Las defensas contra el fraude de su empresa no están preparadas para las amenazas de la IA

De HBR.org

Un empleado del departamento de finanzas de la oficina de Hong Kong de la empresa británica de ingeniería Arup recibió un correo electrónico de alguien que creyó era el director financiero de la empresa en el Reino Unido, en el que se detallaba una transacción confidencial. El correo electrónico parecía legítimo en su forma, pero el empleado sospechó e hizo lo que su capacitación le enseñó: verificar. Los delincuentes estaban preparados para eso y organizaron una videollamada. Cuando el empleado se conectó, el director financiero estaba en la llamada, junto con colegas a quienes el empleado conocía de vista y de voz, y le dijeron que siguiera adelante. Él confió en lo que había visto y completó quince transferencias, por un total aproximado de 200 millones de dólares de Hong Kong (unos 25 millones de dólares estadounidenses). Sin embargo, todas las personas en esa llamada habían sido generadas por IA a partir de videos de los colegas disponibles públicamente.

La parte de esta estafa que debería preocupar a los ejecutivos no es el video ultrafalso, o deepfake. Lo que debería ser motivo de preocupación es que Arup afirmó posteriormente que ninguno de sus sistemas internos había sido vulnerado y, hasta donde se sabe, eso es cierto.

El caso de Arup no es único. En 2025, el Centro de Denuncias de Delitos en Internet del FBI, dirigido por colegas míos en el FBI, registró 20,9 millardos de dólares en pérdidas reportadas, de los cuales 3,05 millardos correspondieron a vulneraciones en el correo electrónico empresarial.

Las instituciones siguen reforzando la seguridad de las plataformas de pago, autenticando identidades, monitoreando transacciones y verificando a los proveedores, y el esfuerzo a menudo da sus frutos: ahora es mucho más difícil vulnerar los sistemas individuales. Por eso, los estafadores los eluden. Proteger un sistema y proteger una transacción son tareas diferentes, y muchas instituciones solo se ocupan de la primera.

Fíjate en cómo se procesan la mayoría de los pagos de gran volumen. Comienzan como un correo electrónico, se convierten en una autorización, llegan a una plataforma de pagos, salen como un mensaje dirigido a un banco corresponsal y terminan como una partida en el libro mayor: seis funciones, cuatro sistemas, dos jurisdicciones, una transacción. Cada uno de esos entornos puede ser hermético, pero los puntos de cruce entre ellos, las "costuras", no lo son.

Los estafadores financieros de hoy en día buscan esas brechas de la misma manera que un ciberdelincuente tradicional se mueve lateralmente a través de una red. Para un delincuente, el primer sistema rara vez es el objetivo; es la ruta hacia el siguiente.

Mapea la transacción, no el organigrama

La mayoría de las grandes instituciones ya cuentan con más marcos de trabajo de los que pueden utilizar, y cada uno nuevo agrega sus propias "costuras". Lo que tal vez les falte es un mapa.

Para empezar a abordar este problema, elige los tres o cuatro flujos de mayor valor o mayor velocidad en el negocio. Rastrea cada uno desde su origen hasta la entrada contable final, a través de funciones y entidades legales, tal como lo haría un auditor. Acto seguido, marca cada transición en la que:

-- La información cambia de manos

-- La autoridad cambia de manos

-- El valor cambia de forma

-- La jurisdicción cambia

-- La responsabilidad cambia

Esas son las "costuras", o puntos de unión: los lugares donde una transacción está más expuesta y menos controlada. En cada punto de unión, hazte tres preguntas:

1. ¿Qué supone el sistema receptor sobre lo que acaba de recibir?

2. ¿Qué evidencia recibe realmente, en contraposición a lo que todos suponen que recibe?

3. ¿Quién verifica esa evidencia a través de un canal que el remitente no controla?

La mayoría de las verificaciones se centran en confirmar que un documento esté bien estructurado, en lugar de verificar si el hecho que lo sustenta es cierto. Pregúntate qué pasa cuando la evidencia es falsa pero está perfectamente formateada: ¿la respuesta es que no pasa nada?

La tercera pregunta es la clave de la solución. El empleado de Arup verificó la solicitud a través de una videollamada que los delincuentes habían organizado. La verificación que habría funcionado era una llamada que él mismo hubiera iniciado, a un número del directorio de la empresa. Cada verificación de este tipo genera fricción, y cada empresa debe decidir cuánto riesgo está dispuesta a aceptar a cambio de la rapidez y la facilidad de uso.

Designa a una persona para cada "costura" en esos flujos prioritarios, con una respuesta por escrito a las tres preguntas y la autoridad para detener un pago que no se pueda verificar. Esa persona nunca debe ser quien solicita, aprueba o procesa el pago. Cuando el mismo empleado puede tanto realizar un pago como confirmarlo, no existe una verificación independiente. Los investigadores observan constantemente esa brecha en los casos de malversación en pequeñas empresas. La IA agrava la situación. Averigua cuánto tiempo toma realmente detener los pagos antes del día en que necesites hacerlo. Ese pequeño punto de fricción casi nunca existe donde prospera el fraude.