Deepfake es más que cambiar una cara en un vídeo[1][4]
Para los estafadores importa un conjunto completo: fotos de perfil generadas, documentos falsos, clonación de voz, vídeo en tiempo real, traducción automática y mensajes adaptados a la víctima.
FBI/IC3 advierte que la IA generativa aumenta la escala y credibilidad de esquemas financieros existentes. Perfiles, sitios, documentos y vídeos se producen más rápido y desaparecen errores lingüísticos que antes delataban la estafa.
La IA rara vez inventa un delito nuevo: reduce el coste de uno antiguo y multiplica los intentos creíbles.
La cadena de ataque típica
Primero se recogen datos: fotos de redes, muestras de voz, cargos, familia, proveedores y procesos internos. Después se construye una persona sintética o una copia de alguien real.
El segundo paso es el contexto. Una voz clonada del CEO solo funciona si la historia encaja con la empresa. Luego llega la presión: transferencia urgente, nueva cuenta bancaria, código MFA, acceso a sistema o documento confidencial.
El momento más peligroso aparece cuando audio o vídeo sintético sirve de última confirmación tras varios contactos ya plausibles.
FBI: la IA ya aparece en pérdidas reales[2]
El informe IC3 2025 distingue categorías con AI nexus declarado. En employment scams vinculadas a IA se reportaron casi 13 millones de dólares de pérdidas; en investment complaints con AI nexus, más de 632 millones.
No es la dimensión total del fraude con IA: muchas víctimas no saben si se usó IA. Las cifras representan la parte visible y explícitamente etiquetada.
El informe menciona voice spoofing o posibles voice deepfakes en entrevistas remotas y vídeos o voces generados de famosos y CEO en estafas de inversión.
El principal efecto de la IA es aumentar la credibilidad y capacidad de esquemas fraudulentos que ya eran rentables.
Clonación de voz: el oído no es autenticación[3]
Una voz familiar se percibe como señal fuerte de identidad. La FTC describe estafas donde una voz sintética imita a familiares o directivos para conseguir dinero o información.
La FTC subraya que no existe una única solución milagrosa: watermark y detección tienen límites, y la autenticación debe formar parte del proceso.
Es más seguro colgar y verificar a la persona por un canal conocido de antes que decidir si la voz “suena real”.
Imágenes y vídeo suelen fabricar confianza[1][5]
El FBI cita perfiles, documentos y vídeos generados que representan a figuras públicas o ejecutivos. Una videollamada puede convertirse en falsa prueba de que un contacto online es una persona real.
INTERPOL describe en 2026 deepfake-as-a-service y kits de identidad sintética que combinan avatares de vídeo, clones de voz y biometría. La tecnología de fraude se vende como servicio.
Por eso hay que verificar procedencia, metadatos, señales sintéticas y contexto, sin sustituir la autenticación independiente por un score.
Empresas: cómo no aprobar un pago por culpa de un deepfake[1][3]
Un proceso robusto parte de que email, caller ID, voz, foto de perfil y vídeo pueden falsificarse.
- Confirmar cambios de cuenta de proveedor por un canal conocido previamente.
- Exigir segunda aprobación o factor independiente por encima de un umbral.
- Aplicar call-back al número del directorio corporativo.
- No tratar videollamada como autenticación fuerte por sí sola.
- Conservar archivos sospechosos y cabeceras de correo.
- Formar sobre presión, urgencia, secreto y solicitudes para saltarse el procedimiento.
Personas: familia, inversiones y emergencias urgentes[1][2]
FBI recomienda una palabra secreta familiar y devolver la llamada de forma independiente a la persona que supuestamente necesita ayuda. El atacante puede tener una muestra de voz sin conocer el secreto.
En una estafa de inversión puede ser sintético todo el ecosistema: experto, vídeos, comentarios, chatbot y dashboard. Deben verificarse empresa, licencia, dominio y flujo del dinero.
La detección deepfake debe apoyar la decisión[3][4]
Un riesgo alto puede activar revisión manual, solicitud del archivo original, comprobación de procedencia o verificación independiente de identidad. Es más robusto que un veredicto binario automático.
La respuesta correcta no es “ya no se puede confiar en nada”, sino trust by verification: menos confianza en una sola señal y más en un proceso repetible y documentado.