Viernes, seis y cuarto de la tarde. Alguien de tesorería recibe una nota de voz por WhatsApp. Es mi voz. La forma en que digo su nombre, la prisa de cuando salgo de una reunión, hasta la muletilla. Le pido que hoy salga un pago a un despacho, que es confidencial y que el lunes le explico.
Esa persona no hace nada mal. Reconoce a su jefe y obedece. Ese es justo el problema.
A nosotros no nos ha pasado todavía. Lo escribo para que, si un día pasa, la respuesta ya esté decidida.
¿Por qué mi voz ya no prueba nada?
Durante años, escuchar al jefe era la mejor confirmación posible. Un correo raro se podía dudar. Una llamada con su voz, no.
Eso se acabó. Para copiar una voz hace falta material. Yo lo he regalado sin pensarlo: entrevistas, videos, presentaciones, notas de voz en grupos donde hay gente que ni conozco. En mayo de 2025 el FBI publicó un aviso sobre mensajes de voz generados con inteligencia artificial que suplantaban a altos funcionarios. Advertía que una voz clonada puede sonar casi idéntica a la real. La agencia europea de ciberseguridad dice lo mismo desde otro ángulo: en su panorama de amenazas 2025 señala que la IA se usa especialmente en las llamadas fraudulentas y en las estafas de suplantación.
Así que lo digo con todas las letras: que suene como yo no demuestra que sea yo.
¿Cuánto cuesta un mensaje que nadie comprobó?
Este engaño tiene nombre, fraude del CEO. Forma parte de una familia que el FBI mide cada año. En 2025 su centro de denuncias registró 24.768 denuncias por compromiso del correo empresarial y 3.046 millones de dólares perdidos, según su informe anual. Entre los fraudes en línea, solo el de inversión hizo perder más dinero. Y en Europa, ENISA calcula que alrededor del 60% de las intrusiones que analizó empezaron por phishing, incluidas las llamadas fraudulentas.
Son cifras de otros países y de otras empresas. La que me quita el sueño es más pequeña: una transferencia hecha un viernes por la tarde, que el lunes ya no se puede regresar.
Lo más incómodo es que nada de esto rompe un sistema. No hay virus que detectar ni contraseña robada. Hay una persona leal que hace lo que su jefe le pide.
¿Qué le toca hacer al director general?
Mucho menos de lo que parece, pero sin ninguna excepción.
No me toca aprender a detectar voces falsas. Me toca no pedir nunca que alguien se salte el procedimiento. Cada vez que un directivo dice “esta vez mándalo, ya luego lo formalizamos”, le enseña a su equipo que la prisa del jefe es una excepción válida. Y eso es exactamente lo que el atacante va a imitar.
Me toca también agradecer que me verifiquen. Si alguien de finanzas me llama para confirmar un pago que sí pedí, eso no es desconfianza ni burocracia. Es el sistema funcionando. Quien se molesta por la comprobación está entrenando a su gente para no hacerla la próxima vez.
Y me toca decirlo en voz alta, delante de todos, antes de que haga falta. Por eso este texto.
El acuerdo
En ZetTateK la regla es esta: ninguna transferencia sale por un mensaje, por urgente que suene y por mucho que se parezca a mi voz. Se confirma por un segundo canal, uno que no eligió quien pide el dinero. Si el mensaje dice “llámame a este número”, se llama al que ya estaba en la agenda.
La tecnología ayuda a ver venir el golpe. Un SOC 24/7 puede detectar el acceso extraño al correo del director financiero antes de que llegue la nota de voz. Pero la última línea de defensa es una persona con permiso para decir “déjeme confirmarlo”.
Si quiere saber cómo están hoy los buzones de dirección y de finanzas en su empresa, empiece por la evaluación de seguridad gratuita.
Y si un día recibe un mensaje mío pidiendo dinero con prisa, haga lo que digo aquí, no lo que diga la nota de voz.
