El fraude con deepfake de voz funciona así: alguien clona la voz del gerente o del dueño con unos segundos de audio sacados de un video, un audio de WhatsApp o una entrevista, y llama o manda notas de voz al área de pagos pidiendo una transferencia urgente. La mejor protección para una empresa no es detectar la voz falsa, porque cada vez suena mejor, sino tener reglas que impidan que una sola llamada mueva dinero: confirmación por un canal distinto, doble aprobación y una palabra clave interna.
Este riesgo ya no es solo de las multinacionales. En Perú, la Policía del Callao detuvo en 2024 a una banda que clonaba la voz de empresarios para pedir depósitos a sus trabajadores. En esta guía tienes el protocolo completo que puede adoptar una MYPE o mediana empresa esta misma semana, una plantilla de reglas, las señales de alerta y qué hacer si ya te pasó.
Actualizado: octubre de 2026
En resumen
- Con herramientas gratuitas, menos de un minuto de audio puede bastar para clonar una voz, según especialistas citados por El Peruano en mayo de 2026.
- El fraude no explota una falla técnica, sino la urgencia y la jerarquía: «soy el gerente, necesito esto ya».
- La defensa más eficaz es de procesos: ningún pago se aprueba solo por una llamada, un audio o una videollamada, por más convincente que sea.
- Tres reglas cubren la mayoría de los casos: devolver la llamada a un número registrado, doble aprobación para montos altos y una palabra clave que no está en internet.
- Si ya ocurrió, llama al banco de inmediato para intentar detener la operación, guarda las evidencias y presenta la denuncia ante la Policía o la Fiscalía.
Cómo funciona el fraude con voz clonada del gerente
Los delincuentes casi nunca improvisan. El esquema suele seguir cuatro pasos:
- Investigan. Revisan LinkedIn, la web de la empresa, Facebook e Instagram para saber quién es el gerente, quién aprueba los pagos, cómo se llaman los proveedores y cuándo el dueño está de viaje.
- Consiguen la voz. Un video institucional, una entrevista en radio, una historia de Instagram o un audio reenviado de WhatsApp. Con eso alimentan una herramienta de clonación.
- Crean urgencia. Llaman o envían un audio a la persona de finanzas: «estoy en una reunión, no puedo hablar, necesito que transfieras hoy a este proveedor nuevo, mañana te explico». A veces lo combinan con un correo falso o un número de WhatsApp nuevo «porque se me malogró el celular».
- Cobran rápido. El dinero va a cuentas de terceros y se mueve en minutos para que sea difícil recuperarlo.
Una nota de El Peruano de mayo de 2026, con declaraciones de un especialista en ciberseguridad de la empresa TIVIT, resume el punto clave: el ataque aprovecha los procesos internos y la urgencia del día a día, no una vulnerabilidad informática. Por eso un antivirus no lo detiene.
Casos que muestran que no es ciencia ficción
En Perú: la banda que clonaba voces de empresarios
En marzo de 2024, según Panamericana, la Policía del Callao capturó a un sujeto que usaba inteligencia artificial para clonar la voz de empresarios y pedir depósitos a sus trabajadores. El caso salió a la luz cuando un empresario del rubro farmacéutico denunció movimientos sospechosos; en ese intento pedían S/ 30,000 a una trabajadora, y la policía estimó que la banda habría obtenido más de un millón de soles con estas estafas.
En el extranjero: la videollamada de US$ 25 millones
El caso más citado es el de la empresa de ingeniería Arup en enero de 2024: una persona del área de finanzas en Hong Kong autorizó 15 transferencias por un total de US$ 25 millones después de una videollamada en la que todos los «directivos» eran falsificaciones generadas con IA. El Peruano lo recoge en la misma nota, junto con un dato del FBI: el fraude por correo corporativo comprometido (BEC) causó pérdidas por US$ 2,770 millones en Estados Unidos en 2024.
Una MYPE peruana no mueve esas cifras, pero tampoco tiene un área de cumplimiento que revise cada pago. Para un negocio con una sola persona en tesorería, perder S/ 30,000 puede significar no pagar la planilla del mes.
Por qué las pymes son un blanco fácil
- Todo pasa por WhatsApp. Los pedidos de pago, las aprobaciones y hasta las facturas circulan por chat. Un audio con la voz del jefe es parte de la rutina.
- Una sola persona hace todo. La misma persona que recibe el pedido es la que entra a la banca por internet y transfiere.
- La jerarquía pesa. En muchas empresas familiares, cuestionar una orden del dueño se ve como desconfianza.
- El dueño es visible. Sale en videos de la marca, da entrevistas a medios regionales, publica historias. Eso es buen marketing, pero también es materia prima para clonar su voz.
- No hay un procedimiento escrito. Si nadie dijo qué hacer ante un pedido urgente, el empleado decide bajo presión.
La solución no es dejar de aparecer en redes. Es separar la confianza en la voz de la autorización del pago.
El protocolo antifraude en 6 reglas
Estas reglas no requieren comprar software. Se pueden aprobar en una reunión de gerencia y comunicar al equipo el mismo día.
1. Ningún pago se aprueba solo por voz, audio o videollamada
Es la regla madre. Una llamada, un audio o una videollamada pueden iniciar un pedido, pero nunca son la autorización. La autorización se da por el canal formal que la empresa defina: un correo corporativo, un sistema de aprobaciones o el registro en la banca por internet con dos firmas.
2. Devolver la llamada a un número registrado
Si llega un pedido urgente, la persona de pagos cuelga y llama al número del gerente que tiene guardado desde antes, nunca al que aparece en el mensaje. Si el gerente «cambió de número», se confirma por otra vía o con otra persona que lo conozca.
3. Doble aprobación desde cierto monto
Define un monto (por ejemplo, S/ 3,000) a partir del cual toda transferencia requiere a dos personas: una que la registra y otra que la aprueba. Muchas bancas por internet para empresas permiten crear usuarios con perfiles distintos (uno que registra y otro que autoriza). Pregunta a tu ejecutivo si tu banco lo ofrece y cómo activarlo.
4. Una palabra clave que no existe en internet
Acuerda con el equipo de finanzas una frase o pregunta de verificación que no aparezca en redes ni en documentos compartidos. Cámbiala cada cierto tiempo y no la escribas en el chat de WhatsApp de la empresa.
5. Proveedor nuevo o cambio de cuenta: verificación aparte
Los cambios de número de cuenta de un proveedor son otro clásico del fraude. Antes de pagar a una cuenta nueva, se confirma llamando al contacto habitual del proveedor (con el número que ya tenías) y se valida que el titular de la cuenta coincida con el RUC.
6. Permiso explícito para decir «no»
El dueño o gerente debe decirle al equipo, por escrito, que nunca será sancionado por demorar un pago para verificarlo. Sin esa frase, el protocolo se rompe la primera vez que alguien tiene miedo de hacer esperar al jefe.
Señales de alerta y qué hacer con cada una
| Señal | Por qué es sospechosa | Respuesta del protocolo |
|---|---|---|
| Urgencia extrema («tiene que ser hoy, en la próxima hora») | La prisa evita que verifiques | Pausar y devolver la llamada al número registrado |
| Pedido de confidencialidad («no le digas a nadie, es una compra reservada») | Busca saltarse la doble aprobación | Aplicar la doble aprobación igual |
| Número nuevo o «se me malogró el celular» | El canal no está verificado | Confirmar por otro canal o con otra persona |
| Cuenta bancaria nueva o de una persona natural | Es donde termina el dinero | Validar titular y RUC antes de pagar |
| El «gerente» no puede hablar más de unos segundos o solo manda audios | Las voces clonadas fallan en conversaciones largas e improvisadas | Hacer una pregunta que solo él sabría o pedir la palabra clave |
| Videollamada con cámara de mala calidad o imagen que se congela | Puede ocultar defectos del video falso | No aprobar nada en la llamada; confirmar después por el canal formal |
Ninguna de estas señales por sí sola prueba un fraude. La regla práctica es simple: si aparecen dos o más, nadie paga hasta verificar.
Plantilla de política para pagos urgentes
Puedes copiar este texto, ajustar los montos y circularlo con la firma de la gerencia. Funciona mejor si lo integras a tu política de uso de IA de la empresa, porque ambos documentos tratan sobre cómo se usa (y se abusa de) la inteligencia artificial.
- Ninguna transferencia, pago o cambio de datos bancarios se autoriza por llamada, nota de voz, videollamada o mensaje de WhatsApp.
- Todo pedido urgente de pago se verifica devolviendo la llamada al número registrado en la lista oficial de contactos de la empresa.
- Los pagos superiores a S/ [monto] requieren el registro de una persona y la aprobación de otra distinta en la banca por internet.
- Los pagos a proveedores nuevos o a cuentas nuevas se validan con el contacto habitual del proveedor y con la consulta del RUC del titular.
- Ante la duda, el colaborador tiene la obligación de pausar el pago y avisar a [nombre del responsable]. Nadie será sancionado por verificar.
- La palabra clave de verificación se comunica en persona y se cambia cada [periodo].
Reduce la materia prima: qué voz y qué datos expones
No se trata de esconder al dueño, sino de no regalar información operativa que facilita el engaño:
- Organigrama de pagos. No publiques quién aprueba las transferencias ni el correo directo de tesorería.
- Agenda en tiempo real. Publicar «esta semana estoy en una feria en China» le dice al estafador cuándo atacar. Publícalo cuando hayas vuelto.
- Audios reenviados. Las notas de voz del gerente circulan por grupos de WhatsApp con proveedores y clientes. Para órdenes importantes, mejor texto que audio.
- Cuentas protegidas. Activa la verificación en dos pasos en WhatsApp, en el correo y en la banca. Muchos ataques empiezan con una cuenta robada. Para tu web, aplica lo mismo: te lo explicamos en 2FA en WordPress sin fricción.
- Datos personales del equipo. Los nombres, cargos y teléfonos de tus colaboradores también son datos personales protegidos por la Ley 29733. Revisa qué publicas y con qué consentimiento; lo tratamos en seguridad de datos personales en Perú.
Capacita al equipo con un simulacro
Un protocolo que nadie practicó se olvida en el primer momento de presión. Haz un simulacro una vez al semestre:
- Avisa a la gerencia (no al equipo de pagos) que habrá una prueba.
- Desde un número desconocido, alguien autorizado envía un audio pidiendo un pago urgente «del gerente». No hace falta clonar ninguna voz: basta con que el pedido sea creíble.
- Observa si el equipo aplica las reglas: ¿cuelga y devuelve la llamada?, ¿pide la palabra clave?, ¿avisa al responsable?
- Comparte el resultado sin culpar a nadie y ajusta lo que falló.
Si además usas IA en el trabajo diario, aprovecha la misma sesión para hablar de los otros riesgos. En cómo entrenar a tu equipo para usar IA tienes una guía para organizar esas capacitaciones.
Si ya te pasó: las primeras horas
El tiempo es lo más importante para intentar recuperar el dinero. En este orden:
- Llama a tu banco de inmediato por la línea de emergencias o a tu ejecutivo de empresa. Pide que intenten detener o retener la transferencia y que contacten al banco de destino. Anota la hora, el número de operación y el nombre de quien te atendió.
- Guarda todas las evidencias. No borres los audios, mensajes, correos ni el registro de llamadas. Haz capturas con fecha y hora y exporta el chat de WhatsApp.
- Presenta la denuncia en una comisaría o ante la División de Investigación de Delitos de Alta Tecnología de la Policía Nacional, o directamente ante el Ministerio Público. Lleva las evidencias y el reporte del banco.
- Cambia contraseñas y revisa accesos del correo, WhatsApp Business y la banca por internet, por si el ataque empezó con una cuenta comprometida.
- Avisa a clientes y proveedores clave si crees que podrían recibir pedidos falsos en nombre de tu empresa.
En el Perú, estas conductas pueden encajar en los delitos de fraude informático y suplantación de identidad de la Ley 30096, Ley de Delitos Informáticos, modificada por el Decreto Legislativo 1591 en 2023, además de la estafa del Código Penal. La calificación exacta la define la Fiscalía según el caso.
Este contenido es informativo y no reemplaza la asesoría legal o tributaria.
Protege también a tus clientes
Los estafadores no solo suplantan al gerente frente a su equipo. También pueden suplantar a tu empresa frente a tus clientes: un «asesor» que llama con una voz parecida a la de tu vendedor y pide un adelanto a otra cuenta. Algunas medidas sencillas:
- Publica en tu web y en tus redes cuáles son tus únicas cuentas bancarias y números oficiales.
- Indica en tus comprobantes y cotizaciones que nunca pedirás pagos a cuentas personales.
- Si usas un chatbot o un agente de voz, avisa con claridad que es una IA. Además de ser una buena práctica, ayuda a que el cliente distinga lo legítimo de lo falso. Lo desarrollamos en cómo usar IA sin perder la confianza de tus clientes.
¿Quieres ordenar la seguridad digital de tu negocio?
En KOM ayudamos a empresas a usar la IA con reglas claras: políticas de uso, accesos a nombre de la empresa, verificación en dos pasos en la web y capacitaciones para el equipo. Si quieres revisar cómo está tu empresa frente a estos riesgos, escríbenos y lo conversamos.
Preguntas frecuentes
¿Existe alguna aplicación que detecte si una voz fue clonada con IA?
Existen detectores, pero ninguno es confiable al cien por ciento y los clonadores mejoran más rápido que ellos. Para una pyme, depender de un detector da una falsa sensación de seguridad. Es más eficaz una regla de proceso: ningún pago se autoriza por voz, y todo pedido urgente se confirma por un canal distinto y ya registrado.
¿El banco me devuelve el dinero si yo mismo hice la transferencia engañado?
No hay garantía. Si la operación la hizo un usuario autorizado de la empresa, el banco puede considerar que no hubo una falla de su parte. Lo que sí puede hacer es intentar retener los fondos si actúas rápido. Por eso conviene llamar de inmediato y, después, revisar con un abogado las opciones de reclamo.
¿Cuánto audio necesita un estafador para clonar una voz?
Según especialistas citados por El Peruano en 2026, puede bastar con menos de un minuto de audio y herramientas gratuitas. Un video institucional, una entrevista o varias notas de voz reenviadas pueden ser suficientes. Mientras más audio limpio haya disponible, más convincente será la imitación.
¿También pueden falsificar una videollamada en tiempo real?
Sí. Ya hubo casos en los que todos los participantes de una videollamada eran falsificaciones. Suelen tener fallas, como movimientos poco naturales o imagen que se congela, pero no conviene confiar en notarlas. La regla es la misma que con las llamadas: nada se aprueba durante la videollamada, se confirma después por el canal formal.
No necesariamente. Los videos del dueño suelen generar confianza y ventas. Lo importante es que la voz del gerente nunca sea suficiente para mover dinero dentro de la empresa. Con doble aprobación y verificación por otro canal, el audio que circula en redes deja de ser una llave para robarte.
