Fraude con deepfakes: qué debe probar Auditoría Interna
Una persona de finanzas recibe una invitación a una videollamada. Reconoce a varios compañeros, escucha las voces esperadas y recibe instrucciones urgentes para realizar transferencias. Todo parece consistente con una reunión ejecutiva real. El problema es que las personas que ve y escucha no son quienes parecen ser.
La Policía de Hong Kong ha documentado casos en los que videoconferencias pregrabadas y tecnología deepfake fueron utilizadas para apoyar fraudes de gran magnitud. En su información oficial sobre 2024, reportó dos casos de este tipo con pérdidas de aproximadamente HK$240 millones y HK$4 millones. El caso se volvió una advertencia global porque muestra algo más importante que la sofisticación técnica: cuando una organización utiliza la apariencia, la voz o la presencia en una videollamada como prueba suficiente de identidad, un deepfake puede convertir una debilidad de control conocida en una pérdida extraordinaria.
Para Auditoría Interna, la respuesta no empieza por aprender a detectar píxeles falsos. Empieza por revisar si los procesos críticos siguen siendo seguros cuando una voz, una cara o un mensaje convincente dejan de ser evidencia confiable.
El deepfake cambia la suplantación, no el objetivo del control
Los deepfakes son una forma de medios sintéticos capaces de imitar o fabricar imagen, video o audio. En fraude empresarial pueden reforzar tácticas que ya existían: ingeniería social, business email compromise, cambio fraudulento de cuentas bancarias, solicitudes urgentes de pago o suplantación de ejecutivos y proveedores.
FinCEN advirtió en 2024 sobre un aumento de reportes de actividad sospechosa relacionados con medios deepfake y herramientas de inteligencia artificial generativa. El FBI también ha explicado que los delincuentes pueden utilizar audio generado por IA para imitar voces y videos sintéticos para presentarse como ejecutivos u otras figuras de autoridad en comunicaciones en tiempo real.
La consecuencia de control es sencilla: la organización no debería tratar un canal de comunicación como un mecanismo de autenticación. Una videollamada demuestra que existe una señal audiovisual. No demuestra, por sí sola, quién controla esa señal.
Esto cambia la pregunta de auditoría. En vez de preguntar únicamente “¿el empleado reconoció a la persona?”, conviene preguntar: “¿qué evidencia independiente debía existir antes de autorizar la acción?”.
Cuatro áreas que Auditoría Interna debería probar
El riesgo se vuelve manejable cuando se traduce en controles verificables. Para un auditor generalista, cuatro áreas concentran buena parte de la exposición práctica.
| Área | Objetivo de control | Qué debería probar Auditoría Interna |
|---|---|---|
| Identidad | Confirmar que la persona que solicita una acción sensible es realmente quien dice ser. | Si las solicitudes de alto riesgo requieren verificación fuera del canal original, utilizando datos de contacto conocidos o mecanismos corporativos confiables. |
| Pago y beneficiario | Evitar que una identidad comprometida pueda redirigir fondos por sí sola. | Segregación de funciones, doble aprobación, límites, validación de cambios en cuentas bancarias y controles sobre altas o modificaciones de beneficiarios. |
| Excepciones y escalamiento | Impedir que urgencia, confidencialidad o jerarquía desactiven el proceso normal. | Qué ocurre cuando alguien solicita omitir controles, cambiar el canal habitual, acelerar un pago o mantener una operación fuera del flujo estándar. |
| Preparación y respuesta | Lograr que el personal reconozca el escenario y sepa cómo actuar. | Formación, simulaciones, canales de reporte, procedimientos de contención, registro de incidentes y aprendizaje posterior. |
La clave está en combinar estas capas. Un callback independiente sirve poco si el número utilizado proviene del mismo mensaje fraudulento. Una doble aprobación sirve poco si ambos aprobadores están sometidos a la misma videollamada manipulada. Un curso anual sirve poco si el proceso real penaliza a quien cuestiona una instrucción urgente de un superior.
El control más robusto no intenta decidir si una voz o un rostro son “reales”; evita que esa decisión sea suficiente para mover dinero, cambiar datos o revelar información sensible.
Cómo probar identidad cuando ver ya no es verificar
La prueba más importante consiste en revisar si existe verificación fuera de banda para acciones sensibles. El FBI recomienda verificar solicitudes mediante un contacto independiente, utilizando información obtenida por separado de la comunicación sospechosa. En un entorno corporativo, esto puede significar una llamada a un número ya registrado, una aprobación dentro del sistema empresarial, una confirmación presencial o un mecanismo fuerte de autenticación.
Auditoría Interna puede seleccionar una muestra de pagos de alto valor, cambios de cuenta bancaria, altas de proveedores y solicitudes excepcionales. Para cada caso, debería reconstruir el recorrido de aprobación y responder preguntas como estas:
- ¿La identidad fue confirmada mediante un canal independiente del que originó la solicitud?
- ¿El dato de contacto utilizado provenía de una fuente maestra confiable y no del correo, mensaje o llamada recibida?
- ¿Los cambios de beneficiario activaron verificaciones adicionales antes del primer pago?
- ¿La aprobación quedó registrada en un sistema con trazabilidad suficiente?
- ¿La jerarquía del solicitante podía reducir o eliminar alguno de estos pasos?
Esta última pregunta suele revelar el problema. Muchos fraudes no vencen un control técnico; explotan una excepción cultural: “es el director”, “es confidencial”, “hay que hacerlo ahora”.
La prueba de pagos debe concentrarse en los puntos donde una historia convincente puede cambiar el proceso
Los deepfakes hacen más persuasiva la historia, pero el dinero todavía sale por procesos conocidos. Por eso, una auditoría debería seguir el flujo desde la solicitud hasta la ejecución y buscar los puntos en los que una narrativa urgente puede modificar una regla.
Un programa de trabajo práctico puede incluir pruebas sobre:
- cambios recientes de cuentas bancarias de proveedores o empleados;
- pagos de alto valor realizados poco después de un cambio de beneficiario;
- operaciones aprobadas fuera del sistema habitual;
- anulaciones o sobreescrituras de límites;
- pagos urgentes, confidenciales o solicitados por altos directivos;
- concentración de creación, modificación y aprobación en la misma persona o equipo;
- evidencia de callbacks y de quién inició realmente esa verificación;
- alertas, excepciones y transacciones revertidas tras sospechas de fraude.
El objetivo no es diseñar un “control deepfake” aislado. Es comprobar que el proceso financiero resiste una identidad falsificada con alto poder de persuasión.
Este enfoque es consistente con el Fraud Risk Management Guide: Second Edition de COSO y ACFE, que estructura la gestión del riesgo de fraude como un programa continuo de gobierno, evaluación de riesgos, controles preventivos y detectivos, investigación y monitoreo. La aparición de deepfakes debería actualizar los escenarios de fraude y las respuestas existentes, no crear una disciplina separada sin conexión con el marco de control interno.
El escalamiento y la cultura son controles, no temas blandos
Una persona puede detectar algo extraño y aun así ejecutar la instrucción si la cultura favorece obedecer antes que cuestionar. Por eso Auditoría Interna debería probar no solo si existe un procedimiento de escalamiento, sino si resulta utilizable bajo presión.
Una prueba sencilla consiste en revisar incidentes y simulaciones recientes: ¿qué hicieron los empleados cuando recibieron una solicitud inusual?, ¿sabían a quién llamar?, ¿se podía detener temporalmente un pago?, ¿el área financiera recibió respaldo cuando cuestionó una instrucción de mayor jerarquía?, ¿las excepciones quedaron documentadas?
Las simulaciones pueden incorporar llamadas de voz, videoconferencias, mensajes urgentes y cambios de proveedor. No es necesario producir deepfakes sofisticados para comprobar el diseño del control. Basta con reproducir la lógica del ataque: autoridad aparente, urgencia, confidencialidad, cambio del procedimiento habitual y presión para actuar.
La organización también debería aprender de intentos fallidos. Los registros de fraude, alertas del banco, intentos de cambio de datos maestros y reportes del personal pueden revelar patrones antes de que exista una pérdida material.
El papel de Auditoría Interna es evaluar el riesgo, no autenticar cada video
Las Normas Globales de Auditoría Interna sitúan el fraude claramente dentro del trabajo profesional. La Norma 13.2 requiere que, al evaluar los riesgos de un trabajo, los auditores internos consideren específicamente los riesgos relacionados con el fraude. La Norma 4.2 también vincula el debido cuidado profesional con la consideración de la probabilidad de fraude y otros riesgos significativos.
Eso no significa que Auditoría Interna deba convertirse en un laboratorio forense de medios sintéticos. La función puede evaluar hoy el diseño y funcionamiento de controles de identidad, pagos, datos maestros, segregación de funciones, excepciones, escalamiento, concienciación y respuesta a incidentes. Cuando una conclusión dependa de determinar técnicamente si un archivo audiovisual fue manipulado, analizar metadatos, atribuir un ataque o validar herramientas biométricas, puede ser necesario incorporar especialistas de ciberseguridad, forense digital o identidad.
La frontera profesional importa. Un auditor no necesita demostrar cómo se creó un deepfake para concluir que un proceso de pago permite que una identidad no verificada autorice una transferencia material.
El riesgo de deepfakes seguirá evolucionando. La defensa sostenible no será confiar en que las personas aprendan a identificar cada falsificación, sino diseñar procesos en los que una falsificación convincente no pueda sustituir controles independientes. Para Auditoría Interna, esa es una oportunidad concreta: convertir un riesgo tecnológico intimidante en preguntas conocidas sobre autoridad, evidencia, segregación, excepciones y comportamiento.
Fuentes
- The Institute of Internal Auditors, Normas Globales de Auditoría Interna
- Hong Kong Police Force, información oficial sobre casos de fraude con deepfake
- FinCEN, Alert on Fraud Schemes Involving Deepfake Media Targeting Financial Institutions
- FBI Internet Crime Complaint Center, Criminals Use Generative Artificial Intelligence to Facilitate Financial Fraud
- COSO, Fraud Risk Management Guide: Second Edition