El uso de la inteligencia artificial ha dejado de ser un simple tema de innovación y se ha convertido en una preocupación real en términos de seguridad.
Fraudes “a la carta” en foros clandestinos
En Colombia, está surgiendo un mercado criminal donde se ofrecen servicios de deepfakes: desde clonación de voz hasta videollamadas falsas y suplantación digital, todo disponible en foros clandestinos como si fueran productos comunes.
Lo que antes requería semanas de preparación, con múltiples actores involucrados y complicadas maniobras de ingeniería social, ahora se puede solicitar en cuestión de minutos. En sitios especializados, se venden paquetes que incluyen voces clonadas para autorizar pagos, videollamadas falsas de supuestos ejecutivos y identidades digitales sintéticas que logran pasar por procesos de onboarding remoto sin levantar sospechas.
El auge de los deepfakes-as-a-service en Colombia
Edwin Sabogal Rojas, Gerente Regional de Ciberseguridad para Latinoamérica en Aon, resume este cambio de escenario: ahora, muchos fraudes que antes eran aislados “se pueden adquirir como un servicio barato y reutilizable” en estos mercados oscuros. Y la situación no ayuda:
Cifras de ciberataques y riesgo creciente
Según datos del MinTIC, en 2024 se registraron cerca de 36.000 millones de intentos de ciberataque en Colombia, un volumen que refleja la magnitud del problema en un entorno donde las herramientas basadas en IA aumentan la capacidad ofensiva de los delincuentes.
La Encuesta Global de Gestión de Riesgos 2025 de Aon posiciona los ciberataques y las filtraciones de datos como el principal riesgo empresarial tanto en el presente como en los próximos años. Los expertos subrayan una idea incómoda: el fraude está evolucionando más rápido que las defensas. En América Latina, los incidentes cibernéticos han crecido en promedio un 25 % anual en la última década, y Colombia concentra alrededor del 8 % de los ataques en la región, solo superada por Brasil y México.
Deepfakes: el terreno perfecto para el fraude empresarial
En este contexto, los deepfakes —clones de voz, rostros generados por IA y videos manipulados— se han convertido en un terreno especialmente fértil para el fraude. Los ciberdelincuentes suelen apuntar a sectores que están altamente digitalizados y manejan grandes volúmenes de operaciones, como la banca y los servicios financieros, el transporte, las firmas de servicios profesionales y el comercio minorista.
El impacto de estos fraudes no se limita solo a pérdidas económicas directas. Sabogal destaca que el verdadero daño radica en la confianza: las interrupciones operativas, las sanciones regulatorias, los litigios, el daño a la reputación, la fuga de clientes y la renegociación o cancelación de contratos. Todo esto incrementa el costo de hacer negocios y afecta la posición de la empresa frente a sus socios y en el mercado.
Para anticipar estos escenarios, herramientas como CyQu o los Cyber Impact Assessments permiten modelar el impacto de un ataque que utilice deepfakes y traducirlo a métricas financieras: cuánto podría costar una brecha, qué riesgos es mejor mitigar, cuáles se pueden aceptar y cuáles es sensato transferir mediante pólizas de ciberseguro especializadas.
Qué hacer si una organización sospecha de un deepfake
Cuando hay sospechas de que un fraude involucra un deepfake, el tiempo es esencial. Las recomendaciones son actuar en tres frentes al mismo tiempo:
Contención inmediata
- Suspender o revisar las transacciones en curso.
- Bloquear accesos, credenciales o canales que puedan estar comprometidos.
- Alertar a los equipos financieros, de seguridad y legales.
Preservación de evidencia
- Guardar grabaciones de llamadas, videollamadas, correos y mensajes.
- Conservar registros de sistemas, logs y trazas de movimientos sospechosos.
- Documentar cronológicamente lo ocurrido para facilitar el análisis forense y las posibles acciones legales.
Notificación y coordinación
- Informar a bancos, proveedores críticos y socios estratégicos.
Es fundamental valorar la comunicación con las autoridades competentes y, si es necesario, con los reguladores. También es importante evaluar una estrategia de comunicación externa en caso de que el incidente pueda llegar al público o a los clientes. Una respuesta que no esté bien coordinada o que llegue tarde puede agravar los daños, especialmente en situaciones donde los ataques se propagan rápidamente o afectan a cadenas de suministro enteras.
Ciberresiliencia: más allá de la tecnología
Desde Aon nos recuerdan que la ciberresiliencia no es solo un desafío para el departamento de TI. Implica decisiones a nivel directivo, una cultura corporativa sólida y formación continua. Algunos elementos clave son:
Liderazgo estratégico:
La alta dirección debe involucrarse en la gestión del riesgo cibernético, integrándolo en la agenda del negocio, no solo en la tecnológica.
Formación periódica:
Realizar simulaciones y ejercicios que reproduzcan intentos de fraude a través de voz, video o mensajería, para capacitar a los equipos en la detección de señales de alerta.
Simulaciones de crisis:
Pruebas de respuesta ante incidentes complejos que incluyan deepfakes, extorsión, robo de datos o interrupciones de servicio.
Herramientas como CyQu, pruebas de Red Team o plataformas de monitoreo continuo como CyberScan son útiles para identificar vulnerabilidades reales y priorizar las medidas de protección. Con el enfoque de Cyber Loop, se propone un ciclo constante de evaluación, mitigación y ajuste, reconociendo que el riesgo cambia más rápido que los controles, por lo que la revisión debe ser continua y no solo puntual.
Preguntas frecuentes sobre deepfakes-as-a-service y fraude en Colombia
¿Qué es exactamente un “deepfake-as-a-service”?
Es un servicio ofrecido en el mercado del cibercrimen en el que un tercero crea, por encargo, contenidos manipulados con IA: desde voces clonadas hasta videos falsos que imitan a una persona real. Así, cualquier delincuente —aunque no tenga conocimientos técnicos avanzados— puede usar estos recursos para engañar a empleados, clientes o proveedores y ejecutar fraudes sofisticados.
¿Qué medidas básicas puede adoptar una empresa para reducir el riesgo de fraude con deepfakes?
Además de invertir en ciberseguridad, es fundamental cambiar procesos. En operaciones sensibles (pagos elevados, cambios de cuenta bancaria, autorizaciones urgentes, etc.) no se debería confiar únicamente en la voz o en una videollamada. Es recomendable exigir un segundo factor de verificación, como confirmación por canales oficiales, doble aprobación interna o códigos de seguridad previamente acordados. La formación continua del personal y los simulacros también son cruciales.
¿Qué sectores en Colombia están siendo más atacados con estas tácticas?
Los principales objetivos son los sectores más digitalizados y con gran volumen de transacciones: bancos y entidades financieras, empresas de transporte y logística, firmas de servicios profesionales y comercio minorista. El elevado flujo de operaciones y la presión por responder rápido los convierte en entornos especialmente atractivos para quienes intentan explotar deepfakes y otras técnicas de fraude avanzado.
