Deepfake del CEO: un escenario de simulacro listo para usar

5 de octubre de 2026 · 6 min de lectura · También en inglés

Un escenario completo para ensayar con tu equipo directivo una transferencia urgente pedida por una voz o un video falso del CEO.

En 2024, un empleado de finanzas de la oficina de Arup en Hong Kong transfirió unos 25 millones de dólares después de una videollamada en la que el director financiero y varios colegas eran falsos, generados con deepfake. No hubo malware ni intrusión en la red: solo personas convencidas de estar hablando con quien no eran.

Clonar una voz hoy requiere unos pocos minutos de audio público. Por eso este escenario ya no es ciencia ficción, y por eso conviene ensayarlo con la dirección antes de que ocurra. Aquí tienes uno listo para usar en una hora.

El escenario

Contexto: viernes, 17:40. El CEO está de viaje y es difícil de contactar. Tesorería cierra los pagos a las 18:30.

Evento 1 · La llamada

El CFO recibe una llamada desde un número desconocido. Es la voz del CEO, con su tono y sus muletillas: "Estamos cerrando una adquisición confidencial. Necesito que salga hoy una transferencia de 2,4 millones a la cuenta del abogado externo. No lo comentes con nadie hasta el lunes". Minutos después llega un correo de un supuesto bufete con los datos bancarios.

Preguntas por rol:

CFO: ¿autorizas la transferencia, la retienes y verificas por otro canal, o pides que la apruebe un segundo directivo?
CISO: el correo pasó los filtros. ¿Bloqueas el dominio, analizas los encabezados o avisas a toda la empresa?
Director Legal: si la adquisición fuera real, ¿qué implicaría filtrarla? ¿Y si no lo es?

Lo que muestra: si existe un procedimiento de verificación por un canal independiente (devolver la llamada a un número conocido, una palabra clave acordada) y si alguien se siente con autoridad para frenar una orden del CEO.

Evento 2 · La videollamada

El "CEO" insiste y propone una videollamada con el "abogado externo". La imagen es algo pixelada; él dice que tiene mala conexión en el aeropuerto. Tesorería pregunta si libera el pago.

CFO: ¿qué preguntas harías en la llamada para confirmar la identidad?
CEO (el real, cuando por fin contesta un mensaje): ¿qué instrucciones das y a quién?
CISO: ¿cómo conservas la evidencia (grabación, registros, correos) para el banco y las autoridades?

Lo que muestra: si el equipo sabe que el video ya no es prueba de identidad, y si hay un contacto directo con el banco para frenar o recuperar una transferencia.

Evento 3 · El audio en redes

El lunes circula en redes sociales un audio del "CEO" con comentarios ofensivos sobre un cliente. Es falso, pero suena igual.

Director de Comunicación: ¿desmientes de inmediato, esperas un análisis forense o no respondes?
CEO: ¿das la cara en público?
Director Legal: ¿denuncias, pides la retirada a las plataformas o ambas?

Lo que muestra: si existe un plan de comunicación para la suplantación de directivos, no solo para incidentes técnicos.

Qué controles deberían aparecer en el análisis

Verificación por canal independiente para cualquier pago urgente o fuera de proceso, aunque la orden venga del CEO.
Doble aprobación y límites por importe, sin excepciones "confidenciales".
Una palabra clave o pregunta de seguridad acordada entre los directivos.
Un contacto en el banco para pedir la retención o el retiro de una transferencia en minutos, no en días.
Un protocolo de comunicación para desmentir audios o videos falsos.
Formación específica para finanzas y asistentes de dirección, que son el objetivo habitual.

Cómo conducirlo

Pide que cada directivo decida en privado antes de discutir. En este escenario es especialmente importante: la presión de la jerarquía es justo lo que explota el atacante. Si el CFO solo frena el pago cuando ve que los demás también lo harían, el control no existe.

Pon un reloj en cada evento. Al atacante le interesa la prisa; al ejercicio también.

Preguntas para el análisis final

¿Quién tenía autoridad para frenar el pago, y lo sabía?
¿Qué parte del procedimiento dependía de "conocer la voz" del CEO?
¿Cuánto tardamos en hablar con el banco?
¿Qué haríamos distinto el próximo viernes a las 17:40?

Este escenario está incluido en Critios como "La voz del CEO", en español e inglés, con decisiones privadas por rol y un informe con los tiempos y las brechas encontradas. Prueba la demo o simula tus crisis con nosotros.