La fiscalía federal de Estados Unidos ha acusado a tres hombres de usar inteligencia artificial para imitar las voces y las caras de directivos y abogados de empresas y robar unos 129 millones de dólares (unos 115 millones de euros) a hospitales, bancos y otras organizaciones. Son acusaciones, no condenas: los tres se presumen inocentes mientras el proceso sigue abierto. Lo cuentan TheNextWeb y Gizmodo a partir de la acusación de la Fiscalía Federal del Distrito Sur de Nueva York, desvelada esta semana.
El caso es relevante por lo que anticipa: el fraude de suplantación, que siempre existió, se vuelve mucho más creíble cuando quien te llama tiene la cara y la voz de tu jefe.
¿Qué dice la acusación?
Que entre 2024 y 2026 los acusados suplantaron con IA a jefes y abogados en llamadas con empleados para ordenar transferencias. Según la acusación, el dinero se movió a cuentas en varios países —España, Grecia, Emiratos Árabes Unidos, Singapur y China— y después se convirtió en criptomonedas para ocultar su rastro.
Las cifras que recoge la acusación dibujan el alcance: un sistema hospitalario de Misuri perdió unos 4,8 millones de dólares (unos 4,3 millones de euros) y una fintech británica unos 11,6 millones de dólares (unos 10,4 millones de euros). Entre las víctimas figuran además un banco de Rhode Island, un sistema hospitalario de California, un fondo de inversión de Massachusetts y una empresa de alimentos para mascotas de Florida. El total del esquema asciende a unos 129 millones de dólares. Es exactamente el tipo de ataque contra el que ya avisaba el jefe de seguridad de Magnific, que sostiene que el único escudo real contra el phishing con IA es una palabra secreta acordada con tu familia.
¿Quiénes están acusados y en qué fase está el caso?
Tres hombres, de 41, 54 y 42 años, están detenidos a la espera de extradición a Estados Unidos. Dos fueron arrestados en España, en junio y agosto, y un tercero en el Reino Unido en septiembre. Según la acusación, uno de ellos, de 54 años, ya fue condenado en 2008 en ese mismo tribunal por conspiración para cometer fraude bancario.
Se enfrentan a cargos de fraude electrónico, blanqueo de capitales y robo agravado de identidad; los más graves conllevan hasta 20 años de prisión. Conviene insistir: son acusaciones en una fase inicial del proceso, Estados Unidos ha pedido la extradición y ninguno ha sido juzgado ni condenado por estos hechos. No es el primer aviso de que la voz propia se ha convertido en un dato peligroso: ya lo fue la filtración de 4 TB con voces y documentos de 40.000 colaboradores de Mercor, que demostró que tu voz es una contraseña que no puedes cambiar.
¿Por qué este caso marca un antes y un después?
Porque multiplica por cientos la escala de lo que antes era un fraude artesanal. Para dimensionarlo, TheNextWeb recuerda un caso de 2019 en el que unos estafadores clonaron la voz de un directivo y se llevaron unos 243.000 dólares (unos 218.000 euros). De aquello a 129 millones hay un salto que solo se explica por lo barata y convincente que se ha vuelto la suplantación con IA.
Mi lectura es que este caso es la confirmación de un cambio de época en el fraude corporativo. La estafa del «CEO que pide una transferencia urgente» lleva años funcionando por correo; lo que cambia ahora es que el atacante puede aparecer en una videollamada con la cara y la voz del jefe, y eso derriba la última defensa que le quedaba al empleado: el «esto no suena a él». Cuando suena y se parece a él, el sentido común deja de bastar. La respuesta no es tecnológica, sino de proceso: verificar por un segundo canal, acordar palabras clave internas y asumir que una cara y una voz en pantalla ya no prueban nada, tal como insiste cualquier guía seria sobre cómo detectar vídeos, voces e imágenes falsas generadas con IA. El caso judicial decidirá la culpabilidad de estos tres acusados; el problema de fondo, en cambio, ya está aquí para quedarse.