La clonación de voz con IA ha convertido el fraude de correo empresarial en un problema telefónico
El compromiso de correo empresarial (BEC) costó a las empresas estadounidenses 3050 millones de dólares en 2025, según el Centro de Quejas de Delitos en Internet del FBI — la mayor categoría de pérdidas por delitos cibernéticos reportadas. Durante una década, las defensas corporativas se basaron en un supuesto: un atacante puede falsificar un correo, pero una llamada telefónica es más difícil de falsificar. Ese supuesto ya no se sostiene. La clonación de voz, que solo necesita unos segundos de audio público, ha convertido el BEC de un problema de texto en un problema telefónico.
Cómo funcionaba la defensa anterior
El BEC clásico depende de una cuenta de correo suplantada o comprometida: un atacante se hace pasar por un director ejecutivo o proveedor y pide a finanzas una transferencia urgente. Los equipos de seguridad entrenaron al personal para verificar solicitudes inusuales mediante un segundo canal, normalmente una llamada a un número conocido. Ese control funcionaba porque sintetizar una voz convincente requería herramientas costosas y horas de audio fuente.
Qué cambió
Las herramientas de clonación de voz de consumo ahora producen una imitación utilizable a partir de un clip público breve: una llamada de resultados, una charla, un pódcast o un video de LinkedIn. Los atacantes combinan esto con reconocimiento extraído de LinkedIn, informes regulatorios y sitios corporativos para identificar exactamente quién aprueba las transferencias.
El mecanismo no es nuevo: el caso de 2019 en que estafadores clonaron la voz del director ejecutivo de la matriz alemana de una empresa energética británica para robar 220 000 euros (unos 243 000 dólares) ya lo demostró. Lo que cambió hacia 2025 es el costo y la velocidad para producir un clon convincente.
Lo que muestran las cifras
El informe del FBI de 2025 cifra las pérdidas totales reportadas por fraude de pago en EE. UU. en 20 877 millones de dólares, un 26% más que el año anterior. El BEC siguió siendo la mayor categoría de pérdidas empresariales con 3050 millones. El FBI registró además más de 22 000 quejas vinculadas explícitamente a fraude habilitado por IA, con pérdidas reportadas de unos 893 millones de dólares.
Por qué la verificación escrita ya no basta
El problema central es que los atacantes ahora pueden satisfacer ambas mitades de un procedimiento de verificación estándar: un correo falsificado hace plausible la solicitud inicial, y una voz clonada en la llamada de confirmación hace plausible la verificación posterior.
Lo que sí funciona ahora
Verificación fuera de banda que no dependa solo del reconocimiento de voz: una llamada a un número preverificado sigue siendo útil, pero debe combinarse con una frase o código de verificación preacordado que cambie periódicamente.
Autorización dual con un umbral monetario estricto: toda transferencia por encima de cierto monto requiere la firma de dos personas mediante dos sistemas separados, ninguno de los cuales sea una llamada telefónica.
Tratar la urgencia misma como la señal de alerta principal: las políticas que permiten explícitamente retrasar cualquier solicitud marcada como urgente, sin penalización, eliminan la palanca principal de la que depende el fraude.
Conclusión
El control que importó durante la última década de BEC — "llamar para verificar"— asumía que el teléfono era más difícil de falsificar que el correo. Ese supuesto ha desaparecido.