El 41 % de los CISOs encuestados por Gartner afirma haber registrado al menos un incidente de ingeniería social relacionado con un deepfake durante una llamada de audio en los últimos 12 meses. En las videollamadas, el porcentaje fue del 36 %. Los datos proceden de una encuesta realizada entre marzo y mayo de 2026 a 297 responsables sénior de ciberseguridad.
No es solo un problema de vídeos falsos
Cuando se habla de deepfakes suele pensarse en vídeos manipulados de políticos o celebridades. En seguridad corporativa, el riesgo más inmediato puede ser mucho más cotidiano: una llamada de voz en la que alguien imita a un directivo, un proveedor o un compañero y solicita una acción sensible.
El atacante no necesita necesariamente crear una réplica perfecta. Puede combinar una voz sintética con información pública sobre la empresa, correos anteriores, redes sociales y datos obtenidos de otras filtraciones. Cuanto más contexto tenga, más convincente puede resultar la petición.
Qué encontró exactamente Gartner
La encuesta de Gartner recoge tres cifras que ayudan a poner el problema en contexto:
- 41 % de los CISOs informó de al menos un incidente con deepfake durante una llamada de audio.
- 36 % registró al menos un incidente de este tipo durante una videollamada.
- 79 % sufrió al menos un incidente de phishing, spear phishing o compromiso de correo corporativo durante el mismo periodo.
Los porcentajes no significan que el 41 % de las empresas haya sido víctima de un fraude económico ni que todos los incidentes hayan terminado en una intrusión. La encuesta mide que los responsables de seguridad reportaron al menos un incidente o intento relacionado con esas técnicas.
Por qué la voz puede ser especialmente peligrosa
Una llamada telefónica tiene una ventaja para el atacante: muchas empresas siguen asociando la voz con una comunicación más fiable que un correo electrónico. Si además la persona conoce el nombre de compañeros, proyectos, proveedores o procesos internos, la petición puede parecer perfectamente normal.
La IA reduce el coste de preparar esa suplantación. El atacante puede generar audio, adaptar el idioma y combinarlo con información recopilada previamente. La barrera ya no es producir una imitación técnicamente perfecta, sino conseguir suficiente contexto para que la petición parezca plausible.
El error es intentar detectar el deepfake a oído
Gartner recomienda desplazar el foco desde “¿suena real?” hacia “¿está verificada la acción?”. El problema es que los artefactos de una voz sintética pueden desaparecer a medida que mejoran los modelos y que la calidad de las llamadas varía mucho.
Para una transferencia bancaria, cambio de cuenta, recuperación de contraseña o concesión de privilegios, la empresa debería exigir un segundo canal de verificación independientemente de que la voz parezca auténtica.
Cómo reducir el riesgo
- Define procesos de verificación: una petición sensible debe confirmarse mediante un canal independiente.
- Protege las cuentas críticas: utiliza autenticación resistente al phishing y controles adicionales para recuperación de cuentas.
- Limita privilegios: una llamada convincente no debería bastar para conceder acceso administrativo.
- Registra las solicitudes: documenta cambios de cuentas, pagos, permisos y operaciones sensibles.
- Entrena con escenarios reales: incluye voz, vídeo, mensajería y colaboración, no solo correos de phishing.
La identidad no termina cuando alguien inicia sesión
Una parte especialmente importante del análisis de Gartner es que el problema no acaba con la autenticación. Un atacante que consigue hacerse pasar por un empleado puede intentar recuperar una cuenta, añadir un dispositivo, elevar privilegios o cambiar datos de pago.
Por eso las empresas deberían correlacionar señales de suplantación con cambios de contraseña, nuevos dispositivos, modificaciones de permisos y operaciones financieras. Una llamada sospechosa aislada puede ser difícil de detectar; varias señales juntas pueden revelar el ataque.
Los deepfakes se suman a técnicas que ya funcionan
La encuesta muestra también que las técnicas tradicionales siguen teniendo mucho peso. El 79 % de los CISOs consultados informó de al menos un incidente de phishing, spear phishing o compromiso de correo corporativo, mientras que el 58 % reportó algún incidente de vishing o smishing.
Esto significa que la IA no está sustituyendo el phishing clásico. Está ampliando el conjunto de herramientas disponibles para hacerlo más personalizado y convincente.
Qué debería cambiar en un plan de respuesta
Los equipos de seguridad deberían incorporar incidentes de suplantación multimodal a sus procedimientos: llamadas falsas, vídeos manipulados, instrucciones generadas por IA y agentes que puedan actuar fuera del contexto previsto.
La defensa más sólida no consiste en enseñar a todos los empleados a reconocer una voz artificial. Consiste en diseñar los procesos para que una voz, por convincente que sea, no tenga autoridad suficiente para ejecutar por sí sola una operación crítica.
Fuente: Gartner, encuesta publicada el 22 de septiembre de 2026 sobre ingeniería social impulsada por IA. La muestra fue de 297 responsables sénior de ciberseguridad y el trabajo de campo se realizó entre marzo y mayo de 2026.
Relacionado en BitZeta: Android Security State Libraries y seguridad móvil.
Fuente oficial: INCIBE-CERT.
Deja una respuesta