Una llamada con la voz de tu CEO pide una transferencia confidencial: un fraude con IA se llevó 129 millones de dólares de empresas, y una regla lo detiene

El fraude está entre las búsquedas principales en Arabia Saudita hoy, martes 10 de noviembre de 2026. Hace cinco días, la fiscalía federal de EE. UU. en Nueva York anunció cargos contra una red que usó IA para clonar las voces e imágenes de directores ejecutivos y abogados, y convenció a empleados de transferir más de 129 millones de dólares, unos 483 millones de riyales saudíes, entre 2024 y 2026. La lección para cualquier empresa: nunca envíes dinero porque la voz suena como la del jefe. Toda solicitud de transferencia fuera del proceso normal se confirma con una llamada que haces tú a un número ya registrado, más la aprobación de una segunda persona, sin excepción para los acuerdos confidenciales. (Tratamos el panorama general en nuestro artículo sobre deepfakes y fraude con IA, y los correos falsos en nuestro artículo sobre correos de phishing.)

Qué pasó, en cifras

El jueves 5 de noviembre de 2026, la Fiscalía Federal del Distrito Sur de Nueva York hizo pública una acusación formal contra 3 personas detenidas en España y el Reino Unido, cuyas solicitudes de extradición están pendientes. Todo lo que contiene la acusación son alegaciones aún no probadas ante un tribunal. El comunicado nombró 6 empresas víctimas, entre otras:

• Un sistema hospitalario de Misuri: $4,829,580.
• Un banco de Rhode Island: $2,684,580.
• Un sistema hospitalario de California: $2,968,497.
• Una empresa de tecnología financiera del Reino Unido: $11,578,474.
• Una gestora de fondos de inversión de Massachusetts: $4,639,918.
• Una empresa de comida para mascotas de Florida: $5,242,747.

Esas seis suman por sí solas unos 31.9 millones de dólares. Fíjate en que las víctimas no eran pequeños negocios descuidados: incluyen un banco, una fintech y una gestora de fondos, organizaciones con equipos financieros y controles.

Cómo se desarrolla la llamada, paso a paso

Según el comunicado de la fiscalía, el guion se repetía en el mismo orden:

1. Llama el CEO: el estafador se hace pasar por el director ejecutivo, usa IA para imitar su voz o su imagen en la llamada y pide ayuda al empleado con una operación financiera confidencial.
2. Entra el abogado: el falso CEO le dice al empleado que contacte con abogados de grandes bufetes internacionales que trabajan en la operación, y los estafadores suplantan también a esos abogados.
3. La transferencia: el falso abogado ordena una transferencia grande a una cuenta bancaria controlada por la red, en países como EE. UU., España, Portugal, Grecia, los Emiratos Árabes Unidos, Singapur, Austria, Eslovaquia y China.
4. El encubrimiento: cuando llega el dinero, se convierte en criptomonedas para ocultar su origen.

El detalle más revelador: uno de los acusados guardaba un guion escrito a mano titulado Lawyer Call, con frases pensadas para convencer a los empleados de no hablar de las llamadas con sus compañeros. El secreto no es un detalle secundario de este fraude. Es la herramienta que apaga todos los controles internos.

Por qué reconocer la voz ya no basta

El consejo de escuchar con atención ya no funciona. El informe anual 2025 del Centro de Denuncias de Delitos en Internet del FBI dice que el contenido sintético creado con IA es cada vez más difícil de detectar y más fácil de producir, y que la clonación de voz se usa para pedir transferencias. Solo en 2025:

• El centro recibió 22,364 denuncias que mencionaban la IA, con pérdidas de $893,346,472.
• Las empresas reportaron más de 30 millones de dólares perdidos en fraudes de compromiso del correo empresarial con IA.
• El compromiso del correo empresarial en conjunto costó $3,046,598,558 en 24,768 denuncias.

Son cifras de EE. UU., pero el método no tiene fronteras, y las cuentas de la propia red incluían a los Emiratos Árabes Unidos. En Arabia Saudita, el Banco Central Saudí (SAMA) señala que los métodos de fraude varían pero el objetivo es el mismo, robar tu dinero o usar tu cuenta bancaria para operaciones ilegales, y aconseja informarse solo en fuentes oficiales. Dentro de una empresa, la fuente oficial es un número que ya tienes registrado, no el número que te llamó.

5 reglas que protegen las transferencias de tu empresa

1. Devolver la llamada es obligatorio. Toda solicitud de transferencia por teléfono, video o WhatsApp, aunque sea con la voz del CEO, se confirma con una llamada que hace el empleado al número del CEO en los registros de la empresa, nunca devolviendo la llamada al mismo número ni entrando en un enlace de reunión que envió quien pide el dinero.
2. Ninguna excepción por secreto. Escríbelo en la política de la empresa: ningún acuerdo confidencial queda exento del proceso de aprobación. Dile a tu equipo que el CEO real nunca le pedirá ocultar una transferencia al responsable de finanzas. Cualquier petición de no contar nada a los compañeros significa parar de inmediato.
3. Dos aprobaciones por encima de un umbral. Fija un importe por encima del cual una transferencia necesita un segundo aprobador que no estuvo en la llamada, idealmente impuesto en tu sistema financiero y en los permisos de tu cuenta bancaria, no solo escrito en un manual.
4. Una palabra de verificación interna. Acuerda con todos los que pueden pedir transferencias una pregunta o palabra que se use solo en solicitudes de pago y nunca se escriba en correos ni chats. Un estafador puede clonar una voz, pero no puede saber lo que nunca escuchó.
5. Denuncia en horas, no en días. Si el dinero ya salió, llama a tu banco enseguida y pide que lo detenga. En 2025 el Equipo de Recuperación de Activos del FBI trabajó con los bancos en 3,900 incidentes y congeló $679,013,183, una tasa de éxito del 58%, y el factor principal fue la rapidez con que denunciaron las víctimas.

La visión de Origami

Leemos este caso como un problema de procesos más que de tecnología. La red no hackeó los sistemas de ninguna víctima. Aprovechó una sola cosa: un empleado que podía mover dinero solo y que obedecía a una voz conocida. Cuando falsificar una voz y un rostro sale barato, la única regla que se sostiene es la que no depende de que el empleado juzgue lo que oye.

Por eso, cuando creamos sistemas a medida de contabilidad, compras o pagos para empresas saudíes, ponemos el circuito de aprobación dentro del propio sistema: límites de importe, una segunda aprobación y un registro de cada solicitud y de quién la aprobó, para que ninguna llamada convincente pueda saltárselo. Si quieres revisar tu flujo de aprobación de pagos, contáctanos o consulta nuestros servicios.

En resumen: qué hacer esta semana

• Reúne a todos los que pueden enviar o aprobar pagos y explícales este caso en 10 minutos.
• Pon la regla de devolver la llamada y la regla de ninguna excepción por secreto en una política escrita que firme el equipo.
• Revisa los permisos de tu cuenta bancaria: ¿puede una sola persona enviar cualquier importe sin segunda aprobación?
• Guarda el número de fraudes de tu banco en el equipo financiero antes de necesitarlo.

Fuentes

• Departamento de Justicia de EE. UU., Fiscalía Federal del Distrito Sur de Nueva York — comunicado del 5 de noviembre de 2026: los cargos, el método de suplantación del CEO y de los abogados, las pérdidas de las seis empresas y los países donde se abrieron las cuentas.
• Centro de Denuncias de Delitos en Internet del FBI — informe anual 2025 del IC3: denuncias y pérdidas relacionadas con la IA, pérdidas por compromiso del correo empresarial y resultados de congelación de fondos.
• Banco Central Saudí (SAMA) — advertencia sobre mensajes y llamadas sospechosas: métodos de suplantación y su objetivo, y el consejo de confiar solo en fuentes oficiales.