Urgente y confidencial, s. Las dos palabras que más dinero han sacado de las cuentas de las pymes.
Las estafas con IA que llegan a las pymes ya no se reconocen por las faltas de ortografía. Con unos segundos de audio se puede clonar la voz del gerente para pedir una transferencia urgente por teléfono, una videollamada puede mostrar a directivos que no existen y un correo impecable puede pedirte que pagues las facturas de un proveedor en una cuenta nueva. La defensa no es detectar la falsificación, sino que ningún pago dependa de una sola llamada o un solo mensaje.
Tres estafas que ha mejorado la IA
La voz o la cara del jefe
El fraude del CEO de siempre, ahora con la voz clonada a partir de un vídeo o una entrevista, o con un vídeo falso en una videollamada. Alguien que suena o se ve como el gerente pide a administración una transferencia urgente, «confidencial, no lo comentes», para cerrar una operación.
El proveedor que cambia de cuenta
Un correo, que parece del proveedor de siempre y está perfectamente redactado, avisa de que a partir de ahora las facturas se pagan en otra cuenta. A veces llega desde una dirección casi idéntica; otras, desde el buzón real del proveedor, que ha sido comprometido.
Mensajes falsos sin errores
Correos y mensajes de banco, Hacienda, mensajería o clientes, redactados con IA y personalizados con datos públicos de la empresa (nombres, cargos, proveedores), que piden credenciales, pagos o descargar un archivo.
Ya está pasando en España
INCIBE, el Instituto Nacional de Ciberseguridad, ha publicado varios casos reales atendidos en su línea de ayuda. En enero de 2024, un empleado llamó al 017 tras recibir la llamada de un supuesto CEO que en realidad no era él, con sospechas de que usaron IA para clonar su voz. En enero de 2026 publicó el caso de una empresa que sufrió una estafa millonaria tras suplantar al CEO en una videollamada de Teams, y en febrero de 2026, un intento de desvío de pagos con la voz clonada de un empresario. Según el propio INCIBE, el fraude del CEO está entre las diez temáticas más consultadas por las empresas en el 017, una línea que atendió 95.064 consultas entre enero y junio de 2026, casi el doble que en el mismo periodo del año anterior.
Fuera de España, el caso más citado es el de la ingeniería Arup, que en 2024 transfirió en Hong Kong unos 25 millones de dólares después de que un empleado participara en una videollamada en la que todos los directivos, salvo él, eran falsos.
Verificación, s. Llamada de treinta segundos que nadie hace porque el jefe parecía tener prisa.
Cinco reglas que las paran
- Segundo canal: cualquier pago urgente o cambio de cuenta se confirma llamando a un número que ya estaba en la agenda, nunca al que viene en el mensaje o la llamada.
- Doble firma: ninguna transferencia por encima de un importe sale con la aprobación de una sola persona.
- Palabra clave: una palabra o pregunta interna que solo conoce el equipo para confirmar peticiones excepcionales.
- Urgencia y secreto son alarmas: ninguna operación legítima exige saltarse el protocolo ni ocultarlo a los compañeros.
- Formación: enseña al equipo, con ejemplos reales, que una voz o una cara ya no prueban nada, y que nadie será reprendido por verificar.
Para los cambios de cuenta de proveedores, añade una regla más: ningún cambio de datos bancarios se aplica sin confirmarlo por teléfono con el contacto habitual, y el primer pago a la cuenta nueva se revisa dos veces.
Si ya ha pasado
Llama de inmediato a tu banco para intentar retener o recuperar la transferencia: las primeras horas son decisivas. Guarda todas las pruebas (correos con sus cabeceras, mensajes, grabaciones, justificantes), denuncia ante la Policía o la Guardia Civil y contacta con el 017, la línea gratuita y confidencial de ayuda en ciberseguridad de INCIBE. Si el correo de un proveedor fue comprometido, avísale.
La IA también ayuda a defenderse
Los mismos sistemas que automatizan la administración pueden protegerla: una automatización que compara cada factura con el pedido y avisa cuando cambia la cuenta bancaria de un proveedor detecta el fraude antes de pagar. Es una comprobación que conviene incluir siempre al automatizar las facturas de proveedores.
El descargo
No somos una empresa de ciberseguridad ni esto es asesoramiento jurídico. Para una auditoría de seguridad, acude a un especialista, y ante un incidente, al 017 y a las autoridades. Lo que sí podemos decir es que las cinco reglas de arriba no cuestan nada y paran la mayoría de estos fraudes.
En resumen
La IA permite clonar voces, falsificar videollamadas y escribir correos perfectos. Ya hay casos en España recogidos por INCIBE. La defensa es un protocolo: verificar por un segundo canal, doble firma, palabra clave, desconfiar de la urgencia y el secreto, y formar al equipo. Si ya ha pasado, banco, denuncia y 017.
