Imagen generada con IA
Son las cuatro de la tarde del viernes. Tu directora financiera recibe un mensaje de voz en WhatsApp: es la voz del propietario, con su acento exacto, diciendo que hay una operación urgente, que no puede hablar por teléfono ahora, y que necesita transferir 45.000 euros a una cuenta nueva antes de que cierren los bancos. La voz suena perfectamente real. La voz es falsa.
Este tipo de ataque —CEO fraud con deepfake de audio— cuesta en España una media de 600.000 euros por caso exitoso, según datos de la firma de verificación de identidad Veriff (Costo del fraude deepfake 2026, veriff.com). El 23% de las empresas españolas ya ha sufrido un intento, según el Perito Informático Forense (digitalperito.es, junio de 2026). Y las herramientas para generarlo cuestan menos de 20 euros en mercados de internet.
La buena noticia: la defensa no requiere tecnología cara. Requiere un proceso.
Por qué la tecnología de detección no es la solución (todavía)
El instinto natural es buscar software que detecte deepfakes. El problema es que la capacidad humana para detectarlos tiene una precisión estadística de 0,07-0,08 en una escala de -1 a 1 —prácticamente indistinguible de adivinar al azar—, y los detectores automáticos van siempre por detrás de los generadores. Un deepfake generado hoy puede burlar los detectores entrenados el mes pasado.
Además, el ataque típico no da tiempo para analizar: llega como nota de voz, en un momento de presión, con urgencia artificial («solo tienes 30 minutos antes de que cierren»). El contexto emocional hace que el cerebro quiera creer, no verificar.
La solución que funciona no es detectar el deepfake. Es diseñar un proceso donde el deepfake no sea suficiente, aunque sea perfecto.
El protocolo de tres reglas (se implanta en una tarde)
Estas tres reglas son independientes entre sí y se refuerzan mutuamente. Puedes implantar las tres hoy, sin gasto adicional.
Regla 1 — La palabra de verificación
Acuerda con tu equipo de administración una palabra o frase de verificación que cambia cada mes. Nadie fuera de ese círculo la conoce. Cuando llega una solicitud de transferencia urgente por cualquier canal, quien la recibe responde: «Necesito la palabra del mes». Si el interlocutor —humano, grabación o deepfake— no la sabe, la transferencia no se ejecuta.
Esta palabra no se escribe nunca en email ni en WhatsApp. Se comunica en persona o por llamada de voz al principio del mes.
Regla 2 — La confirmación por canal distinto
Cualquier solicitud de transferencia por encima de un umbral que tú fijes (por ejemplo, 3.000 euros) requiere confirmación por un canal diferente al que llegó la solicitud. Si llegó por WhatsApp, confirmas llamando al número guardado en tus contactos —no al que aparece en el mensaje—. Si llegó por email, confirmas por llamada. Si llegó por llamada, confirmas en persona o por videollamada con cámara encendida.
Esto corta el 90% de los ataques, porque el atacante controla solo un canal en un momento dado.
Regla 3 — El umbral sin excepciones
Por encima de un segundo umbral mayor (por ejemplo, 10.000 euros), no existe la urgencia. Ninguna transferencia de esa cuantía se hace sin que la persona autorizada esté físicamente accesible para confirmarlo en persona o por videollamada con cámara encendida mostrando un elemento acordado de antemano (un libro específico, una prenda, lo que queráis). Si el interlocutor no puede hacer eso, la transferencia espera.
La urgencia artificial —«cierran los bancos en 30 minutos», «lo necesito ya»— es la firma del ataque. Un directivo legítimo entiende que el proceso de verificación protege a la empresa.
Imagen generada con IA
Cómo documentarlo y comunicarlo a tu equipo
El protocolo tiene que estar escrito y firmado (digitalmente vale) por todos los que pueden autorizar o ejecutar transferencias. No para protegerte legalmente, sino para que nadie tome la decisión en solitario bajo presión.
El documento recoge:
- Los umbrales de cuantía que activan cada regla.
- Los canales alternativos de confirmación con los números exactos.
- El procedimiento si no se puede contactar con el autorizador (la transferencia espera).
- La frase del mes (se comunica verbalmente, no se escribe en el documento).
Una primera sesión de 30 minutos con el equipo para presentar el protocolo, y 15 minutos al principio de cada mes para comunicar la nueva palabra de verificación. Eso es todo el mantenimiento.
Imagen generada con IA
La capa de automatización (para los que quieren ir más lejos)
El protocolo manual es suficiente para la mayoría de pymes. Pero si procesas muchas solicitudes o quieres reducir el margen de error humano, parte del flujo se puede automatizar.
Por ejemplo: cuando llega una solicitud de transferencia por encima del umbral vía email o formulario interno, un flujo automático puede enviar inmediatamente un SMS o mensaje de verificación al número de teléfono del autorizador registrado, solicitando una confirmación con código de un solo uso. La transferencia solo se prepara para revisión cuando el código coincide. Nadie tiene que recordar ningún proceso en el calor del momento.
Herramientas como Make —que ya tiene capacidades nativas de agentes IA— permiten montar este tipo de flujos de aprobación sin programar, conectando el email con el SMS y el sistema de contabilidad. Para ver un ejemplo concreto de cómo Make gestiona este tipo de automatizaciones, el artículo sobre Make y sus agentes IA para pymes lo explica con casos reales.
Si quieres que diseñemos el flujo de verificación para tu empresa —incluyendo los umbrales, los canales y la capa de automatización—, cuéntanos cómo funciona tu proceso actual de pagos y proponemos una solución concreta.
El coste real del fraude vs. el coste de la prevención
La pérdida media por un CEO fraud exitoso con deepfake es de 600.000 euros. Para la mayoría de pymes, ese dinero no existe sin un crédito de emergencia. Dos o tres casos en el sector y la empresa cierra.
El coste de implementar el protocolo es cero en dinero y dos horas de tiempo. La automatización básica —SMS de verificación más flujo de aprobación— cuesta entre 50 y 200 euros al mes según la herramienta y el volumen de transacciones. Las empresas que ya automatizan sus procesos de back-office pueden añadir este flujo al sistema existente sin coste adicional. Si te interesa explorar cómo conectar la automatización de pagos con el resto de tu gestión, el artículo sobre automatización de WhatsApp con IA para pymes muestra cómo funciona la verificación de mensajes en la práctica.
El análisis de ciberseguridad de Fase Consulting sobre deepfakes en 2026 detalla los tipos de ataque más frecuentes y las señales de alerta que deberían activar el protocolo.
En resumen
Una voz clonada con IA por menos de 20 euros puede pedir una transferencia desde el WhatsApp de tu jefe. El 23% de empresas españolas ya lo ha sufrido, con pérdidas medias de 600.000 euros. La defensa no es software de detección —que siempre va por detrás—, sino un protocolo de tres reglas: palabra de verificación secreta, confirmación por canal distinto y umbral sin excepciones para pagos grandes. Se implanta en una tarde, cuesta cero y puede automatizarse si el volumen lo justifica. Cuéntanos si quieres que lo diseñemos para tu empresa.