Deepfakes y fraude del CEO en México: cómo proteger a tu empresa de estafas con voz e imagen clonadas

El 14 de septiembre de 2026 circuló un video de Luisito Comunica elogiando al Gobierno mexicano. Él nunca lo grabó. Como reportó Xataka México, era una IA: la voz, los gestos y el tono, clonados con herramientas que cualquiera descarga.

Si eso se puede hacer con el youtuber más visto del país, se puede hacer con tu director general. Y al estafador no le interesa la fama. Le interesa que la de tesorería apruebe una transferencia antes de las dos de la tarde.

Qué es el fraude del CEO y por qué ahora asusta más

El fraude del CEO es sencillo: alguien se hace pasar por el director, el contador o un proveedor para que finanzas pague o entregue un acceso. Un deepfake es un audio o video generado por IA que imita a una persona real. Juntos son un problema nuevo.

Para clonar una voz bastan unos segundos de audio. Un video institucional, una entrevista en un podcast, una nota de voz reenviada por WhatsApp. Casi cualquier director de pyme ya tiene material público de sobra.

El contexto no ayuda. Diario21 reportó un aumento de casos de phishing en México esta misma semana, y según DPL News el ransomware creció 25% en América Latina, con México concentrando 18% de los ataques. Los mismos grupos que cifran servidores también piden transferencias.

Cómo operan: la llamada, el correo y la CLABE

En nuestra experiencia, casi todos los intentos caben en tres libretos.

Libreto	Cómo se ve	Qué buscan
La llamada urgente	El “director” llama o manda una videollamada corta: está en junta, no puede hablar, hay que pagar hoy	Una transferencia rápida
El correo del jefe	Llega de un dominio casi igual al tuyo, con la firma real copiada	Que contabilidad pague o comparta contraseñas
El cambio de CLABE	Un “proveedor” avisa que cambió de banco y manda la nueva cuenta	Desviar pagos legítimos durante meses

La CLABE es el número de 18 dígitos que identifica una cuenta bancaria en México. Cambiarla por correo, sin hablar con nadie, es la forma más fácil de perder dinero sin que nadie lo note hasta que el proveedor real reclama.

Señales de alerta que casi nunca fallan

• Urgencia más secreto: “no le digas a nadie, luego te explico”.
• Un canal nuevo: el jefe siempre escribe por Teams y hoy llama de un número desconocido.
• Cambio de datos bancarios sin llamada previa.
• Alguien que no puede contestar una pregunta simple sobre la oficina.
• Viernes a las cinco de la tarde. Los estafadores conocen los horarios.

Un protocolo de verificación en tres candados

1. Segundo canal. Si la solicitud llega por correo, cuelgas y llamas al número que ya tenías en la agenda. Nunca respondes por el mismo canal ni al número que te dieron.
2. Palabra clave. El director y finanzas acuerdan una palabra que se pregunta en cualquier solicitud de dinero o acceso. Se cambia cada trimestre y no se escribe en ningún correo.
3. Doble firma. Ningún pago fuera de lo habitual sale con una sola aprobación, y todo cambio de CLABE se confirma por voz con el proveedor al teléfono de siempre.

Candados en el correo para que el jefe falso no entre

Buena parte de estos fraudes empieza por un buzón comprometido. Por eso conviene revisar cuatro cosas. La verificación en dos pasos para todos, sin excepciones para dirección. Los sellos SPF, DKIM y DMARC, que le dicen a otros servidores qué correos sí salieron de tu dominio. Alertas cuando alguien crea una regla de reenvío oculta, que es lo primero que revisamos cuando llega un caso. Y el bloqueo de dominios parecidos al tuyo.

Si quieres profundizar, ya explicamos cómo blindar el correo contra phishing con passkeys y cómo detectar a los falsos técnicos que piden acceso remoto. Es la misma familia de engaños.

En ProcessBi metemos la capacitación anti-fraude y el hardening del correo dentro de la póliza de soporte TI, y hacemos simulacros de phishing para saber quién habría hecho clic antes de que lo haga en serio.

Hablemos

¿Y en tu empresa?

Pregunta hoy en finanzas qué harían si el director llama pidiendo una transferencia urgente. Si la respuesta es “pues pagar”, ya sabes por dónde empezar.

Podemos revisar tu correo, armar el protocolo contigo y correr el primer simulacro sin costo.

Solicita tu diagnóstico sin compromiso — respondemos el mismo día hábil.