Deepfakes en la pyme: por qué tu voz ya no basta para autorizar un pago

La inteligencia artificial ha cambiado una regla que dábamos por segura: que reconocer la voz o la cara de alguien bastaba para confiar en lo que nos pedía. En 2026, esa confianza se puede falsificar. Y el objetivo ya no es la desinformación política ni las grandes multinacionales: es sacarle el dinero, directamente, a empresas como la tuya.

Este artículo resume, en lenguaje claro, qué está pasando con los deepfakes y el fraude del CEO, por qué las pymes están en el punto de mira y —lo más importante— qué puedes hacer hoy para protegerte. La mayoría de las medidas que funcionan no cuestan dinero.

Qué es un deepfake (y por qué el precio lo cambia todo)

Un deepfake es un contenido —audio, vídeo o ambos— generado por inteligencia artificial que imita a una persona real: su voz, su cara, sus gestos. Hasta hace poco, hacer uno convincente requería equipos potentes, conocimientos técnicos y muchas horas de grabación de la víctima. Eso se acabó.

Hoy, la técnica más usada es la clonación de voz (o deepvoice), y lo es por una razón simple: es barata y letal. Los datos de 2026 son incómodos de leer:

• Bastan tres segundos de audio de calidad aceptable para clonar una voz con un 85% de precisión respecto a la persona real.
• Ese audio se saca sin esfuerzo de un vídeo corporativo, un pódcast, una intervención en un medio o una simple nota de voz reenviada.
• Montar una campaña de llamadas fraudulentas con voces clonadas cuesta menos de un dólar y se prepara en minutos.

Traducido a tu día a día: cualquiera con acceso a un fragmento de la voz de tu gerente puede llamar a tu departamento de administración haciéndose pasar por él. Y no notaréis la diferencia.

Por qué las pymes son el objetivo perfecto

Existe un error muy extendido: pensar que esto solo va con las empresas del IBEX 35. Es justo al revés. Las pymes son más vulnerables y más rentables para los atacantes, por motivos estructurales:

• Menos controles. No suele haber departamentos de auditoría, cumplimiento o ciberseguridad como en una multinacional.
• Jerarquía plana. Cuando el fundador o la dirección da una orden directa, casi nadie la cuestiona. Esa cercanía, que es una virtud, se convierte en un agujero.
• Poca madurez digital. Es frecuente que falte la verificación en dos pasos (MFA) en el correo y en los sistemas clave.
• El idioma ya no protege. Durante años, hablar español fue una barrera que frenaba a los atacantes de fuera. La IA la ha eliminado: hoy un adversario extranjero articula un ataque telefónico en castellano coloquial impecable, imitando incluso el acento regional.

El éxito de estas estafas no está en un código malicioso sofisticado. Está en la manipulación de la psicología humana: apelan a la autoridad (nadie discute al jefe), imponen urgencia ("hay que pagar ya o perdemos la operación") y exigen confidencialidad ("esto es secreto, no lo comentes con nadie"). Esa combinación desactiva el sentido común de un empleado competente.

Cómo es el ataque, paso a paso: el "fraude del CEO 2.0"

El fraude del CEO no es nuevo, pero la IA lo ha convertido en algo mucho más difícil de detectar. Funciona así:

1. Entran por el correo. Con un phishing clásico, capturan las credenciales de un empleado o se cuelan en el servidor de correo.
2. Estudian los pagos. Observan cómo se aprueban las transferencias y quién las autoriza.
3. Lanzan la orden. Envían un correo desde una cuenta que parece legítima —la dirección o un proveedor de siempre— pidiendo un cambio urgente de número de cuenta o una transferencia.
4. Rematan con el deepfake. Si el empleado duda, llega la validación sintética: una llamada con la voz idéntica del director confirmando la urgencia, o una videollamada donde el "directivo" asiente y corrobora la instrucción.

La cifra que resume el problema: en estudios controlados de 2025, el ser humano promedio acierta solo el 0,1% de las veces al distinguir un contenido sintético de uno real. Y no mejora aunque le avisen de antemano de que puede haber trampa. Nuestros ojos y oídos han perdido esta batalla.

Casos reales que ya han ocurrido

No hablamos de hipótesis. Estos casos están documentados:

• El caso Arup (2024). Un empleado de la sucursal asiática de esta firma de ingeniería se conectó a una videollamada donde vio y escuchó a su director financiero global y a otros ejecutivos conocidos. Todos eran falsificaciones generadas en tiempo real. Autorizó 15 transferencias por un total de 25,6 millones de dólares en cuestión de minutos.
• Una pyme española (INCIBE, febrero de 2026). Los atacantes clonaron la voz del dueño y llamaron sistemáticamente a sus clientes diciendo que la empresa tenía "problemas bancarios" y que pagaran las facturas a una cuenta nueva. La estafa se frustró de milagro: varios clientes desconfiaron al ver que el número entrante no era el habitual y verificaron por su cuenta.
• El fraude de "El Hormiguero" (INCIBE, abril de 2026). Una voz sintética del presentador Pablo Motos, con aplausos de fondo simulando el plató, llamaba a particulares ofreciéndoles un premio para sacarles sus datos personales y el DNI. Se descubrió porque la víctima cayó en que era viernes, día en que el programa no se emite.

El patrón se repite: la tecnología es impresionante, pero quien frena el fraude es siempre una persona que desconfía y verifica.

Lo que dice la ley: NIS2 no perdona la inacción

La normativa europea NIS2, ya transpuesta en España y complementaria del Esquema Nacional de Seguridad (ENS), ha endurecido el terreno. No menciona la palabra "deepfake", pero obliga a gestionar los riesgos emergentes, controlar los accesos y asegurar los canales de comunicación por voz y vídeo.

Dos puntos que conviene tener claros:

• La cadena de suministro. Si tu pyme —aunque tenga treinta empleados— provee a una empresa considerada "esencial" (telecomunicaciones, sanidad, transporte…), quedas sujeta a los mismos estándares de seguridad que tu cliente. Y ese cliente está obligado a auditarte.
• Sanciones y responsabilidad personal. Las multas por negligencia llegan a 10 millones de euros o el 2% de la facturación anual mundial, lo que sea mayor. Y NIS2 introduce algo inédito: la responsabilidad personal de la dirección. Si no se formó al personal o se ignoraron las advertencias, las sanciones pueden ir contra el patrimonio de los responsables.

En 2026, que la dirección "no supiera nada" de estas estafas ya no es una excusa: es una negligencia con consecuencias legales.

Cómo protegerte: cuatro medidas que sí funcionan

Como la detección humana tiende a cero y ningún programa es infalible, la defensa de una pyme no se compra: se organiza. Estas son las cuatro medidas de mayor retorno, ninguna requiere un gran presupuesto:

1. Una palabra clave de verificación. Acordad un código secreto, compartido solo entre la dirección y quien tiene acceso a los fondos. Ante cualquier petición urgente de transferencia por teléfono o vídeo, se pide la palabra. Un atacante que clona una voz desde el extranjero no la conoce. Ante el titubeo o el error, se corta la llamada. Es la medida más barata y la más eficaz.

2. Verificación por un canal distinto (fuera de banda). Ninguna orden de pago o cambio de cuenta se ejecuta usando el mismo canal por el que llegó. Si te llega por correo o WhatsApp, no respondas por ahí: llama tú al número oficial de la persona, el que ya tienes guardado. Separar el canal de entrada del de verificación desmonta el ataque casi siempre.

3. Amnistía para frenar un pago. Deja por escrito que nadie será reprendido por parar o retrasar una transferencia para verificarla, aunque parezca que la pide la dirección. La estafa se aprovecha de las prisas y del miedo a molestar al jefe. Quitar ese miedo protege a tu equipo de sí mismo.

4. Formación realista. Más de la mitad de las empresas admiten que su plantilla nunca ha recibido formación específica sobre estos fraudes. Enseña a tu equipo a reconocer las señales: una urgencia que no encaja, una petición de secretismo sobre algo rutinario, un número entrante que no es el de siempre. Y practicad con simulaciones controladas de phishing y llamadas.

La idea que hay que llevarse a casa

La voz y la cara han dejado de ser una prueba de identidad. Eso suena inquietante, pero tiene una lectura práctica y tranquilizadora: la verdad ya no está en lo que percibes, sino en lo que puedes verificar por otro camino. Una palabra clave, una llamada de vuelta al número correcto y permiso para desconfiar valen más que cualquier software.

Si después de leer esto no tienes claro por dónde empezar, es normal. Puedes hacer nuestro autodiagnóstico gratuito para ver en qué punto estás, o escribirnos y lo revisamos contigo.