Recibiste una llamada urgente del director: ¿cómo verificas que realmente sea él?

Una persona de finanzas recibe una llamada del supuesto director general. La voz parece auténtica, conoce el nombre de un proveedor y solicita una transferencia urgente antes del cierre bancario. Pide discreción porque la operación todavía no debe comunicarse al equipo. El número incluso puede parecer conocido. La presión está diseñada para que la persona actúe antes de verificar. En ese momento, la pregunta útil no es si la voz suena real, sino si la instrucción superó el proceso de autorización de la empresa.

La inteligencia artificial ha reducido el costo de producir mensajes, imágenes, videos y audios convincentes. El FBI ha advertido que actores maliciosos utilizan voz generada por IA para suplantar a figuras públicas, relaciones personales y autoridades, así como para solicitar pagos u obtener acceso a cuentas. El informe anual 2025 del IC3 registró más de 22 mil quejas con referencias a IA y pérdidas ajustadas superiores a 893 millones de dólares; dentro de ese universo, las empresas reportaron más de 30 millones de dólares en pérdidas por fraudes BEC vinculados con IA. Son datos estadounidenses y funcionan como referencia del riesgo, no como estadística mexicana.

Buscar defectos en la voz ya no es un control suficiente. Una pausa extraña, una entonación plana o una imagen descoordinada pueden generar alerta, pero la ausencia de esos indicios no demuestra autenticidad. El atacante también puede utilizar información pública, cuentas comprometidas o datos obtenidos previamente para reproducir nombres, cargos, operaciones y estilos de comunicación. Cuando el contenido sintético mejora, la defensa debe desplazarse de la percepción individual a un proceso empresarial verificable.

Ante una solicitud urgente, aplica una pausa operativa. No confirmes datos, no compartas códigos y no ejecutes el pago durante la misma llamada. Registra quién contactó, a qué hora, desde qué número o cuenta, qué operación pidió y cuál fue la razón de la urgencia. Interrumpir temporalmente una instrucción extraordinaria no es desobedecer: es cumplir un control diseñado para proteger a la organización y a quien aparentemente emitió la orden.

Después verifica por un canal independiente previamente registrado. Cuelga y llama al número corporativo que ya figure en el directorio; utiliza una aplicación interna conocida; o solicita confirmación presencial cuando sea viable. No devuelvas la llamada al mismo número recibido ni utilices enlaces, contactos o cuentas que la propia persona remitente acaba de proporcionar. Si la solicitud involucra a un proveedor, confirma también con un contacto validado con anterioridad, especialmente cuando exista un cambio de cuenta bancaria.

La autorización financiera debe resistir la suplantación. Establece doble aprobación para pagos extraordinarios, altas o modificaciones de cuentas, anticipos, compras de activos digitales y operaciones fuera del patrón habitual. Define montos, responsables, evidencias y suplencias. Una palabra secreta puede ayudar en escenarios limitados, pero no debe sustituir la segregación de funciones, porque también puede filtrarse o compartirse indebidamente. El control central es combinar personas y canales que un solo atacante no pueda dominar.

El protocolo puede resumirse en siete decisiones: suspende la operación; conserva el mensaje o registro sin interactuar con enlaces; verifica la identidad mediante un canal alterno; confirma por separado el concepto, monto y cuenta destino; obtiene la segunda autorización; documenta la decisión; y alerta a finanzas, tecnología o seguridad cuando existan indicios de fraude. El proceso debe aplicarse sin importar la jerarquía aparente de quien solicita el pago.

Conviene ensayar el escenario antes de una crisis. Presenta al equipo una llamada ficticia con tres elementos de presión: autoridad, urgencia y confidencialidad. Mide si la persona conoce el directorio de verificación, si puede detener el pago sin temor a una sanción y si sabe a quién escalar. El simulacro no busca exhibir errores; permite detectar si las reglas son ejecutables y si la cultura organizacional respalda a quien decide verificar.

Si la transferencia ya se realizó, el tiempo es crítico. Contacta de inmediato a la institución financiera por sus canales oficiales, solicita las acciones de contención o recuperación disponibles y conserva comprobantes, números, mensajes, correos, encabezados, grabaciones y una cronología de lo ocurrido. Notifica a las áreas jurídica, financiera y de seguridad, cambia credenciales cuando exista riesgo de compromiso y evalúa las comunicaciones o denuncias que correspondan. No borres evidencia ni continúes negociando sin una estrategia coordinada.

Comienza hoy con una regla concreta: ninguna llamada, nota de voz o videollamada puede autorizar por sí sola una transferencia extraordinaria o un cambio de cuenta. Publica un directorio de verificación, designa suplentes, establece doble autorización y comunica que detener una operación sospechosa es una conducta esperada. La confianza empresarial no depende de reconocer una voz; depende de contar con un proceso que confirme la instrucción antes de mover dinero.