La IA ha potenciado el fraude corporativo. El clásico “fraude del CEO” ahora se apoya en voces clonadas y mensajes hiperrealistas que buscan engañar a departamentos financieros.

¿Cómo opera el Phishing con Inteligencia Artificial en empresas?

• Deepfakes (contenido audiovisual que sustituye la voz, el rostro o incluso el cuerpo de una persona por el de otra de forma muy realista) de directivos que ordenan transferencias.
• Emails hiperrealistas con datos internos.
• Falsos proveedores exigiendo pagos.

Miguel de Prada: «Un solo correo puede costar a una empresa cientos de miles de euros. Los ciberdelincuentes no atacan al azar: seleccionan a las compañías con procesos más vulnerables.”

Riesgos para empresas frente a phishing con inteligencia artificial

El phishing con inteligencia artificial no solo amenaza a los usuarios particulares: las empresas son un objetivo prioritario porque los fraudes pueden alcanzar importes mucho mayores y comprometer su estabilidad.

Los principales riesgos son:

1. Pérdidas económicas millonarias.
   Un solo correo falso con apariencia legítima puede desencadenar transferencias de gran volumen. Este tipo de ataques —conocidos como fraude del CEO o business email compromise— ya ha arruinado a empresas en toda Europa.
2. Robo y uso indebido de información corporativa.
   Los bots (programa informático diseñado para interactuar con usuarios simulando comportamientos humanos)  y correos fraudulentos buscan acceder a bases de datos de clientes, planes estratégicos o contratos confidenciales, que luego se filtran, venden o utilizan para chantaje.
3. Interrupción de la actividad y daño operativo.
   Un ataque exitoso puede obligar a detener operaciones críticas, bloquear pagos o paralizar la relación con proveedores. Esto implica no solo pérdidas económicas, sino también incumplimientos contractuales.
4. Daño reputacional.
   La filtración de datos de clientes o empleados afecta directamente a la confianza de inversores, consumidores y socios comerciales. La reputación, un activo intangible, suele tardar años en recuperarse.
5. Responsabilidad legal y sanciones regulatorias.
   Además del fraude, las empresas pueden enfrentarse a sanciones por no proteger adecuadamente los datos personales (RGPD) o incluso a reclamaciones de clientes y socios por incumplir sus deberes de diligencia.

Miguel de Prada: “La responsabilidad de la empresa no termina en instalar un antivirus. Si no existen protocolos de prevención y reacción, los administradores pueden responder incluso de forma personal.”

¿Qué hacer tras un incidente?

1. Activar protocolo interno.
   En empresas, debe ponerse en marcha el plan de respuesta a incidentes, informando de inmediato a los responsables de seguridad e informática. En particulares, se recomienda contactar con el banco y un abogado especializado lo antes posible.
2. Preservar evidencias digitales.
   Guardar todos los correos electrónicos, mensajes, capturas de pantalla, registros de acceso y movimientos bancarios relacionados.
   Nunca se deben borrar los archivos, ya que constituyen prueba esencial en una denuncia penal o en un procedimiento de reclamación frente a la entidad bancaria.
3. Comunicar a la AEPD (Agencia Española de Protección de Datos) si procede.
   Cuando el fraude afecta a datos personales (clientes, empleados o proveedores), la empresa está obligada a notificar la brecha a la Agencia Española de Protección de Datos (AEPD) en un máximo de 72 horas.
   Este paso no solo es legalmente obligatorio bajo el RGPD, sino que también demuestra diligencia y puede mitigar posibles sanciones.
4. Denunciar.
   El phishing con IA puede constituir delitos de estafa, suplantación de identidad, descubrimiento y revelación de secretos, entre otros.
   La denuncia debe presentarse ante Policía Nacional, Guardia Civil o directamente en los Juzgados de Instrucción.
   Cuanta más documentación se aporte, más opciones habrá de que la investigación prospere.
5. Reclamar frente al banco.
   En muchos casos, las entidades financieras son responsables de garantizar mecanismos de verificación y autenticación robustos.
   Si se demuestra que no aplicaron las medidas de seguridad adecuadas, es posible exigir la devolución de las cantidades sustraídas.
   La vía legal puede incluir reclamaciones extrajudiciales y demandas judiciales, donde la experiencia de un despacho especializado como DPG Legal resulta decisiva.

Miguel de Prada: “El error más común es silenciar el incidente. Ocultar un fraude puede multiplicar las sanciones y destruir la confianza de clientes e inversores.”

Futuro: IA contra IA en la empresa

Próximamente veremos:

• Sistemas de detección de deepfakes (contenido audiovisual que sustituye la voz, el rostro o incluso el cuerpo de una persona por el de otra de forma muy realista) corporativos.
• IA defensiva que analiza patrones de fraude en tiempo real.
• Obligaciones de reporte más estrictas en ciber-incidentes.

Para ampliar el contexto y ver ejemplos recientes de cómo la IA está cambiando el fraude, puedes visitar el artículo creado por Miguel de Prada, socio de DPG Legal: un reportaje sobre cómo el phishing “se reinventa” con técnicas de personalización y profesionalización de ataques.

https://www.diariodesevilla.es/tecnologia/phishing-reinventa-aprovecha-ia-estafa_0_2002523426.html

Glosario

• Phishing corporativo:
  Ataques dirigidos a empleados o directivos para conseguir transferencias fraudulentas, datos de clientes o accesos a sistemas internos.
• Fraude del CEO (Business Email Compromise – BEC):
  Estafa en la que se suplanta al director general u otro alto cargo mediante correos o llamadas (a veces con voz clonada) para ordenar pagos urgentes a proveedores falsos.
• Deepfake corporativo:
  Uso de IA para generar vídeos o audios falsos que imitan a directivos, con el fin de manipular decisiones o difundir información engañosa.
• Botnet:
  Red de ordenadores infectados que se controla de forma remota para lanzar ataques coordinados contra la empresa, como robos de datos o bloqueos del sistema (DDoS).
• RGPD (Reglamento General de Protección de Datos):
  Norma europea que protege los datos personales. Obliga a notificar brechas de seguridad en 72 horas y puede imponer sanciones millonarias.
• AEPD (Agencia Española de Protección de Datos):
  Organismo que supervisa el cumplimiento del RGPD en España. Puede sancionar a las empresas que no protejan correctamente los datos de clientes o empleados.