Estafas de Suplantación por Vídeo Deepfake

Tácticas comunes

• • Los estafadores crean vídeos deepfake de directores ejecutivos, miembros de la junta directiva o directores financieros de empresas solicitando transferencias bancarias urgentes, pagos en criptomonedas o acceso a datos sensibles, distribuyendo los vídeos a través de WhatsApp, correo electrónico o plataformas de mensajería interna para crear falsa urgencia.
• • Los delincuentes utilizan metraje de vídeo disponible públicamente de redes sociales, conferencias de prensa y llamadas de ganancias para entrenar modelos de IA que generan vídeos sintéticos convincentes requiriendo solo segundos de audio auténtico para crear un mensaje falso persuasivo.
• • Los estafadores se hacen pasar por celebridades destacadas, inversores o influenciadores de criptomonedas en vídeos deepfake que promocionan oportunidades de inversión falsas, proyectos NFT o bolsas de criptomonedas para solicitar fondos de aficionados y seguidores.
• • Los defraudadores combinan vídeos deepfake con direcciones de correo electrónico falsificadas, números de teléfono falsos y documentos forjados para crear una ilusión multicanal de legitimidad, haciendo que sea extremadamente difícil para las víctimas verificar la autenticidad a través de canales estándar.
• • Los delincuentes cronometran ataques de vídeo deepfake durante transiciones de liderazgo empresarial, ausencias del director ejecutivo o anuncios importantes de la empresa cuando los procedimientos de verificación interna pueden estar temporalmente interrumpidos o cuando los empleados tienen más probabilidades de cumplir sin cuestionar.
• • Los estafadores distribuyen vídeos deepfake a través de cuentas de correo electrónico comprometidas o herramientas de colaboración empresarial como Slack y Teams que evitan filtros de correo electrónico externos, haciendo que los vídeos parezcan provenir de sistemas internos confiables en lugar de atacantes externos.

Cómo identificarlo

• El vídeo contiene inconsistencias visuales sutiles como movimientos oculares antinaturales, patrones de parpadeo inusuales, labios desalineados con el audio o movimientos faciales entrecortados que no coinciden con los movimientos habituales de la persona, particularmente notorios en planos cerrados o durante movimientos rápidos de cabeza.
• La solicitud viene con urgencia artificial afirmando que los procesos de aprobación normales deben ser eludidos, las circunstancias son sensibles al tiempo (cierre de adquisición, pago de emergencia o vulnerabilidad crítica del sistema), o discutir la solicitud con otros ejecutivos causará problemas.
• La calidad de audio parece ligeramente desactivada con un retraso apenas perceptible entre los labios moviéndose y el sonido, ruido de fondo que no coincide con los entornos típicos de esa persona o ligeras inflexiones vocales que suenan robóticas o demasiado formales comparadas con los patrones de habla habituales de la persona.
• El vídeo deepfake llega a través de canales inesperados como WhatsApp personal, mensajería directa o texto en lugar de sistemas de comunicación empresarial establecidos, o llega fuera del horario comercial normal cuando los procedimientos de verificación normalmente no están disponibles.
• La persona en el vídeo solicita acciones altamente inusuales que contradicen la política de la empresa, como exigir autorización de firma única para grandes transacciones, solicitar transferencias bancarias a cuentas extranjeras o pedir pago inmediato en criptomonedas en lugar de métodos estándar.
• El fondo, la ropa, la iluminación o el entorno en el vídeo parecen genéricos, inusuales o inconsistentes con donde esa persona normalmente realiza negocios, o la calidad del vídeo es inusualmente alta o baja comparada con lo que la persona normalmente envía en comunicaciones internas.

Cómo protegerse

• Establezca e implemente un protocolo de verificación multifactor para cualquier solicitud financiera por encima de una cantidad umbral, requiriendo verificación en persona, por teléfono o por videollamada a través de un número conocido previamente antes de procesar cualquier transferencia bancaria o transacción de criptomonedas, independientemente de la evidencia de vídeo o correo electrónico.
• Capacite a empleados y ejecutivos en técnicas de identificación de deepfakes, incluyendo banderas rojas como movimientos faciales antinaturales y desajustes de audio-vídeo, y cree un procedimiento claro de reporte para solicitudes de vídeo sospechosas que no penalice a los empleados por solicitar verificación de instrucciones inusuales.
• Implemente software de detección de deepfakes impulsado por IA en sistemas de correo electrónico y plataformas de colaboración que automáticamente marque vídeos sospechosos para revisión humana, y considere implementar tecnología de verificación de vida que requiera confirmación en tiempo real para transacciones sensibles.
• Verifique solicitudes de transacciones de alto valor usando métodos de comunicación fuera de banda—si recibe una solicitud de vídeo de un ejecutivo por correo electrónico, llame independientemente a esa persona a un número de teléfono conocido para verificar que la solicitud es genuina antes de proceder con cualquier acción.
• Desactive el acceso de empleados a datos biométricos almacenados y bibliotecas de vídeos que podrían ser utilizadas para entrenar modelos de deepfake, implemente controles estrictos en grabación y almacenamiento de vídeos internos, y limite la distribución de fotos de ejecutivos, discursos y vídeos promocionales en sitios web públicos y redes sociales.
• Cree un sistema de autenticación usando preguntas de conocimiento personal o códigos de seguridad que solo la persona real conocería, haciendo que sea imposible para un vídeo deepfake solo autorizar acciones sensibles, y establezca que cualquier desviación de procedimientos estándar requiere verificación independiente de múltiples fuentes.

Casos reales

Dónde denunciar — España / América Latina

Canales oficiales en tu región para denunciar esta estafa.