“Soy la jefa, haz la transferencia ya” – cómo suena una estafa con IA y cómo mantiene la calma tu equipo

¿Haría alguien de tu equipo una transferencia si la jefa llama, suena estresada y dice que es urgente y confidencial?

La mayoría dudaría – por suerte. Pero los estafadores juegan justo con ese momento: presión de tiempo, autoridad y la petición de discreción. Lo nuevo es que para ello ya no necesitan un correo chapucero. Con IA se pueden imitar voces e incluso caras en vídeos de forma tan real que en el día a día apenas se nota.

Lo que hoy es técnicamente posible

La BSI (Oficina Federal de Seguridad de la Información de Alemania) describe cómo se pueden imitar voces con IA – tan bien que engañan a las personas e incluso al reconocimiento automático de hablantes. Para una calidad alta suelen hacer falta varias horas de grabaciones; con datos auxiliares adicionales, a veces solo unos minutos. De muchos directivos hay material así de acceso público: entrevistas, vídeos, conferencias. Según la BSI, hoy en día también se pueden falsificar caras en tiempo real.

Un ejemplo conocido viene de Hong Kong. A principios de 2024, un empleado de una empresa internacional transfirió allí a unos estafadores el equivalente a unos 25 millones de dólares estadounidenses tras una videoconferencia. Según la policía, todos los demás participantes de la conferencia eran falsificaciones. Solo se descubrió cuando, más tarde, preguntó en la sede central.

El truco es viejo, la herramienta es nueva

Los expertos lo llaman «fraude del CEO»: alguien se hace pasar por la dirección y ordena un pago. Antes por correo electrónico, hoy también por llamada, mensaje de voz o videollamada. El patrón es casi siempre el mismo:

• Es urgente: «hoy mismo», «antes de que cierre el banco».
• Es secreto: «no se lo cuentes a nadie».
• Es inusual: cuenta nueva, destinatario nuevo, canal poco habitual.
• Viene de lo más alto – para que nadie lo cuestione.

Según el Bundeslagebild Cybercrime 2025 de la BKA (Oficina Federal de Policía Criminal de Alemania), los delincuentes usan la IA para hacer sus ataques más eficientes y profesionales. El phishing resulta más convincente y los errores de idioma desaparecen. Por eso, las señales con las que antes se reconocía una estafa sirven cada vez menos.

Tres reglas que aportan más que cualquier software

• Devolver la llamada a un número conocido. Ante cualquier petición inusual de pago o de datos, cuelgas y llamas a la persona al número que ya tenéis guardado – no al que te dan en la llamada o en el correo.
• Cuatro ojos para el dinero. Las cuentas bancarias nuevas y los pagos por encima de un importe fijo los autoriza siempre una segunda persona. Sin excepciones, tampoco «solo por hoy».
• Una contraseña verbal para emergencias. Acordad una palabra o una pregunta que solo conozcan los compañeros de verdad. Suena a película de espías, pero funciona.

Es importante que la dirección predique con el ejemplo y diga abiertamente: “Si llamo y pido algo inusual, por favor, devolvedme la llamada. No me voy a ofender”. Esa sola frase le quita la presión al equipo.

Formar sin meter miedo

El objetivo no es que tu equipo sospeche de cada llamada. El objetivo es que nadie tenga que decidir solo cuando algo resulta raro. Una buena formación dura menos de dos horas y tiene tres partes: escuchar o ver uno o dos ejemplos reales, repasar juntos el procedimiento fijo y practicarlo una vez – por ejemplo, con un juego de roles en el que alguien hace de «jefe» y otra persona devuelve amablemente la llamada.

Lo importante es el tono. Quien después de una formación tiene miedo de coger el teléfono, ha recibido una mala formación. Quien sabe que preguntar está expresamente bien visto, mantiene la calma. Y si alguien cae alguna vez en un engaño, la regla es: avisar enseguida es lo correcto, esconderlo es lo incorrecto. Solo así aprende todo el equipo.

La tecnología también puede echar una mano: vincular las autorizaciones de pago de la banca online a dos personas, guardar los números de la dirección como contactos en el sistema telefónico, reenviar los correos sospechosos con un clic a una dirección de revisión. Esto no sustituye a un procedimiento claro, pero lo hace más cómodo.

¿Y si ya ha pasado?

Entonces actúa rápido, pero con calma. Avisa enseguida al banco e intenta recuperar el pago. Apúntalo todo y guarda las pruebas: registro de llamadas, correos, mensajes de voz. Denuncia a la policía – en Alemania, las oficinas de policía criminal de los estados federados (Landeskriminalämter) tienen para ello sus propios puntos de contacto centrales de ciberdelincuencia para empresas (Zentrale Ansprechstellen Cybercrime). Y después analiza, sin buscar culpables, cómo se llegó a eso. Quien informa abiertamente de los errores ayuda a todos; quien teme represalias, calla. Cómo son los primeros minutos tras un ataque lo explicamos en el plan de emergencia de 10 minutos.

El Monstruo Cyber forma a tu equipo – sin meter miedo, con ejemplos reales y un procedimiento que funciona en el día a día. Si en vuestro caso el teléfono es la vía principal con la clientela, el Monstruo Teléfono revisa de paso los números y los desvíos.