Llamadas de Voz Deepfake y Fraude de CEO: La Estafa Impulsada por IA que Todo CFO Debe Conocer

El Ataque que No Requiere un Correo Hackeado

El fraude de CEO tradicional funciona a través del correo electrónico: un atacante falsifica una dirección de correo ejecutiva e instruye a un empleado a transferir dinero urgentemente. Las empresas han mejorado en detectar estos. Los atacantes se han adaptado. Ahora clonan la voz del ejecutivo usando audio disponible públicamente — una entrevista en YouTube, una conferencia magistral, un video de la empresa — y llaman directamente al objetivo. El empleado escucha a su CEO. El fraude tiene éxito.

Las herramientas de clonación de voz que eran proyectos de investigación hace dos años ahora están disponibles como aplicaciones de consumo. Generar un clon de voz convincente requiere tan solo 30 segundos de audio fuente. La tecnología produce audio en tiempo real que puede usarse en vivo en una llamada telefónica. Los ataques son particularmente efectivos en escenarios de alta presión y plazos cortos: 'Necesito que transfiera $85,000 a esta cuenta antes del cierre de hoy'.

La Defensa Requiere Proceso, No Solo Tecnología

• Política de verificación de transferencias bancarias: todas las transferencias bancarias por encima de un umbral definido requieren una devolución de llamada a un número de teléfono conocido y pre-registrado — nunca a un número proporcionado en la solicitud
• Regla de urgencia sin excepciones: las solicitudes urgentes legítimas siguen el mismo proceso de verificación que las no urgentes. Los atacantes crean urgencia para eludir los controles. La urgencia es una señal de alerta, no una razón para omitir la verificación.
• Confirmación fuera de banda: si una solicitud llega por teléfono, confírmela a través de un canal diferente (correo electrónico, mensaje de texto o en persona). Si llega por correo electrónico, confírmela por teléfono a un número conocido.
• Palabra de seguridad de voz: establezca una palabra o frase de desafío que los ejecutivos usen al comunicar instrucciones sensibles — desconocida para cualquiera fuera de un pequeño círculo
• Capacitación del equipo de finanzas: realice ejercicios simulados de vishing para que su equipo haya experimentado la presión de una llamada fraudulenta antes de encontrar una real
• Limite el audio público de ejecutivos: sea reflexivo sobre cuántos datos de voz de los principales tomadores de decisiones están disponibles públicamente en línea