10 ejemplos de deepfakes: casos reales de fraude y cómo detectarlos (2026)

En resumen: un «deepfake» es un archivo de audio, un vídeo o una imagen creada con inteligencia artificial que muestra a una persona real diciendo o haciendo algo que nunca ocurrió. Los diez ejemplos de «deepfakes» que se recogen a continuación son casos documentados entre 2019 y 2026, desde la videoconferencia de 200 millones de HK$ en Arup hasta un falso primer ministro neerlandés que vendía inversiones en Facebook. Seis de los diez casos tenían como objetivo una empresa. El patrón es siempre el mismo: un rostro o una voz conocidos, una solicitud urgente y confidencial, y un canal de comunicación diferente al habitual. Los intentos que fracasaron fueron frustrados por un empleado que verificó la información, no por alguien que detectara un fallo técnico.

Qué es un «deepfake» y por qué supone un problema para las empresas

La información de partida es pública: los atacantes que se dirigieron contra WPP utilizaron un vídeo del director general publicado en YouTube. Para una empresa, el deepfake rara vez constituye el ataque en sí mismo. Se trata de una capa convincente que se suma a técnicas habituales de ingeniería social, como el fraude del director general o el vishing. El procedimiento para detenerlo se explica paso a paso en nuestra guía de formación sobre concienciación en materia de deepfakes.

• La llamada viene después. La mayoría de los contactos comerciales empiezan por WhatsApp o por correo electrónico. El «deepfake» viene después para disipar cualquier duda.
• El punto débil es la petición, no la calidad. Urgente, secreta y relacionada con el dinero o el acceso.
• El procedimiento prevalece sobre la percepción. Volver a llamar y formular una pregunta de control detuvo los intentos que se describen a continuación.

Los 10 ejemplos de deepfake de un vistazo

Los 10 ejemplos de deepfake en detalle

1. Empresa energética del Reino Unido (2019): una voz clonada y 220 000 €

Qué ocurrió: En marzo de 2019, el director general de una empresa energética británica recibió una llamada de quien parecía ser el director general de su empresa matriz alemana, en la que le pedía 220 000 € para un proveedor húngaro en el plazo de una hora. Según la aseguradora Euler Hermes, el director general pagó la cantidad.

La moraleja: solo la tercera llamada, procedente de un número austriaco, le hizo sospechar. Una llamada de respuesta al número conocido habría puesto fin a todo.

2. bunq (2023): el empleado neerlandés que comprobó

Qué ocurrió: Un empleado del banco holandés bunq recibió un mensaje de WhatsApp del «director general Ali Niknam» sobre una adquisición que requería un pago inicial urgente, al que siguió una videollamada con un falso Niknam, según informó la NOS.

La lección: se atribuyó la imagen pixelada a una mala conexión. El empleado no pagó y lo consultó con el auténtico Niknam.

3. Arup (2024): 200 millones de HK$ tras una videoconferencia

Qué ocurrió: En enero de 2024, un empleado de la oficina de Arup en Hong Kong participó en una videoconferencia con el director financiero y varios compañeros, todos ellos clones digitales. Realizó 15 transferencias: 200 millones de dólares de Hong Kong, unos 20 millones de libras esterlinas (25,6 millones de dólares estadounidenses). Arup confirmó que «se utilizaron voces e imágenes falsas».

La lección: solo salió a la luz cuando preguntó a la sede central. Varias caras conocidas en una misma llamada siguen siendo un solo canal.

4. Llamada automática de Biden (2024): un «deepfake» dirigido a los votantes

Qué ocurrió: Dos días antes de las primarias de New Hampshire de enero de 2024, miles de votantes recibieron una llamada con una voz generada por IA que se parecía a la del presidente Biden, en la que se les decía que guardaran su voto para noviembre. El consultor responsable de esta acción fue multado con 6 millones de dólares por la FCC; un jurado lo absolvió de los cargos penales en 2025.

La lección: los empleados se encuentran con este tipo de personas en su vida cotidiana. La norma es la misma: una voz conocida no es una fuente fiable.

5. LastPass y WPP (2024): dos directores generales en WhatsApp

Qué ocurrió: Un empleado de LastPass recibió llamadas, mensajes de texto y un mensaje de voz en WhatsApp con un «deepfake» de audio del director general, según informó la empresa. En WPP, los atacantes utilizaron una cuenta de WhatsApp con la foto del director general, Mark Read, para organizar una reunión en Teams con un clon de voz e imágenes de YouTube.

La lección: ambos contactos se produjeron al margen de los canales habituales de la empresa. El empleado de LastPass los ignoró y lo notificó. Ninguna de las dos empresas sufrió pérdidas.

6. Ferrari (2024): la pregunta que la persona que llamó no supo responder

Qué ocurrió: En julio de 2024, un directivo de Ferrari recibió mensajes de WhatsApp y, posteriormente, una llamada del «director general Benedetto Vigna» —con acento del sur de Italia incluido— sobre una importante adquisición y una operación cambiaria, según informó The Drive, citando a Bloomberg.

La lección: Le preguntó qué libro le había recomendado Vigna recientemente. La persona que llamaba colgó. Una pregunta personal no cuesta nada.

7. KnowBe4 (2024): el «deepfake» que solicitó un puesto de trabajo

Qué ocurrió: La empresa de concienciación en materia de seguridad KnowBe4 contrató a un ingeniero de software que resultó ser un falso trabajador de TI procedente de Corea del Norte. Utilizó una identidad estadounidense robada y una foto de archivo retocada con inteligencia artificial, y superó cuatro entrevistas por videoconferencia, según informó CyberScoop.

La lección: su nuevo ordenador portátil se infectó con malware nada más recibirlo, y el sistema de seguridad lo contuvo en unos 25 minutos. Comprueba la identidad más allá de la videollamada.

8. Guido Crosetto (2025): la voz de un ministro, una cuenta bancaria en los Países Bajos

Qué ocurrió: En febrero de 2025, el «ministro de Defensa, Guido Crosetto», se puso en contacto con varios líderes empresariales italianos y les pidió alrededor de un millón de euros para liberar a unos periodistas secuestrados. Según informó Reuters, el expropietario del Inter de Milán, Massimo Moratti, pagó casi un millón de euros.

La lección: un ministro no pide dinero a los ciudadanos. Moratti presentó una denuncia y la policía congeló el dinero en una cuenta bancaria holandesa.

9. Dick Schoof (2025): el primer ministro como agente de inversiones

Qué ocurrió: En junio de 2025, la organización de consumidores neerlandesa Consumentenbond alertó sobre un vídeo «deepfake» en el que el primer ministro Dick Schoof parece presentar una plataforma de inversión. Los estafadores lo difundieron a través de anuncios en Facebook.

La lección: este es el «deepfake» que los empleados ven primero, en su propio móvil. Ningún político promociona inversiones en un anuncio.

10. Singapur (2026): un primer ministro en Zoom

Qué ocurrió: En mayo de 2026, la policía de Singapur alertó sobre una víctima que perdió al menos 4,9 millones de dólares singapurenses tras una llamada por Zoom en la que se utilizaron vídeos falsificados (deepfakes) del primer ministro Lawrence Wong y otros funcionarios. La petición: una financiación urgente relacionada con el estrecho de Ormuz, que el Gobierno se comprometía a reembolsar.

La lección: el correo electrónico de seguimiento procedía de una dirección de proton.me. Los gobiernos no piden a los particulares que transfieran dinero.

Los cuatro tipos de deepfakes

• Clon de voz: una llamada o un mensaje de voz con una voz familiar, como en los ejemplos 1, 5, 6 y 8.
• Videollamadas en directo: participantes falsos en Teams o Zoom, como ha ocurrido en bunq, Arup y en Singapur.
• Vídeo pregrabado: un fragmento que se difunde a través de anuncios o redes sociales, como el vídeo de Schoof.
• Identidad sintética: una identidad robada o inventada con una foto retocada mediante IA, que se utiliza para conseguir un empleo, como en el caso de KnowBe4.

Cómo reconocer un deepfake y por qué el método de «detectar el fallo» está perdiendo eficacia

Los consejos clásicos siguen siendo válidos: labios que van por detrás del sonido, parpadeos poco naturales, un rostro que se difumina cuando se pasa una mano por delante, una voz monótona o ligeramente mecánica.

Sin embargo, como método de control, el ojo experto está fallando. En una prueba realizada en 2025 por iProov entre 2.000 consumidores del Reino Unido y Estados Unidos, solo el 0,1 % identificó correctamente todo el contenido real y falso. En el caso de Ferrari, el acento era casi perfecto. En el de bunq, la mala calidad de la imagen se atribuyó simplemente a una mala conexión.

Lo que sigue siendo reconocible es la petición. En los diez ejemplos, el contenido delató el fraude antes de que lo hicieran los píxeles: urgencia, secretismo, un canal inusual y, al final, dinero o acceso.

Lo que sí funciona: comprobaciones que no dependen de la vista

1. Devuelve la llamada a un número que ya tengas. Nunca al número que aparece en el mensaje.
2. Principio de los «cuatro ojos» en los pagos. Se requiere una segunda persona que autorice las transferencias de importe elevado y cualquier cambio en los datos bancarios.
3. Una frase clave o una pregunta personal. Acordada entre la dirección, el departamento financiero y los asistentes, y que nunca se anota en el chat.
4. Cambia de canal. Confirma la solicitud por WhatsApp o por videollamada a través de otro canal.
5. Denuncia cada intento. El siguiente objetivo suele ser un compañero de trabajo.

Cómo formar a los empleados sobre los «deepfakes»

Empieza por los puestos que pueden gestionar fondos o conceder acceso: el departamento financiero, los asistentes ejecutivos, RR. HH. y los responsables de selección de personal, así como el servicio de asistencia informática. Preséntales casos prácticos, no solo teoría. Los diez ejemplos anteriores funcionan porque son reales y encajan perfectamente con los ataques que se recogen en nuestra descripción general de los tipos de ataques de phishing.

A continuación, practica el procedimiento en sí. ¿A quién llamas, a qué número, y qué ocurre con el pago mientras tanto? La dirección debe dejar claro que se agradece que les devuelvan la llamada. Es mejor que sea breve y frecuente que una sola sesión al año: Guardey propone a cada empleado un reto gamificado de unos tres minutos cada semana, que incluye simulaciones de phishing.

Preguntas más frecuentes

¿Cuál es un ejemplo de «deepfake»?

Una videollamada en la que el director financiero y sus compañeros son personajes generados por IA, como ocurrió en Arup en 2024. Otros ejemplos son una llamada con la voz clonada de un consejero delegado (Ferrari) y un vídeo falso de un político promoviendo inversiones (Dick Schoof).

¿Hay ejemplos de deepfakes en neerlandés?

Sí. En 2023, un empleado de bunq fue víctima de una videollamada falsa del director general, y en 2025 apareció un «deepfake» del primer ministro Dick Schoof en anuncios de inversión en Facebook.

¿Aún eres capaz de detectar un «deepfake» si lo miras con atención?

A veces, pero no te fíes. En la prueba de iProov, solo el 0,1 % de los participantes acertó todas las preguntas. La verificación a través de un segundo canal funciona independientemente de lo buena que sea la falsificación.

¿Qué debes hacer si ya se ha transferido el dinero?

Llama a tu banco inmediatamente y denuncia el hecho a la policía. En Singapur, en marzo de 2025, un director financiero envió 499 000 dólares estadounidenses tras una llamada por Zoom con un vídeo falsificado mediante deepfake. Avisó a su banco un día después, y la policía localizó y retuvo el dinero al día siguiente.