Tu gobierno corporativo puede funcionar a la perfección y aun así enviar el dinero a un delincuente. Las normas comprueban que se siguió un proceso. No comprueban que la persona que lo inició fuera real.
Un martes cualquiera
El director financiero está entre dos reuniones cuando suena el teléfono. En la pantalla aparece el número del consejero delegado. La voz es tranquila, algo apresurada, y exactamente la suya. El consejero delegado está en el extranjero, la línea es mala y hay que aprobar hoy una operación confidencial. Los accionistas ya han dado su conformidad.
Nada de esto resulta extraño. El viaje es conocido dentro de la empresa. Ya ha habido decisiones urgentes otras veces. El director financiero revisa los documentos, consigue la segunda aprobación y libera el pago. Se cumplen todos los pasos del proceso.
Días después, la empresa descubre que el consejero delegado nunca llamó. La voz la había generado un software a partir de grabaciones públicas. Los atacantes sabían lo del viaje y sabían cómo hablan entre sí los dos directivos.
Esta escena es el caso con el que arranca un artículo reciente de dos auditores forenses de Rödl en Der Betrieb (Meinrad/Riexinger, DB 2026, 2408). Se basa en un caso real del que se informó públicamente.
El proceso era correcto. La premisa era falsa.
Fíjate en qué falló. No falló el principio de los cuatro ojos: aprobaron dos personas. No falló la matriz de autorizaciones: el director financiero puede liberar ese importe. No falló el flujo de aprobación: cada campo estaba relleno y cada firma está archivada. Un auditor no encontraría nada mal.
El fallo ocurrió antes del primer paso. Todos los controles daban por hecho que la orden venía del consejero delegado. Nadie comprobó esa premisa, porque nada en el proceso la pide.
La segunda persona que aprueba lo empeora. No habló con el «consejero delegado». Aprobó porque se lo pidió el director financiero, que goza de su confianza. Una identidad falsa al principio se convierte en dos firmas reales al final. El principio de los cuatro ojos comprueba la operación. No comprueba a la persona que hay detrás.
Los autores de Rödl lo plantean así: los sistemas de control interno preguntan si una acción estaba debidamente autorizada. Los ataques con deepfakes actúan un nivel antes, sobre la suposición de que la persona que percibes es la persona que crees. Los marcos de control clásicos no recogen esto como un objetivo de control propio. Por eso a menudo tampoco aparece en los análisis de riesgos.
Este es el punto incómodo para un consejo de administración. Tras una pérdida así, la documentación muestra un proceso impecable. Nadie se saltó ninguna norma, así que la pregunta pasa a ser: ¿por qué nuestras normas lo permitieron?
Qué ha cambiado: lo familiar ya no es una prueba
El fraude del CEO no es nuevo. Solo el compromiso del correo electrónico empresarial causó en todo el mundo unos 55.500 millones de dólares en pérdidas entre octubre de 2013 y diciembre de 2023, según lo comunicado al FBI, a otras autoridades policiales y a los bancos.
Lo nuevo es la herramienta. Una voz, una cara en una videollamada y un estilo de escritura conocido eran antes pruebas suficientes. Hoy, la IA generativa puede copiar las tres cosas con material público: una ponencia en YouTube, un pódcast, una presentación de resultados. El atacante no necesita ninguna habilidad especial y apenas dinero.
El artículo de Rödl recoge las frases que delatan el problema: «Hablé con él por teléfono yo mismo». «Ella estaba en la videollamada». En ambos casos, una sensación de familiaridad se trató como una identidad verificada.
Los pagos son solo el objetivo más evidente. El mismo truco funciona para un cambio de datos bancarios, nuevos permisos de acceso, información confidencial, una decisión de M&A o una decisión de personal.
La conclusión de los autores es clara: el gobierno corporativo, el cumplimiento normativo y los controles internos siguen siendo necesarios, pero hay que ampliarlos. Verificar la identidad debe convertirse en un objetivo de control propio en todos los procesos en los que una identidad falsa pueda causar un daño grave. La nueva pregunta que proponen como guía para la cultura de la empresa es: no «¿por qué se cuestionó la orden?», sino «¿cómo se verificó la identidad?».
Un control que nadie usa no es un control
La respuesta habitual es una norma de devolución de llamada: cuelga, busca el número y vuelve a llamar. Sobre el papel funciona. En la práctica falla justo en los momentos que importan.
Cada paso adicional que saca a alguien de la conversación en curso es una interrupción. El director financiero tiene que terminar la llamada, encontrar un número, localizar a un consejero delegado ocupado en otra zona horaria y explicarle por qué. Con prisa, y ante alguien de más rango, la mayoría se saltará ese paso «solo esta vez». Los atacantes lo saben y crean la presión de tiempo a propósito.
Los autores de Rödl dicen lo mismo: lo que cuenta no es lo sofisticado que sea un procedimiento, sino que la gente lo aplique de forma fiable en el día a día. Los procedimientos que resultan poco prácticos se esquivan. Y la norma debe aplicarse con independencia del rango, del cargo y de la prisa, porque las situaciones excepcionales son precisamente las que crean los atacantes.
Así que aquí un consejero delegado tiene dos tareas. Primero, hacer obligatoria la verificación de identidad en los procesos críticos. Segundo, hacerla tan sencilla que nadie tenga motivo para saltársela. Cuando la gente se salta un control, el fallo está en el diseño.
La verificación, dentro de la conversación
Trusted Codes da a dos personas, o a un equipo entero, un código compartido de tres palabras que cambia cada cierto tiempo. Solo lo tienen los miembros reales de una conexión. La comprobación cabe en una frase: «¿Cuál es nuestro código?».
Volvamos al martes. Llama el «consejero delegado». El director financiero le pide el código, sin colgar. Un consejero delegado real lee tres palabras en su móvil. Un deepfake no tiene nada que leer. El pago se detiene antes de que el proceso empiece siquiera.
La comprobación funciona en cualquier canal, porque ocurre entre dos personas: en una llamada, en una videollamada, en un chat, por correo y cara a cara. Y las palabras te dicen quién habla: escribe lo que has oído y la app te muestra a qué conexión pertenece, por ejemplo «CEO – Aprobaciones de tesorería». En qué se diferencia de una app de autenticación lo explicamos en otro artículo.
Dos ejemplos de cómo lo usa una empresa:
- Un proyecto de M&A. El equipo de la operación, los abogados y el banco comparten una conexión. A quien llame por la operación se le pide el código. Cuando la operación se cierra, se cierra también la conexión.
- Pagos de más de 50.000 euros. Finanzas y todas las personas que pueden ordenar o aprobar esos pagos comparten una conexión. La empresa convierte la comprobación del código en un paso obligatorio de la aprobación: sin código no hay liberación. El registro de verificaciones muestra después que la comprobación se hizo.
Pruebas de que la comprobación se hizo
Una norma vale lo que valen las pruebas de que se cumple. Una devolución de llamada no deja rastro. Nadie puede demostrar, semanas después, quién llamó a quién y qué se confirmó.
En los planes Business, Trusted Codes anota cada verificación en un registro: quién verificó a quién, en qué conexión, cuándo y si el código coincidió. Las palabras nunca se guardan. Para un consejo de administración, esto cambia tres conversaciones:
- Con el auditor. La verificación de identidad pasa a ser una actividad de control documentada, no una promesa en un documento de políticas.
- Después de un incidente. La investigación puede ver de inmediato dónde se verificó una identidad y dónde solo se dio por supuesta. Los autores de Rödl señalan esto como la pregunta clave de toda investigación.
- En materia de responsabilidad. La dirección debe demostrar que su organización y sus controles estaban a la altura de los riesgos conocidos. Un registro que muestra una comprobación de identidad que funciona y se usa es esa prueba.
Qué hacer este trimestre
Mantén tu gobierno corporativo. Añade el único control que le falta.
- Haz una lista de los procesos en los que una identidad falsa sale cara. Pagos por encima de un umbral, cambios de datos bancarios, permisos de acceso, M&A, reestructuraciones, decisiones de personal.
- Localiza los atajos informales. ¿Dónde sustituye una llamada a una confirmación formal? ¿Dónde se aceptan órdenes de altos cargos fuera del flujo de trabajo?
- Convierte la verificación de identidad en un paso obligatorio de esos procesos. Se aplica a todos, también al consejero delegado, y sobre todo cuando hay prisa.
- Elige un método que la gente vaya a usar de verdad. Tiene que funcionar dentro de la conversación, en cualquier canal, en segundos, y dejar constancia.
- Dilo tú mismo. Dile a tu equipo que esperas que te pidan el código y que nunca te sentará mal. Esa frase del consejero delegado hace más que cualquier política.
La confianza entre compañeros sigue siendo esencial. En los procesos críticos, ahora necesita un segundo factor.
Fuentes
- Alexander Meinrad y Jonas Riexinger, "Wenn Identität zur Schwachstelle wird: Deepfakes als Herausforderung für Compliance und Interne Kontrollsysteme", Der Betrieb 2026, 2408 (número 39).
- FBI Internet Crime Complaint Center, "Business Email Compromise: The $55 Billion Scam", aviso de servicio público, 11 de septiembre de 2024: ic3.gov