Videollamadas deepfake: Cómo los estafadores suplantan a tu jefe en Zoom

Te unes a una llamada de Zoom y ves el rostro de tu director financiero en la pantalla. La voz coincide. Los manierismos son familiares. Hacen referencia a un acuerdo que discutiste la semana pasada y te piden que proceses una transferencia bancaria urgente para finalizar la adquisición. Todo cuadra, así que inicias el pago. Excepto que la persona en tu pantalla no era tu director financiero. Era un criminal usando una máscara deepfake en tiempo real, y el dinero desapareció.

Esto no es ciencia ficción. Es un vector de ataque documentado que ya ha costado a organizaciones individuales decenas de millones de dólares. La tecnología deepfake en tiempo real ha avanzado al punto donde el intercambio de rostros puede aplicarse a flujos de video en vivo con una latencia lo suficientemente baja como para pasar por una videollamada normal. Combinada con la clonación de voz, esto crea una poderosa nueva forma de fraude empresarial que explota las mismas herramientas en las que las organizaciones confían para la colaboración remota.

El auge de la suplantación con deepfakes en vivo

El compromiso de correo electrónico empresarial (BEC) ha sido una de las formas más costosas de cibercrimen durante más de una década. El manual tradicional involucraba falsificar o comprometer la cuenta de correo electrónico de un ejecutivo y enviar instrucciones de pago fraudulentas. A medida que las organizaciones implementaron protocolos de verificación de correo electrónico, los criminales se adaptaron. La videollamada deepfake es la evolución natural del BEC, reemplazando la suplantación basada en texto con una audiovisual mucho más convincente.

La pila tecnológica requerida para una llamada deepfake en vivo se ha vuelto sorprendentemente accesible. Los modelos de intercambio de rostros de código abierto pueden ejecutarse en GPUs de consumo, el software de cámara virtual intercepta el flujo de video antes de que llegue a Zoom o Teams, y las herramientas de clonación de voz entrenadas con muestras de audio disponibles públicamente manejan el lado del audio. Un atacante con habilidades técnicas moderadas y unas horas de preparación puede crear una suplantación en tiempo real pasable de casi cualquier persona cuyo rostro y voz estén disponibles públicamente.

Anatomía de un ataque de videollamada deepfake

Un ataque sofisticado de videollamada deepfake típicamente comienza semanas antes de la llamada en sí. El atacante realiza reconocimiento, estudiando la estructura de la organización objetivo, identificando qué empleados tienen autoridad para iniciar pagos, y recopilando muestras de video y audio del ejecutivo a suplantar. LinkedIn, presentaciones en conferencias de YouTube, apariciones en podcasts y videos de marketing corporativo proporcionan material fuente.

El atacante luego compromete o falsifica el calendario y correo electrónico del ejecutivo para programar la llamada a través de canales aparentemente legítimos. La invitación a la reunión se ve genuina, enviada desde la dirección de correo electrónico o sistema de calendario correcto, a menudo programada para coincidir con la indisponibilidad del ejecutivo real, como durante un viaje o unas vacaciones conocidas. Durante la llamada, el atacante usa puntos de conversación preparados que hacen referencia a proyectos reales, colegas reales y acuerdos reales para construir credibilidad antes de pivotar a la solicitud fraudulenta.

Lo que hace que estos ataques sean devastadores es que explotan la confianza implícita de la comunicación por video. Durante décadas, ver el rostro de alguien en una videollamada se ha considerado una verificación de identidad confiable. Esa suposición ahora es peligrosamente obsoleta. Para una mirada más profunda a cómo funcionan los deepfakes y las señales visuales que puedes buscar, consulta nuestra guía para detectar videos deepfake.

El caso de Hong Kong: $25 millones en una llamada

El fraude de videollamada deepfake más ampliamente reportado ocurrió en Hong Kong, donde un trabajador financiero de una firma multinacional fue engañado para transferir aproximadamente $25 millones después de una videoconferencia que parecía incluir al director financiero de la empresa y a varios otros ejecutivos senior. El empleado había sido inicialmente sospechoso de un correo electrónico solicitando la transferencia, pero se convenció después de que la videollamada pareció confirmar las instrucciones con múltiples rostros familiares.

Lo que hizo este caso particularmente alarmante fue la naturaleza multi-participante del deepfake. En lugar de suplantar a un solo ejecutivo, los atacantes generaron deepfakes en tiempo real de varias personas simultáneamente, creando la ilusión de una reunión grupal donde cada participante era sintético. Esto aumentó significativamente la legitimidad percibida de la solicitud porque el empleado objetivo vio a "múltiples" colegas de confianza confirmando la misma instrucción.

El caso subrayó una vulnerabilidad crítica: las organizaciones que habían invertido fuertemente en seguridad de correo electrónico no tenían protecciones equivalentes para la comunicación por video. El empleado siguió todos los protocolos existentes, verificando la solicitud en una videollamada con la dirección senior, pero el método de verificación en sí había sido comprometido.

¿Tienes una grabación de video sospechosa? Analízala con Truvizy gratis

Limitaciones técnicas que explotan los estafadores

Los deepfakes en tiempo real no son perfectos. Introducen latencia de procesamiento, tienen dificultades con movimientos rápidos de cabeza, producen artefactos cuando las manos cruzan el rostro, y a menudo tienen dificultad para coincidir con la iluminación ambiental. Sin embargo, los estafadores deliberadamente explotan las limitaciones de la videoconferencia misma para enmascarar estos indicios. Los flujos de video de baja resolución, las fluctuaciones de ancho de banda y los artefactos de compresión que son normales en las videollamadas convenientemente ocultan las imperfecciones del deepfake.

Los atacantes a menudo afirman tener mala conectividad a internet como razón para mantener la calidad de su cámara baja, deshabilitar la compartición de pantalla, o mantener su video apagado durante partes de la llamada. Pueden mantener las llamadas cortas y enfocadas en la solicitud fraudulenta para minimizar la posibilidad de detección. Algunos incluso simulan "dificultades técnicas" falsas si el deepfake comienza a degradarse, colgando y volviendo a llamar para reiniciar la sesión. Estos son los mismos tipos de trucos usados en las campañas de estafa con deepfakes de celebridades adaptados al contexto corporativo.

Cómo detectar deepfakes durante llamadas en vivo

Aunque no puedes pasar un video por una herramienta de detección durante una llamada en vivo tan fácilmente como con contenido pregrabado, hay varias pruebas prácticas que puedes aplicar en tiempo real. Pide a la persona que realice una acción inesperada: girar la cabeza bruscamente hacia un lado, sostener un número específico de dedos cerca de su rostro, o moverse a una posición diferente en su habitación. Los deepfakes en tiempo real tienen dificultades con cambios repentinos, y estas solicitudes pueden causar artefactos visibles o retrasos.

Observa los micro-retrasos entre los movimientos labiales del hablante y su audio. El procesamiento deepfake en tiempo real añade latencia que a menudo se manifiesta como una desincronización audiovisual sutil pero detectable. Presta atención a los bordes del rostro donde se encuentra con el cabello y el cuello. Temblores, difuminado o cambios de color en estos límites son indicadores fuertes de intercambio de rostros.

Si tienes alguna duda, no procedas con la acción solicitada durante la llamada. En cambio, termina la reunión y verifica a través de un canal completamente separado. Llama a la persona directamente a su número de teléfono conocido, ve a su oficina si está en el edificio, o contáctala a través de una plataforma de comunicación diferente. Si la grabación de la llamada sospechosa está disponible, pásala por la herramienta de análisis de video de Truvizy para una verificación de autenticidad integral impulsada por IA.

Construyendo defensas organizacionales

La defensa más efectiva contra el fraude de videollamada deepfake es una combinación de política, capacitación y tecnología. Comienza implementando una política obligatoria de verificación multicanal para todas las transacciones financieras por encima de un umbral definido. Ningún canal de comunicación único, ya sea correo electrónico, teléfono o videollamada, debería ser suficiente para autorizar un pago. Cada solicitud debe confirmarse a través de al menos un canal independiente.

Realiza capacitación regular de concientización sobre deepfakes para todos los empleados que manejan transacciones financieras o información sensible. Esta capacitación debería incluir ejemplos de tecnología deepfake en tiempo real, ejercicios prácticos para identificar video sintético, y procedimientos claros para reportar intentos sospechosos de suplantación. Haz que sea culturalmente aceptable, incluso fomentado, que los empleados cuestionen y verifiquen instrucciones de la dirección senior. Las organizaciones donde los empleados sienten que no pueden cuestionar la autoridad son las más vulnerables.

Para un enfoque integral de protección organizacional, revisa nuestra guía completa de protección contra deepfakes. Para equipos que necesitan capacidades de detección escalables, los planes profesionales de Truvizy ofrecen el análisis forense avanzado y el soporte de volumen que los equipos de seguridad requieren.

Construye la defensa contra deepfakes de tu organización hoy

El futuro de la autenticación en videollamadas

La industria de videoconferencias está comenzando a responder a la amenaza deepfake, aunque las soluciones aún están en etapas tempranas. Los enfoques propuestos incluyen verificación criptográfica de identidad integrada en las plataformas de llamadas, detección de vida en tiempo real que verifica señales de intercambio de rostros, e integración de estándares de procedencia de contenido que pueden autenticar flujos de video en la fuente.

Hasta que estas soluciones a nivel de plataforma se desplieguen ampliamente, la responsabilidad recae en las organizaciones e individuos para protegerse. La buena noticia es que las políticas que defienden contra el fraude de videollamada deepfake, verificación multicanal, separación de funciones para aprobaciones financieras, y una cultura de escepticismo saludable, son las mismas políticas que protegen contra muchas otras formas de fraude empresarial. Implementarlas no solo defiende contra los deepfakes. Fortalece tu postura de seguridad general contra el espectro completo de ataques de ingeniería social.

Cómo detectar un video deepfake — Las 7 señales visuales y auditivas clave que revelan contenido de video generado por IA

Cómo verificar la autenticidad de un video — Un proceso paso a paso para confirmar si el contenido de video es genuino

La evolución de las estafas con IA — Cómo la tecnología deepfake está transformando el fraude empresarial y la ingeniería social