El 41 % de los responsables de ciberseguridad encuestados por la empresa de investigación y consultoría Gartner aseguró haber registrado al menos un incidente de ingeniería social con un deepfake durante una llamada de audio en los últimos 12 meses. En las videollamadas, el porcentaje fue del 36 %.
La encuesta, realizada entre marzo y mayo de 2026, incluyó a 297 responsables de seguridad de empresas y ayuda a entender por qué la suplantación de identidad es un problema que merece ser atendido. Una estafa ya no necesita limitarse a un correo que imita al jefe, un mensaje de WhatsApp o una llamada desde un número desconocido, sino que también puede incluir una voz que suena como la de esa persona y hasta una cara que parece ser la suya.
Uno de los casos más conocidos ocurrió en Hong Kong cuando un empleado de la firma de ingeniería Arup recibió instrucciones para realizar una operación financiera y terminó participando en una videollamada con varios supuestos compañeros de trabajo. Las imágenes y las voces habían sido manipuladas con inteligencia artificial. El resultado fueron 15 transferencias que sumaron unos USD 25 millones.
La historia se conoció en 2024, pero la técnica que mostró aquel fraude ha seguido desarrollándose. El FBI ya advertía entonces sobre el uso de clonación de voz y video para hacerse pasar por familiares, compañeros de trabajo y socios comerciales. En una alerta publicada en julio de 2026, la agencia volvió a señalar que los delincuentes están utilizando videos generados con IA y conversaciones de video en tiempo real para hacerse pasar por ejecutivos y otras figuras de autoridad.
Para construir una identidad falsa, los atacantes pueden aprovechar información que la propia víctima o su empresa han publicado en internet, que incluye fotografías, videos, cargos, nombres de compañeros, proyectos e incluso la forma natural de comunicarse.
Eso hace que la ingeniería social tenga un componente diferente, ya que el atacante no necesita entrar primero en los sistemas de una compañía, sino que puede intentar conseguir que alguien autorizado haga exactamente lo que él necesita.
Por ejemplo, una petición urgente de transferencia puede llegar por correo y después continuar en una llamada, o un ejecutivo puede aparecer en una videoconferencia y pedir acceso a determinada información. Lo más grave es que la conversación puede parecer normal porque está construida alrededor de datos reales.
Detectar pequeños errores visuales tampoco ofrece una solución segura. El propio FBI advierte que el contenido generado con IA puede ser difícil de identificar y menciona señales como movimientos poco naturales, problemas de sincronización o voces extrañas, pero también recomienda comprobar la identidad por otros medios cuando exista una duda.
Gartner plantea una recomendación similar y propone que, en lugar de enseñar a los empleados únicamente a reconocer contenido falso, se convierta la verificación en un procedimiento habitual para solicitudes de alto riesgo, sin importar si llegan por correo, teléfono, video o una plataforma de colaboración.
Explora más: El regreso inesperado de los audífonos con cable
