Durante años, la videollamada funcionó como el último recurso de verificación. Cuando una solicitud de pago llegaba por correo y generaba dudas, bastaba con pedir una reunión rápida por videoconferencia para confirmar que del otro lado estaba quien decía ser. Ese reflejo, hoy, ya no ofrece garantías. Infobae Perú advirtió recientemente que la tecnología permite superponer rostros y alterar voces en tiempo real, de modo que una videollamada puede mostrar una cara y reproducir una voz que no pertenecen a la persona que aparece en pantalla.
El deepfake empresarial dejó de ser una curiosidad tecnológica para convertirse en una modalidad de fraude con víctimas concretas y pérdidas verificables. Y lo más incómodo del asunto es que no se trata de un problema que se resuelva comprando una herramienta: ataca el proceso de autorización interno, no la infraestructura.
La videollamada dejó de ser una prueba de identidad
El caso que marcó el punto de quiebre fue documentado por El Comercio: la filial en Hong Kong de una multinacional perdió cerca de 24 millones de euros después de que los atacantes suplantaran de forma simultánea al director de finanzas y a otros ejecutivos dentro de una misma videoconferencia. El empleado que recibió la orden de transferencia dudó en un primer momento, pero terminó accediendo tras participar en una reunión donde aparentemente estaban todos sus superiores.
Ese detalle es el que conviene retener: el trabajador hizo exactamente lo que su capacitación le indicaba. Desconfió del correo y buscó confirmación por un canal que consideraba más confiable. El problema fue que el canal de confirmación también estaba comprometido.
Tres formas en que un deepfake golpea a una organización
El impacto no se limita al desvío de dinero, aunque ese sea el escenario más visible.
El fraude financiero directo ocurre cuando un audio o video sintético ordena una transferencia urgente, un cambio de cuenta bancaria de un proveedor o el adelanto de un pago. Gestión reportó que ya se han registrado pérdidas millonarias por llamadas que imitaban la voz de un director ejecutivo.
La suplantación de marca afecta a compañías que nunca fueron vulneradas técnicamente. Gestión recogió el caso ocurrido en julio de 2025, cuando el máximo ejecutivo de una entidad financiera con operaciones en Perú tuvo que desmentir públicamente un video en el que su voz y su imagen habían sido manipuladas para recomendar una plataforma de inversión. La organización no sufrió intrusión alguna en sus sistemas y, aun así, tuvo que gestionar una crisis de reputación y responder ante clientes confundidos.
El acceso no autorizado es la variante menos comentada y probablemente la más peligrosa a mediano plazo. Una llamada convincente al área de soporte, hecha con la voz clonada de un gerente que pide el restablecimiento urgente de su contraseña o la habilitación de un acceso, puede abrir la puerta a sistemas sensibles sin que se dispare ninguna alerta técnica.
Por qué los directivos son el blanco preferido
Construir un deepfake convincente requiere material de origen, y los altos cargos son precisamente quienes más material público han generado. Entrevistas en medios, participaciones en congresos, videos institucionales en el sitio web corporativo, publicaciones en redes profesionales, podcasts sectoriales: cada uno de esos contenidos aporta ángulos del rostro, gestos característicos, entonación y muletillas verbales.
A esto se suma un factor organizacional que ninguna tecnología corrige: la autoridad jerárquica desalienta la verificación. Un asistente que recibe una instrucción urgente del gerente general rara vez se siente cómodo poniéndola en duda, y los atacantes construyen sus guiones explotando exactamente esa incomodidad. La urgencia, la confidencialidad y la apelación a la jerarquía son los tres ingredientes que se repiten en casi todos los ataques de ingeniería social documentados.
El punto débil no es la tecnología, es la cadena de autorización
Existe una tentación comprensible de enfrentar el deepfake empresarial con detectores automáticos de contenido sintético. Es una carrera que difícilmente se gane: cada avance en detección se responde con un avance en generación, y las herramientas de creación son cada vez más accesibles y baratas.
El enfoque que sí resiste el paso del tiempo es distinto. Consiste en asumir que cualquier canal de comunicación puede ser falsificado y, en consecuencia, diseñar los procesos críticos de modo que ninguna decisión relevante dependa de la identificación visual o auditiva de una sola persona. Si mover dinero, otorgar accesos o entregar información sensible exige una confirmación estructurada por una vía independiente, el realismo del deepfake pierde relevancia. Puede ser perfecto y aun así no completar el fraude.
Señales que todavía delatan un video o un audio sintético
Aunque la verificación de proceso es la defensa principal, la observación atenta sigue teniendo valor, sobre todo en generaciones en tiempo real, que exigen más recursos y suelen degradarse.
Conviene prestar atención a movimientos de labios que no terminan de coincidir con el audio, parpadeo escaso o poco natural, expresiones faciales rígidas, bordes difusos alrededor del rostro, iluminación y sombras que no corresponden con el entorno, y voces con timbre metálico o entonación plana. En videollamadas, un recurso práctico es pedir a la persona que gire completamente la cabeza de perfil o que pase una mano frente a su rostro: muchas soluciones de sustitución facial fallan en esos movimientos.
Ninguna de estas señales debe tratarse como prueba concluyente. Su ausencia no confirma que la persona sea real; su presencia solo justifica pasar al protocolo de verificación.
El protocolo de verificación por canal alterno
La medida más eficaz y más barata que puede implementar una organización es también la más sencilla de explicar. Toda solicitud que implique un desembolso, un cambio de datos bancarios, la entrega de credenciales o la habilitación de un acceso debe confirmarse llamando a un número previamente registrado en el directorio interno, nunca al número o enlace que aparece en la propia solicitud.
Ese principio se apoya en cuatro decisiones organizativas concretas. La primera es definir umbrales de monto a partir de los cuales la doble autorización es obligatoria, sin excepciones por jerarquía. La segunda es establecer que la urgencia y la confidencialidad, lejos de justificar saltarse el control, son motivo suficiente para reforzarlo. La tercera es acordar una palabra o pregunta de verificación conocida solo por el equipo directivo y las áreas financieras. Y la cuarta es reducir de manera consciente el volumen de material audiovisual público de los ejecutivos que participan en decisiones de pago.
Estos controles deben acompañarse de capacitación con ejemplos reales. Un colaborador que nunca ha escuchado un audio clonado tiende a subestimar cuán convincente resulta; uno que ha escuchado una demostración cambia su comportamiento de inmediato. Los descuidos de seguridad más frecuentes en empresas pequeñas suelen empezar exactamente aquí: en procesos que asumen que el canal es confiable sin haberlo verificado nunca.
Qué implica la Ley 29733 cuando la voz y el rostro son datos personales
Existe una dimensión regulatoria que muchas organizaciones peruanas todavía no incorporan a su análisis de riesgo. La voz y la imagen de una persona identificable constituyen datos personales bajo la Ley 29733, y su tratamiento indebido activa obligaciones concretas para las entidades que los custodian.
Cuando un fraude con contenido sintético se apoya en material extraído de los sistemas de la organización, o cuando el ataque deriva en un acceso no autorizado a bases de datos de clientes o colaboradores, la empresa enfrenta dos frentes simultáneos: la pérdida económica y el incumplimiento normativo. La Autoridad Nacional de Protección de Datos Personales ha venido intensificando su actividad fiscalizadora, y la ausencia de medidas de seguridad razonables es un agravante en cualquier procedimiento sancionador.
Dicho de otro modo, el deepfake empresarial no es únicamente un asunto del área de finanzas ni un tema exclusivo de tecnología. Compromete cumplimiento, comunicaciones y gobierno corporativo al mismo tiempo, y esa transversalidad es la razón por la que suele quedar sin responsable asignado.
Conclusión
El deepfake empresarial es un riesgo de proceso, no solo un problema técnico. Mientras la autenticación dependa únicamente de ver o escuchar a alguien, la tecnología de síntesis seguirá teniendo margen de acción. Reforzar la cadena de autorización con verificación por canal alterno, reducir la exposición audiovisual de los directivos clave y mantener al equipo entrenado con ejemplos reales son las tres palancas que una organización puede activar sin esperar a que los detectores automáticos alcancen a los generadores.
Complementar esas medidas con protección del correo entrante, donde la mayoría de los ataques de phishing comienzan, y con protección de endpoints que contenga lo que logra ejecutarse, cierra la mayor parte de la superficie expuesta sin requerir un equipo interno de seguridad dedicado.
