Deepfakes no son solo un problema de desinformación: son el próximo riesgo para tu empresa

Durante años, los deepfakes se consideraron una rareza política o de las redes sociales, un rincón extraño de internet donde se pegaban rostros de famosos —99% de las veces, mujeres— en videos falsos —en 99% de los casos, pornográficos— y nadie sabía bien qué hacer al respecto. Pero ese enfoque ahora está peligrosamente obsoleto, ya que los deepfakes han evolucionado silenciosamente hacia algo mucho más sistémico: un riesgo operativo para las corporaciones, capaz de corromper las cadenas de suministro, los flujos de trabajo financieros, la confianza en las marcas e incluso la toma de decisiones ejecutivas. 

Titulares recientes muestran que los medios sintéticos ya no son un experimento aislado. Se han convertido en una amenaza estratégica para la que las empresas no están preparadas. 

Cuando un deepfake puede robar 25 millones de dólares (mdd)

En febrero de 2025, la firma global de ingeniería Arup fue víctima de un sofisticado fraude deepfake. Los atacantes utilizaron video y audio generados por inteligencia artificial (IA) para suplantar la identidad de la alta dirección y convencieron a un empleado de transferir 25 mdd de fondos de la empresa. El Foro Económico Mundial lo describió como un hito: el momento en que el fraude sintético pasó de ser un experimento a un robo a escala empresarial. 

Para cualquier ejecutivo que todavía piense que los deepfakes son un fenómeno de las redes sociales, esto debería ser una llamada de atención. 

Arup contaba con una ciberseguridad sólida. Lo que le faltaba era resiliencia de identidad: la capacidad de verificar que la persona al otro lado de la llamada era realmente humana. 

El fraude del CEO, pero esta vez con réplicas perfectas 

El año pasado, los intentos de fraude de CEO mediante deepfake se dispararon, y afectaron a directores financieros, equipos de compras y departamentos de fusiones y adquisiciones. Un informe de 2025 indicó que más de la mitad de los profesionales de seguridad encuestados se habían encontrado con intentos de suplantación de identidad de ejecutivos generados sintéticamente. 

Es fácil ver por qué: 

• Los videos deepfake ahora son en tiempo real y en alta resolución. 
• La clonación de voz requiere sólo unos segundos de audio. 
• Los atacantes ahora pueden simular emoción, urgencia o estrés, exactamente las señales que anulan el escepticismo de los empleados. 

Según se informa, una empresa tecnológica de tamaño mediano perdió 2.3 mdd después de que una llamada de audio falsificada de manera convincente ordenara al departamento financiero transferir fondos para una “adquisición urgente”. 

Está claro que la formación tradicional contra la suplantación de identidad (phishing) no prepara a los empleados para una versión perfectamente reconstruida de su jefe. 

Los deepfakes ya no tienen que ver con política: tienen que ver con modelos de negocio 

Cuando un deepfake se hace pasar por una celebridad para promover un plan de inversión fraudulento, se daña la reputación. Cuando un deepfake se hace pasar por su portavoz, director financiero, socio de producto o de la cadena de suministro, se convierte en un desastre corporativo. 

Hemos entrado en una fase en la que los medios sintéticos se sitúan claramente en el panorama de riesgos empresariales, según el informe del sector 2025 de Trend Micro. El contenido sintético ahora impulsa nuevas oleadas de fraude, robo de identidad y vulneración de las empresas. 

Esto no es hipotético. Es operativo. 

Los nuevos ejecutivos de riesgo no ven

Las marcas dependen cada vez más de ecosistemas complejos: socios logísticos, proveedores, distribuidores, influencers, proveedores de servicios e integradores externos. Cada uno de estos nodos depende de la confianza. 

Los deepfakes convierten la confianza en una superficie de ataque. 

Imagínate estos escenarios: 

• Un video falso “de tu CEO” que anuncia un cambio en la estrategia de abastecimiento genera pánico entre los proveedores. 
• Un clon de voz le ordena a su socio de fabricación asiático que detenga la entrega. 
• Un “clip filtrado” sintético de un producto defectuoso se vuelve viral antes de que tu equipo de relaciones públicas se de cuenta. 
• Una falsificación profunda de un proveedor clave “confirma” falsamente debilidades de ciberseguridad, lo que provoca que los socios posteriores presenten demandas. 

No son ciencia ficción. Son extensiones lógicas de patrones de ataque que ya se implementan y exponen un punto débil en la gestión de riesgos corporativos: la integridad de la identidad misma. 

Por qué los deepfakes afectan más a las marcas que a la política 

Los deepfakes políticos provocan indignación. Los deepfakes corporativos desencadenan algo peor: 

• Pérdida de confianza del cliente 
• Volatilidad de las acciones 
• Vulnerabilidades del uso de información privilegiada 
• Demandas de los socios 
• Escrutinio regulatorio 

La Comisión de Bolsa y Valores de Estados Unidos ya ha advertido al sector financiero que la suplantación de identidad generada por IA ya cambia las estrategias de fraude y solicita estándares mejorados de verificación de identidad.

Si los reguladores prestan atención, los ejecutivos también deberían hacerlo. 

Por qué el manual tradicional de ciberseguridad no es suficiente 

Los firewalls no detendrán un deepfake. La autenticación multifactor no detendrá un deepfake. El cifrado no detendrá un deepfake. 

Los deepfakes utilizan como arma algo de lo que históricamente ningún equipo de ciberseguridad se ha responsabilizado: la confianza en la apariencia y la voz humanas. El punto más débil ya no es la contraseña, sino la creencia de una persona de que habla con alguien conocido. 

La identidad, no la infraestructura, es la nueva vulnerabilidad.

Por qué las marcas deben tratar los deepfakes como un riesgo

La mayoría de las empresas aún relegan los deepfakes al departamento de relaciones públicas o al “equipo de desinformación”. Eso es ingenuo. 

Los deepfakes amenazan: 

• Flujos de trabajo de compras: órdenes de compra falsas, cancelaciones falsas.
• Relaciones con proveedores: disputas falsas, problemas de cumplimiento falsos.
• Aprobaciones financieras: instrucciones de CFO deepfake.
• Confianza del cliente: falsos fallos de productos, mensajes falsos del director ejecutivo. 
• Moral de los empleados: directivas sintéticas de R.H., memorandos falsos. 

No se trata solo de fraude. Los deepfakes pueden perturbar los mecanismos de coordinación que regulan el funcionamiento de las cadenas de suministro. Pueden paralizar un sistema.

Lo que los líderes empresariales deben hacer ahora

A continuación se presenta el manual de mejores prácticas emergente para ejecutivos: 

1. Agrega el riesgo de deepfake a tu marco de gestión de riesgos empresariales: si el ransomware es un problema a nivel directivo, la identidad sintética también debe serlo. 
2. Implementa protocolos de verificación que no dependan de voz o video: utiliza firmas digitales secundarias, canales seguros o flujos de trabajo acordados previamente.
3. Audita a tus proveedores, vendedores y socios: pregúntales si tienen políticas de resiliencia a deepfakes, porque sus vulnerabilidades se convierten en las tuyas. 
4. Implementa sistemas de detección, pero no confíes ciegamente en ellos: Infosecurity Magazine señala que las herramientas de detección mejoran, pero todavía son poco confiables. 
5. Capacita a los empleados para que desconfíen de la urgencia: la mayoría de los fraudes deepfake se aprovechan de la aceleración emocional: “Esto es crucial, hazlo ya”. Tu mejor defensa es darles permiso a los empleados para que reduzcan el ritmo. 
6. Desarrolla una política interna de resiliencia de la identidad: define exactamente cómo deben confirmarse las decisiones importantes y las aprobaciones financieras. Sin excepciones para “los vi en video”. 

La incómoda verdad es que la IA ha vuelto obsoletos la vista y la audición. Con la IA, hemos cruzado un límite psicológico: los ojos y los oídos ya no son mecanismos de autenticación. 

Los ejecutivos que no internalicen esto enfrentarán el mismo destino que las empresas que ignoraron el phishing, el ransomware o la gobernanza de la nube hace una década, solo que más rápido y con mayores riesgos. 

Los deepfakes no se centran en la verdad: se centran en la credibilidad. Y en los negocios, la credibilidad suele ser lo único que importa.

El nuevo desafío del liderazgo 

Las empresas que prosperen en la era de la IA no serán aquellas con los modelos más grandes ni los agentes más ostentosos. Serán las que rediseñen la confianza, la identidad y la verificación desde cero. 

Porque si los deepfakes pueden corromper tus operaciones y cadena de suministro, defenderse de ellas no es un problema de TI. Es un problema de liderazgo. Y si no lo resuelves ahora, alguien más —quizás un algoritmo con la cara de tu CEO— podría resolverlo por ti.