Actualizado el 7 de octubre de 2026: hemos revisado los datos y las fuentes de este artículo.
Imagina esta escena. Son las cuatro de la tarde del viernes. Tu directora financiera recibe un mensaje de voz en WhatsApp: es la voz del propietario, con su acento exacto, diciendo que hay una operación urgente, que no puede hablar por teléfono ahora, y que necesita transferir 45.000 euros a una cuenta nueva antes de que cierren los bancos. La voz suena perfectamente real. La voz es falsa.
Este tipo de ataque se llama CEO fraud con deepfake de audio. No hay una cifra fiable para España: el perito informático forense de digitalperito.es indica que no existe «una encuesta nacional que cifre el porcentaje de empresas españolas afectadas» (digitalperito.es). Fuera de España sí hay datos. En una encuesta de Regula a 575 empresas de Alemania, México, Emiratos Árabes Unidos, Estados Unidos y Singapur, hecha en agosto de 2024, la pérdida media por fraude con deepfakes fue de unos 450.000 dólares (Regula, 31 de octubre de 2024).
La buena noticia: la defensa no requiere tecnología cara. Requiere un proceso.
Por qué la tecnología de detección no es la solución (todavía)
El instinto natural es buscar software que detecte deepfakes. El problema es que las personas aciertan el 55,54 % de las veces al distinguir un deepfake, una tasa que no se diferencia de forma significativa del azar, según un metaanálisis de 56 estudios (Computers in Human Behavior Reports, diciembre de 2024). Con audio, el acierto sube al 62,08 %, pero con un margen de error muy amplio. Los detectores automáticos tampoco son una garantía: según el perito de digitalperito.es, un detector que «supera el 90 % en su set de prueba» baja «a cerca del 60 %» con vídeos reales (digitalperito.es).
Además, el ataque típico no da tiempo para analizar: llega como nota de voz, en un momento de presión, con urgencia artificial («solo tienes 30 minutos antes de que cierren»). El contexto emocional hace que el cerebro quiera creer, no verificar.
La solución que funciona no es detectar el deepfake. Es diseñar un proceso donde el deepfake no sea suficiente, aunque sea perfecto.
El protocolo de tres reglas (se implanta en una tarde)
Estas tres reglas son independientes entre sí y se refuerzan mutuamente. Puedes implantar las tres hoy, sin gasto adicional.
Regla 1 — La palabra de verificación
Acuerda con tu equipo de administración una palabra o frase de verificación que cambia cada mes. Nadie fuera de ese círculo la conoce. Cuando llega una solicitud de transferencia urgente por cualquier canal, quien la recibe responde: «Necesito la palabra del mes». Si el interlocutor —humano, grabación o deepfake— no la sabe, la transferencia no se ejecuta.
Esta palabra no se escribe nunca en email ni en WhatsApp. Se comunica en persona o por llamada de voz al principio del mes.
Regla 2 — La confirmación por canal distinto
Cualquier solicitud de transferencia por encima de un umbral que tú fijes (por ejemplo, 3.000 euros) requiere confirmación por un canal diferente al que llegó la solicitud. Si llegó por WhatsApp, confirmas llamando al número guardado en tus contactos —no al que aparece en el mensaje—. Si llegó por email, confirmas por llamada. Si llegó por llamada, confirmas en persona o por videollamada con cámara encendida.
Esta regla frena el ataque aunque la voz sea perfecta, porque el atacante tendría que controlar también el segundo canal.
Regla 3 — El umbral sin excepciones
Por encima de un segundo umbral mayor (por ejemplo, 10.000 euros), no existe la urgencia. Ninguna transferencia de esa cuantía se hace sin que la persona autorizada esté físicamente accesible para confirmarlo en persona o por videollamada con cámara encendida mostrando un elemento acordado de antemano (un libro específico, una prenda, lo que queráis). Si el interlocutor no puede hacer eso, la transferencia espera.
Trata la urgencia artificial —«cierran los bancos en 30 minutos», «lo necesito ya»— como una señal de alerta. Un directivo legítimo entiende que el proceso de verificación protege a la empresa.
Cómo documentarlo y comunicarlo a tu equipo
El protocolo tiene que estar escrito y firmado (digitalmente vale) por todos los que pueden autorizar o ejecutar transferencias. No para protegerte legalmente, sino para que nadie tome la decisión en solitario bajo presión.
El documento recoge:
- Los umbrales de cuantía que activan cada regla.
- Los canales alternativos de confirmación con los números exactos.
- El procedimiento si no se puede contactar con el autorizador (la transferencia espera).
- La frase del mes (se comunica verbalmente, no se escribe en el documento).
Una primera sesión de 30 minutos con el equipo para presentar el protocolo, y 15 minutos al principio de cada mes para comunicar la nueva palabra de verificación. Eso es todo el mantenimiento.
La capa de automatización (para los que quieren ir más lejos)
El protocolo manual es suficiente para la mayoría de pymes. Pero si procesas muchas solicitudes o quieres reducir el margen de error humano, parte del flujo se puede automatizar.
Por ejemplo: cuando llega una solicitud de transferencia por encima del umbral vía email o formulario interno, un flujo automático puede enviar inmediatamente un SMS o mensaje de verificación al número de teléfono del autorizador registrado, solicitando una confirmación con código de un solo uso. La transferencia solo se prepara para revisión cuando el código coincide. Nadie tiene que recordar ningún proceso en el calor del momento.
Herramientas como Make permiten montar este tipo de flujos de aprobación sin programar, conectando el email con el SMS y el sistema de contabilidad. El artículo sobre Make y sus agentes IA para pymes muestra flujos de ejemplo y explica que esos agentes siguen en beta abierta.
Si quieres que diseñemos el flujo de verificación para tu empresa —incluyendo los umbrales, los canales y la capa de automatización—, cuéntanos cómo funciona tu proceso actual de pagos y proponemos una solución concreta.
El coste real del fraude vs. el coste de la prevención
En la encuesta de Regula citada arriba, la pérdida media por fraude con deepfakes fue de unos 450.000 dólares, en empresas de otros países. Una pérdida de ese tamaño pondría en riesgo a la mayoría de pymes.
Según nuestra estimación, implantar el protocolo no cuesta dinero y lleva unas dos horas. La automatización básica —SMS de verificación más flujo de aprobación— tiene un coste mensual que depende de la herramienta de automatización, del proveedor de SMS y del volumen de pagos. Las empresas que ya automatizan sus procesos de back-office pueden añadir este flujo al sistema que ya tienen. Si quieres automatizar también los mensajes con clientes, el artículo sobre automatización de WhatsApp con IA para pymes explica los caminos para hacerlo y lo que cuestan.
El análisis de ciberseguridad de Fase Consulting sobre deepfakes en 2026 repasa cómo funciona la clonación de voz y de rostro con IA, y también recomienda verificar por otro canal.
El deepfake no es la única amenaza que exige un plan previo: el plan de cuatro pasos para pymes ante ransomware cubre la preparación previa y un plan de respuesta escrito.
En resumen
Una voz clonada con IA puede pedir una transferencia desde el WhatsApp de tu jefe. No hay cifras fiables para España; fuera de España, una encuesta de 2024 sitúa la pérdida media en unos 450.000 dólares. La defensa no es software de detección, sino un protocolo de tres reglas: palabra de verificación secreta, confirmación por canal distinto y umbral sin excepciones para pagos grandes. Se implanta en una tarde, no cuesta dinero y puede automatizarse si el volumen lo justifica. Cuéntanos si quieres que lo diseñemos para tu empresa.