El fraude del CEO ha dado un salto con la inteligencia artificial. Una llamada con la voz exacta del director general pidiendo una transferencia urgente ya no es ciencia ficción. La buena noticia: no hace falta distinguir una voz falsa de una real para no caer; hace falta que el proceso de pago no dependa de una sola llamada.
Qué es el fraude del CEO y qué ha cambiado con la IA
El fraude del CEO es un engaño clásico: alguien se hace pasar por un directivo y convence a un empleado con acceso a pagos de que haga una transferencia urgente y confidencial. Durante años se ha hecho por correo electrónico. Lo que ha cambiado es la herramienta. Con unos pocos minutos de audio público, una entrevista, un vídeo corporativo o una intervención en un evento, hoy se puede generar una voz sintética muy convincente, e incluso un vídeo.
No es un riesgo teórico. INCIBE recoge como ejemplo de fraude del CEO en su Línea de Ayuda un caso real en una empresa española: un empleado recibió una llamada con una voz idéntica a la de su máximo responsable, que después convocó una reunión por vídeo y pidió pagar por transferencia un supuesto material para una auditoría. La empresa no descubrió el engaño hasta días más tarde, al hablar con el directivo real.
El caso internacional más citado es el de la ingeniería británica Arup: un empleado de su oficina de Hong Kong participó en una videoconferencia en la que todos los «directivos» eran recreaciones generadas por IA, y ordenó una serie de transferencias por unos 25 millones de dólares. La compañía confirmó que ninguno de sus sistemas había sido comprometido: no hubo intrusión informática, solo un engaño muy bien construido.
Europol, en su informe anual sobre cibercrimen organizado (IOCTA 2026), advierte de que los delincuentes están incorporando automatización e inteligencia artificial para multiplicar la escala y la eficacia de sus estafas. Lo que antes exigía preparación artesanal ahora se industrializa.
Por qué las pymes están más expuestas al fraude del CEO
Es tentador pensar que el fraude del CEO solo les ocurre a multinacionales. En nuestra opinión, es al revés: una pyme reúne varias condiciones que facilitan el engaño.
- Cadenas de aprobación cortas. A menudo una sola persona de administración puede emitir una transferencia si «lo pide el jefe».
- Cultura de confianza y urgencia. En una empresa pequeña, cuestionar una orden directa del gerente resulta incómodo.
- Directivos muy visibles. Vídeos en redes, pódcast, entrevistas en prensa local: material suficiente para clonar una voz.
- Información pública sobre proveedores y proyectos, que permite construir un pretexto creíble: una adquisición, una auditoría, un pago a un proveedor nuevo.
Cómo evitar el fraude del CEO: el proceso importa más que el oído
Muchas guías se centran en enseñar a reconocer una voz o un vídeo falso: pausas raras, labios desincronizados, tono plano. Esas pistas ayudan, pero son una defensa frágil. La tecnología mejora cada mes, las llamadas suelen ser cortas y con presión de tiempo, y nadie analiza con calma la voz de su jefe mientras le pide algo urgente.
Para prevenir el fraude del CEO, nuestro criterio es otro: la defensa eficaz no está en el oído del empleado, sino en el diseño del proceso. Si ninguna transferencia relevante puede ejecutarse solo porque alguien lo pide por teléfono o por vídeo, da igual lo perfecta que sea la imitación. El atacante necesita saltarse un procedimiento, no solo engañar a una persona.
Eso significa definir, por escrito y con respaldo de la dirección, unas reglas que nadie puede saltarse, tampoco el propio gerente:
- Verificación por un canal distinto. Ante cualquier petición de pago inusual, se cuelga y se llama al directivo a su número habitual, nunca al que aparece en la llamada o en el mensaje.
- Doble autorización para pagos por encima de un umbral o a cuentas nuevas.
- Ningún cambio de cuenta bancaria de un proveedor se acepta sin confirmación por un canal independiente.
- Una palabra o pregunta de verificación conocida solo por el equipo directivo y administración, para situaciones excepcionales.
- Permiso explícito para decir «no»: el empleado que frena un pago para verificarlo nunca será reprendido, aunque la petición resulte ser auténtica.
Formación: menos teoría, más simulación
El proceso solo funciona si la gente lo aplica bajo presión, y eso se entrena. Las charlas genéricas de ciberseguridad se olvidan; los ejercicios realistas, adaptados a los puestos que manejan pagos, se recuerdan. En ISAIG Tecnología trabajamos la concienciación y simulación de ataques con escenarios que reproducen estas situaciones de urgencia y autoridad, para que el protocolo de verificación se convierta en un reflejo, no en un documento olvidado.
Y si el fraude del CEO llega a producirse, el tiempo es decisivo: avisar al banco de inmediato para intentar retener la transferencia, conservar evidencias (registros de llamadas, grabaciones, números, correos) y denunciar. INCIBE lo recomienda así en el caso citado, y disponer de un análisis pericial riguroso puede ser clave para la reclamación posterior.
Qué hacer ahora: 5 claves contra el fraude del CEO
- Revise quién puede ordenar y ejecutar pagos en su empresa y si alguna persona puede hacerlo sin una segunda aprobación.
- Aprueben por escrito un protocolo de verificación por canal alternativo para pagos urgentes, cambios de cuenta y proveedores nuevos, firmado por la dirección.
- Establezcan una palabra de verificación entre dirección y administración para peticiones excepcionales.
- Entrene al personal de administración y finanzas con simulaciones realistas, no solo con formación teórica.
- Tenga preparado un plan de respuesta: a quién llamar en el banco, cómo preservar evidencias y cómo denunciar.
¿Quiere comprobar si los procesos de pago de su empresa resistirían un fraude del CEO con voz clonada? En ISAIG Tecnología, certificada en ISO/IEC 27001 y conforme con el ENS categoría Alta, podemos ayudarle a revisarlos y a preparar a su equipo. Escríbanos a comercial@isaig.com o llámenos al 91 036 99 89.
