Suplantación de identidad con IA generativa: el nuevo frente de riesgo en la banca
Voces clonadas, rostros sintéticos y videollamadas falsas con directivos que nunca estuvieron ahí: la inteligencia artificial generativa está redefiniendo el perímetro de amenaza para el sector financiero. Ya no se trata únicamente de vulnerar sistemas informáticos, sino de imitar con precisión a personas e instituciones para inducir a empleados y clientes a autorizar operaciones fraudulentas. Este desplazamiento del vector de ataque —de lo técnico a lo humano— representa uno de los cambios más significativos en la gestión de riesgo bancario de los últimos años.
Tres modalidades concentran el grueso de los incidentes documentados. La primera involucra identidades sintéticas utilizadas para suplantar clientes en procesos de onboarding o atención. La segunda se basa en la clonación de voz o video para imitar a ejecutivos y simular instrucciones legítimas hacia áreas operativas o de tesorería. La tercera comprende la falsificación de sitios web, dominios y perfiles digitales que replican la apariencia de instituciones financieras para capturar credenciales o redirigir transacciones. Un caso documentado en Hong Kong en 2024 ilustra la escala del problema: un empleado transfirió aproximadamente 25 millones de dólares tras participar en una videollamada con representaciones falsas de directivos de su propia empresa. El incidente de MGM Resorts, vinculado a la manipulación de procesos de soporte técnico mediante ingeniería social avanzada, apunta en la misma dirección: los controles de identidad tradicionales son insuficientes frente a la calidad actual de los deepfakes.
Según estimaciones del Foro Económico Mundial, el fraude por ingeniería social —categoría que ahora absorbe los ataques basados en IA generativa— representa pérdidas globales superiores a los 3 billones de dólares anuales. Gartner proyecta que para 2026, el 30% de las empresas considerará que sus mecanismos de autenticación basados en biometría facial son insuficientes sin capas adicionales de verificación. Ante este escenario, las instituciones financieras están evaluando un conjunto de controles complementarios: pruebas de vida dinámicas, análisis de comportamiento en tiempo real, autenticación multifactor resistente a phishing y protocolos de verificación fuera de banda para autorizar transferencias de alto valor. La premisa que orienta este replanteamiento es directa: en el entorno actual, la voz y el rostro han dejado de ser prueba suficiente de identidad. Las organizaciones que no actualicen sus modelos de confianza digital enfrentan una exposición creciente que no requiere que sus sistemas sean comprometidos, sino únicamente que sus personas sean engañadas.
