contenidos publicados en Internet. Al mismo tiempo, desaparecen algunos indicios tradicionales del fraude: errores de ortografía, diseños poco profesionales, movimientos extraños o voces robóticas.

La consecuencia es profunda para la seguridad patrimonial: ver y escuchar a una persona ya no constituye una prueba suficiente de identidad.

El objetivo no es el video: es la decisión

Un deepfake no necesita ser perfecto durante varios minutos. Solo necesita resultar convincente el tiempo suficiente para obtener una acción.

Esa acción puede ser una transferencia, un cambio de cuenta bancaria, la entrega de una contraseña, la descarga de un archivo, la modificación de un proveedor o la apertura de un acceso físico.

El atacante también utiliza elementos verdaderos. Puede conocer nombres, cargos, proyectos, viajes, familiares o proveedores mediante redes sociales, filtraciones, sitios corporativos y correos comprometidos. La voz o el video sintético funcionan como una capa adicional de credibilidad.

Por eso, el problema no debe evaluarse únicamente como falsificación audiovisual. Es una combinación de ingeniería social, información previa, urgencia y debilidad del proceso de autorización.

Por qué ya no alcanza con “mirar mejor”

Durante años se recomendó observar el parpadeo, el movimiento de labios, la iluminación, las manos o el retraso del audio. Estas señales todavía pueden ayudar, pero no constituyen un control estable.

Los modelos mejoran, la compresión de una videollamada oculta imperfecciones y una conexión deficiente puede explicar cualquier anomalía. Además, una persona sometida a presión emocional difícilmente realice un análisis técnico sereno.

Una organización no debería depender de que cada empleado sea capaz de distinguir contenido auténtico de una falsificación avanzada. La seguridad debe residir en el proceso, incluso cuando la imitación sea visualmente impecable.

El principio central: verificar por otro camino

INTERPOL recomienda interrumpir el contacto y comunicarse con la persona mediante un canal conocido. En una empresa, esto se traduce en verificación fuera de banda.

Si la solicitud llega por videollamada, debe confirmarse mediante un número previamente registrado, una aplicación corporativa autenticada o una conversación presencial. No debe utilizarse el teléfono, correo o enlace entregado dentro de la misma comunicación sospechosa.

El objetivo es obligar al atacante a controlar dos canales independientes. Una voz clonada puede engañar durante una llamada, pero no necesariamente superar una confirmación dentro del sistema corporativo y la aprobación de una segunda persona.

Ocho controles para órdenes críticas

1. Definir qué decisiones requieren verificación reforzada

Transferencias, cambios de cuentas, altas de proveedores, entrega de datos, modificación de privilegios y aperturas excepcionales deben estar identificadas previamente.

2. Aplicar doble aprobación

Ninguna persona, incluyendo directores o propietarios, debería autorizar individualmente una operación extraordinaria. La jerarquía no debe anular el control.

3. Confirmar mediante un canal registrado

La devolución de llamada debe realizarse a un número obtenido del directorio corporativo, no al número incluido en el mensaje recibido.

4. Establecer pausas obligatorias

La urgencia es una herramienta del fraude. Las operaciones fuera de patrón deben incorporar un tiempo mínimo para revisar destinatario, motivo y documentación.

5. Controlar cambios de proveedores

Una nueva cuenta bancaria debe validarse con contactos previamente conocidos y mediante documentación contrastada. El correo no puede ser la única evidencia.

6. Limitar información pública innecesaria

Videos ejecutivos, organigramas, viajes y nombres de proveedores pueden facilitar imitaciones y guiones personalizados. Esto no implica abandonar la comunicación, sino revisar qué datos se exponen.

7. Simular escenarios realistas

La capacitación debe incluir llamadas, audios y videollamadas, no solamente correos de phishing. El objetivo es practicar la pausa y la validación, no evaluar quién “descubre” la falsificación.

8. Preparar la respuesta

Si se realizó un pago, la organización debe contactar inmediatamente al banco, activar respuesta interna, preservar mensajes, números, grabaciones, cuentas y horarios, y efectuar las denuncias correspondientes.

Impacto en empresas, urbanizaciones y familias

Tesorería y compras son objetivos evidentes, pero no los únicos.

Recursos humanos puede recibir instrucciones para cambiar datos bancarios o entregar documentación. El área de tecnología puede ser presionada para restablecer credenciales. Un estudio jurídico puede revelar información protegida. Una administración de barrio puede autorizar el ingreso de un supuesto contratista. Una familia puede recibir una llamada que simula un secuestro o una emergencia.

En todos los casos, el atacante intenta reemplazar la verificación por una combinación de familiaridad, autoridad y presión emocional.

El daño puede incluir pérdida económica, exposición de datos, acceso a instalaciones, fraude posterior, afectación reputacional y conflictos internos sobre quién autorizó la operación.

Hechos, proyecciones e interpretación

Hecho confirmado: INTERPOL lanzó una campaña específica y describió usos de medios sintéticos en fraude de inversión, suplantación, engaños románticos, sextorsión y solicitudes de transferencias o información.

Limitación: la comunicación no ofrece una tasa global de incidencia ni datos específicos de Argentina. No corresponde afirmar que todo contacto inusual o toda falla audiovisual sea un deepfake.

Proyección razonable: la clonación de voz y rostro será más accesible y convincente. Los delincuentes combinarán estas herramientas con información obtenida de filtraciones, redes sociales y compromisos de correo.

Interpretación RISYKEN: la seguridad no debe intentar convertir a cada empleado en perito audiovisual. Debe construir procesos capaces de resistir incluso cuando la imitación resulte perfecta.

De la autenticidad visual a la autorización verificable

RISYKEN ANTICIPA propone un servicio de Verificación Reforzada de Identidades y Órdenes Críticas.

El trabajo comienza identificando qué decisiones pueden producir mayor daño. Luego se revisan canales, responsables, límites, excepciones, doble aprobación, directorios confiables, registros y procedimientos de emergencia. Finalmente, se realizan ejercicios controlados para comprobar si el protocolo funciona bajo presión.

Este enfoque puede integrarse con seguridad física, control de accesos, ciberseguridad, continuidad, compliance e investigaciones internas.

La pregunta para la dirección es directa: ¿qué ocurriría hoy si una voz idéntica a la del director pidiera modificar una cuenta y transferir con urgencia?

RISYKEN SOLUTIONS ayuda a organizaciones, urbanizaciones y empresas a diseñar controles que protejan personas, activos, información y continuidad frente a amenazas que ya no pueden evaluarse únicamente por su apariencia.