Deepfakes en videollamadas: cómo pueden suplantar tu identidad y engañar a una empresa

Durante años, una videollamada ha sido una forma habitual de comprobar que estamos hablando con una persona concreta. Ver su rostro, escuchar su voz y mantener una conversación en directo parecían suficientes para confirmar su identidad. Sin embargo, la inteligencia artificial está cambiando esa percepción. Hoy existen técnicas capaces de recrear rostros, imitar voces y modificar una imagen en tiempo real, hasta el punto de que una reunión aparentemente normal puede convertirse en el escenario de un fraude.

Los deepfakes ya no son únicamente vídeos curiosos que circulan por Internet. También pueden utilizarse para hacerse pasar por un directivo, un compañero de trabajo, un proveedor o un candidato durante un proceso de selección. El objetivo no suele ser simplemente engañar a quien mira la pantalla, sino conseguir que realice una acción: autorizar una transferencia, compartir información confidencial, facilitar credenciales o conceder acceso a los sistemas de una organización.

Por eso, el riesgo no depende solo de la calidad de la manipulación. También depende de la confianza, la urgencia y los procedimientos internos de la empresa. Entender cómo funcionan estos ataques es el primer paso para reducir sus posibilidades de éxito.

¿Qué es un deepfake y cómo funciona?

El término deepfake combina los conceptos de aprendizaje profundo y contenido falso. Se utiliza para describir material audiovisual generado o manipulado mediante inteligencia artificial con el que se representa a una persona diciendo o haciendo algo que no ha sucedido de esa manera.

Para crear una suplantación, un atacante puede recopilar fotografías, vídeos y grabaciones de voz disponibles en Internet o procedentes de otras fuentes. Los modelos de IA pueden aprender rasgos de la apariencia, expresiones, gestos y características de la voz. Después, determinadas herramientas permiten generar una representación sintética o modificar una imagen existente para que parezca que la persona participa en una conversación.

En una videollamada pueden combinarse varias técnicas:

• Intercambio de rostros: sustituye la cara que aparece en una grabación o transmisión por la de otra persona.
• Clonación de voz: genera audio que imita el tono, el timbre y otros rasgos de una voz real.
• Sincronización labial: adapta los movimientos de la boca a un audio generado o modificado.
• Manipulación en tiempo real: altera la imagen de la cámara mientras se desarrolla una comunicación.
• Avatares sintéticos: crean representaciones digitales capaces de reproducir movimientos y expresiones.

No todas estas técnicas funcionan igual. Algunas requieren preparar el vídeo antes de compartirlo, mientras que otras permiten modificar una transmisión en directo. La calidad depende de los modelos, los datos disponibles, el equipo utilizado y las condiciones de la llamada. Aun así, no hace falta que una falsificación sea perfecta para resultar peligrosa: basta con que parezca creíble durante el tiempo suficiente para conseguir que alguien actúe.

Cómo utilizan los ciberdelincuentes los deepfakes para engañar a las empresas

Los ataques más convincentes suelen combinar deepfakes con ingeniería social. La tecnología aporta una apariencia familiar, mientras que la manipulación psicológica crea un motivo para actuar rápidamente. El atacante puede investigar previamente la estructura de una empresa, sus empleados, proveedores y relaciones profesionales para construir una historia coherente.

1. Suplantación de directivos y responsables financieros

Una de las situaciones más conocidas consiste en hacerse pasar por una persona con autoridad dentro de la organización. Un empleado del departamento financiero recibe una invitación urgente para participar en una videollamada. Al conectarse, ve al supuesto director financiero acompañado de otras personas que parecen formar parte de la dirección. Durante la reunión se explica que existe una operación confidencial y se solicita realizar una transferencia a una cuenta determinada.

La presencia de varias personas conocidas, el tono de autoridad y la presión por resolver el asunto pueden hacer que el empleado no cuestione la instrucción. Sin embargo, los rostros y las voces podrían haber sido recreados para respaldar una historia fraudulenta.

En 2024 se hizo público un caso de este tipo en Hong Kong. Un empleado de la empresa de ingeniería Arup transfirió aproximadamente 200 millones de dólares hongkoneses después de participar en una videoconferencia en la que varios supuestos compañeros habían sido recreados mediante deepfakes. El caso mostró que una reunión aparentemente colectiva puede utilizarse para reforzar la credibilidad de una orden fraudulenta.

2. Entrevistas de trabajo con identidades falsas

Los procesos de selección también pueden convertirse en una puerta de entrada. Una persona puede presentarse a una entrevista utilizando una identidad manipulada o datos personales robados. Si consigue incorporarse a la empresa, podría intentar acceder a información interna, redes privadas, documentación o sistemas corporativos.

El FBI ha advertido sobre solicitantes que utilizan voces manipuladas o posibles deepfakes durante entrevistas de trabajo a distancia. Entre los indicios descritos se encuentran desajustes entre el movimiento de los labios y el audio, así como acciones que no parecen corresponderse con la imagen. Para los equipos de recursos humanos, esto refuerza la importancia de verificar la identidad mediante procesos independientes y no únicamente a través de la cámara.

3. Suplantación de proveedores y colaboradores

Un atacante puede hacerse pasar por un proveedor habitual, un asesor externo o un colaborador con el que la empresa mantiene una relación frecuente. Durante una llamada podría comunicar un supuesto cambio de cuenta bancaria, solicitar documentación o pedir que se modifique un procedimiento de pago.

La familiaridad con el interlocutor puede reducir las sospechas. Por eso, cualquier cambio de datos bancarios o instrucción económica debe comprobarse mediante un canal de contacto que ya estuviera registrado, nunca utilizando únicamente los datos facilitados durante la propia llamada.

4. Robo de credenciales y acceso a información confidencial

Otra posibilidad es hacerse pasar por un técnico de soporte, un responsable de seguridad o un compañero con permisos elevados. La persona suplantada puede solicitar códigos de autenticación, contraseñas, acceso remoto o documentos internos con el argumento de resolver una incidencia.

La apariencia de legitimidad puede ayudar a que la víctima comparta información que normalmente protegería. Conviene recordar que los códigos de un solo uso, las claves de recuperación y las contraseñas nunca deben facilitarse a otra persona por una petición recibida en una videollamada.

Cómo detectar un deepfake durante una videollamada

Reconocer una manipulación en directo puede ser complicado. Los modelos mejoran y los problemas de conexión, la iluminación o una cámara de baja calidad también pueden producir artefactos visuales. Por eso, las señales siguientes deben entenderse como motivos para comprobar la identidad, no como pruebas definitivas.

Desajustes entre imagen y sonido

Observa si los movimientos de los labios coinciden con las palabras, si hay retrasos extraños o si las expresiones parecen no corresponderse con la voz. También pueden llamar la atención pausas poco naturales, cambios repentinos en el timbre o una entonación que no encaja con la conversación. Ninguno de estos detalles confirma por sí solo que exista una manipulación.

Movimientos faciales y bordes del rostro

En algunas manipulaciones pueden aparecer deformaciones alrededor del cabello, las orejas, las gafas o la línea de la mandíbula. También pueden observarse cambios de iluminación entre el rostro y el fondo, parpadeos extraños o expresiones rígidas. Sin embargo, las técnicas actuales pueden reducir estos defectos y una imagen limpia tampoco garantiza autenticidad.

Respuestas que no encajan con el contexto

Presta atención a si la persona puede explicar detalles concretos de la operación o del asunto que se está tratando. Si evita preguntas razonables, contradice información conocida o insiste en que no hay tiempo para verificar nada, conviene detener la conversación. Una pregunta de comprobación puede ayudar, pero no debe convertirse en el único control: un atacante puede investigar previamente a la víctima y su entorno.

Urgencia, secreto y solicitudes fuera de lo habitual

La señal más importante puede no estar en la cara, sino en lo que se pide. Las órdenes de transferir dinero, cambiar cuentas bancarias, compartir credenciales, instalar programas o saltarse aprobaciones deben activar una comprobación adicional. La urgencia y la confidencialidad no son motivos para abandonar los controles de seguridad.

Cómo proteger una empresa frente a los ataques con deepfakes

La defensa más eficaz no consiste en confiar en un detector automático de vídeos falsos. Una organización necesita procedimientos que permitan comprobar las solicitudes importantes incluso cuando la persona que aparece en pantalla parece auténtica.

1. Verificar las solicitudes mediante un segundo canal

Si un supuesto directivo solicita una transferencia o un cambio sensible, el empleado debe confirmar la petición utilizando un canal independiente y previamente conocido. Puede llamar al número corporativo registrado del responsable o solicitar una aprobación desde el sistema interno habitual. No debe utilizar un teléfono, enlace o dirección alternativa que aparezca por primera vez en la propia llamada.

2. Establecer controles para pagos y cambios bancarios

Las transferencias importantes no deberían depender de una conversación. Es recomendable exigir doble aprobación, establecer límites según el puesto, confirmar los cambios de cuenta mediante un procedimiento independiente y conservar un registro de las autorizaciones. La política debe aplicarse incluso cuando la petición parezca proceder de la dirección.

3. Formar a los empleados en ingeniería social

El personal debe saber que una cara y una voz pueden ser imitadas. La formación puede incluir ejemplos de fraude, ejercicios de simulación y pautas claras para comunicar incidentes. El objetivo no es que cada empleado se convierta en un experto en análisis audiovisual, sino que sepa detener una solicitud sospechosa y escalarla sin temor a cuestionar una orden.

4. Limitar los permisos y proteger las cuentas

Aplicar el principio de mínimo privilegio reduce el impacto de una cuenta comprometida. La autenticación multifactor, preferiblemente mediante métodos resistentes al phishing cuando estén disponibles, añade protección adicional. También conviene revisar los permisos de acceso remoto, registrar las acciones sensibles y retirar accesos que ya no sean necesarios.

5. Revisar la información que se comparte públicamente

Las fotografías, entrevistas, vídeos corporativos y grabaciones de eventos pueden aportar material para crear una suplantación. No es necesario eliminar la presencia digital de una empresa, pero sí conviene limitar la publicación de información interna, evitar divulgar datos operativos innecesarios y formar a los empleados sobre lo que comparten en redes sociales.

Cómo proteger las videollamadas en Microsoft Teams, Zoom y Google Meet

Las plataformas de videoconferencia ofrecen controles útiles para limitar quién puede entrar, qué puede hacer y cómo se comparte la información. Estas funciones ayudan a proteger una reunión frente a accesos no autorizados, aunque no garantizan que una persona admitida sea quien afirma ser. Un deepfake puede utilizar una cuenta legítima o una invitación comprometida, por lo que los controles de acceso deben combinarse con la verificación de identidad y los procedimientos internos.

¿Existen herramientas capaces de detectar deepfakes?

Existen soluciones de investigación y herramientas comerciales que analizan imágenes, vídeos y audio para buscar señales de manipulación. Algunas examinan patrones visuales, inconsistencias entre fotogramas, características de la voz o alteraciones en los archivos. Otras están diseñadas para revisar material grabado y no para analizar una videollamada en directo.

Sus resultados deben interpretarse con cautela. La compresión, la iluminación, el ruido, la calidad de la cámara y las técnicas utilizadas para generar el contenido pueden afectar al análisis. Además, un detector puede no reconocer un método de manipulación nuevo o no disponer de información suficiente para emitir una conclusión.

Por tanto, estas herramientas pueden aportar señales útiles, pero no deben utilizarse como único mecanismo de autenticación. La verificación independiente de una solicitud y los controles de autorización siguen siendo esenciales.

Qué hacer si sospechas que una videollamada es falsa

1. Detén la operación. No autorices pagos, no compartas credenciales y no concedas acceso remoto mientras exista una duda razonable.
2. Verifica por otro canal. Contacta con la persona mediante un número o medio que ya figure en los registros de la empresa.
3. Informa al equipo de seguridad. Comunica la situación al responsable de TI, seguridad o cumplimiento según el procedimiento interno.
4. Conserva las evidencias. Guarda los datos de la reunión, mensajes, correos y registros disponibles siguiendo las políticas de privacidad y conservación de la organización.
5. Actúa si ya se ha compartido información. Cambia credenciales afectadas, revoca sesiones o accesos cuando corresponda y contacta con el banco si se ha iniciado una transferencia sospechosa.

El futuro de la identidad digital en las empresas

La evolución de los deepfakes está obligando a replantear cómo verificamos la identidad en los entornos digitales. Durante mucho tiempo, la imagen, la voz y el correo electrónico se han utilizado como señales de confianza. Sin embargo, pueden ser imitados, manipulados o comprometidos.

Las organizaciones tendrán que combinar autenticación resistente al phishing, credenciales verificables, controles de acceso, registros de actividad y procedimientos claros para aprobar operaciones sensibles. También será importante revisar periódicamente los procesos de selección, soporte técnico, gestión de proveedores y autorización financiera.

La cuestión ya no es únicamente cómo reconocer un vídeo falso. También consiste en diseñar procesos que sigan siendo seguros aunque una suplantación consiga engañar visualmente a una persona.

Conclusión: no todo lo que vemos en una pantalla es real

Los deepfakes representan un desafío importante para la ciberseguridad porque aprovechan algo tan cotidiano como la confianza que depositamos en las personas con las que hablamos. Una videollamada puede parecer normal y, aun así, utilizarse para ejecutar un fraude, conseguir información confidencial o comprometer los sistemas de una organización.

Las empresas necesitan ir más allá de la detección visual. Deben verificar las solicitudes importantes mediante canales independientes, proteger las cuentas, limitar los permisos y establecer controles para las operaciones económicas y el acceso a información sensible.

La tecnología puede imitar un rostro y reproducir una voz, pero una política de seguridad bien diseñada puede impedir que esa suplantación se convierta en una operación fraudulenta. En un entorno donde cada vez resulta más complicado distinguir lo auténtico de lo artificial, comprobar antes de actuar es una de las mejores defensas.

Fuentes y documentación

• FBI — avisos sobre el uso de deepfakes y voces sintéticas en procesos de selección y fraude.
• Microsoft Security — análisis de amenazas y seguridad de identidades.
• Microsoft Support — configuración de la sala de espera en Teams.
• Zoom Support — códigos de acceso y controles de seguridad para reuniones.
• Google Meet Help — controles de acceso, privacidad y seguridad.