La mayoría de los artículos sobre fraude con deepfakes empiezan con una previsión de cientos de miles de millones. Este usa pérdidas declaradas siempre que es posible, cita la fuente de cada cifra y deja claro cuándo un número es una previsión. Dos advertencias antes de los números: las pérdidas declaradas siempre se quedan cortas, porque muchas víctimas nunca denuncian; y cada informe cuenta cosas distintas, así que sus cifras no se pueden sumar.
Correos falsos de remitentes conocidos: 3000 millones de dólares en un año
El Internet Crime Complaint Center (IC3) del FBI recibió en 2025 24.768 denuncias por compromiso del correo electrónico empresarial (BEC), con pérdidas de 3050 millones de dólares. En este tipo de fraude, un delincuente escribe haciéndose pasar por un proveedor, un compañero o un directivo y pide un pago, normalmente a una cuenta bancaria nueva. No hay malware ni intrusión. Solo un mensaje que parece correcto.
En 2024, el IC3 contabilizó 21.442 denuncias de este tipo. El número de casos crece, y la pérdida media por denuncia ronda los 123.000 dólares.
Sumando todos los tipos de fraude, el IC3 registró en 2025 pérdidas de 20.900 millones de dólares, un 26 % más que el año anterior.
Los mayores de 60 perdieron 7700 millones de dólares
El mismo informe muestra quién paga más. Las víctimas de 60 años o más presentaron 201.266 denuncias en 2025 y declararon pérdidas de 7750 millones de dólares. Son un 37 % más de denuncias y un 59 % más de dinero que en 2024. De estas víctimas, 12.444 perdieron más de 100.000 dólares cada una.
La Comisión Federal de Comercio de EE. UU. (FTC) cuenta por separado y llega a un panorama parecido: en 2025, los consumidores presentaron más de un millón de denuncias por estafas de suplantación, con 3500 millones de dólares en pérdidas declaradas. Por noveno año consecutivo, la suplantación fue el tipo de estafa más denunciado.
La IA aparece en las estadísticas
Para 2025, el FBI contó por primera vez cuántas denuncias mencionaban la inteligencia artificial: 22.364 denuncias, con pérdidas de 893 millones de dólares. Dentro de ese grupo, el compromiso del correo empresarial con elementos de IA causó pérdidas de más de 30 millones de dólares, y las estafas de «emergencia» con voces clonadas, la clásica llamada del nieto en apuros, más de 5 millones.
Son porcentajes pequeños del total. Además, son solo los casos en los que la víctima sabía, o sospechaba, que había IA de por medio. Con una voz clonada bien hecha, la mayoría de las víctimas nunca llega a saberlo.
Los datos del sector muestran la velocidad del cambio. Pindrop, que protege centros de atención telefónica, informó de que los intentos de fraude con deepfakes en los centros de contacto que supervisa aumentaron más de un 1300 % en 2024, de aproximadamente uno al mes a unos siete al día. Resemble AI documentó 1567 incidentes de deepfake verificados en 2025, con pérdidas conocidas de 1280 millones de dólares; más del 80 % de los incidentes no revelaron ninguna pérdida, así que la cifra real es mayor.
Y la previsión, señalada claramente como tal: en 2024, el Deloitte Center for Financial Services estimó que las pérdidas por fraude facilitado por la IA generativa en Estados Unidos podrían pasar de 12.300 millones de dólares en 2023 a 40.000 millones en 2027.
Dos casos que muestran la escala
En 2024, un empleado de la empresa de ingeniería Arup en Hong Kong participó en una videoconferencia con el director financiero y varios compañeros. Todos eran deepfakes. Transfirió 200 millones de dólares de Hong Kong, unos 25 millones de dólares estadounidenses.
En febrero de 2026, Fideuram, la filial de banca privada de Intesa Sanpaolo, transfirió unos 95 millones de euros tras un mensaje de WhatsApp en nombre del consejero delegado del grupo y una llamada con la voz, clonada con IA, de un abogado al que el presidente conocía personalmente. Se recuperaron unos 53 millones de euros, y según Reuters siguen sin aparecer alrededor de 36 millones.
Ninguna de estas empresas fue descuidada. Las dos tenían procesos de aprobación. Esos procesos confiaban en caras, voces y nombres conocidos.
Las personas no oyen la diferencia
El consejo habitual es escuchar con atención. La investigación dice que no funciona. En un estudio publicado en PLOS ONE en 2023, 529 participantes reconocieron el habla sintética solo el 73 % de las veces. El entrenamiento mejoró el resultado en menos de cuatro puntos porcentuales. En una prueba de la empresa de identidad iProov en 2025, el 0,1 % de 2000 participantes del Reino Unido y Estados Unidos identificó correctamente todas las imágenes y vídeos reales y falsos.
Así que una de cada cuatro voces falsas pasa, incluso cuando la gente sabe que la prueba incluye falsificaciones. En una llamada real, nadie se las espera.
Una cifra que va en sentido contrario
No todos los números suben. UK Finance informa de que las pérdidas por delincuentes que se hacen pasar por policías o empleados de banca en el Reino Unido bajaron un 18 % en 2025, hasta 55,5 millones de libras, el valor más bajo que ha registrado. Los bancos lo atribuyen a los avisos durante el proceso de pago. Al mismo tiempo, el fraude total por pagos push autorizados en el Reino Unido subió un 19 %, hasta 576,4 millones de libras, y el fraude del CEO tuvo la pérdida media más alta de todos los tipos, más de 28.000 libras por caso.
Las cifras británicas muestran que una comprobación en el momento adecuado funciona. Un aviso antes de la transferencia frenó parte del fraude. Comprobar que la persona es real llega aún antes, cuando nadie ha llegado todavía a la pantalla de la transferencia.
Qué significan los números
Todas estas pérdidas tienen una causa común: alguien se fió de lo que vio u oyó. Un correo desde la dirección correcta, una voz que sonaba bien, una cara en una videollamada. Nada de eso demuestra ya la identidad.
Lo que sí la demuestra es algo que solo la persona real sabe en ese momento. Esa es la idea de Trusted Codes: las personas conectadas ven las mismas tres palabras, las palabras cambian cada cierto tiempo y, cuando una petición es inusual, se las pides. Una voz clonada no puede responder.
Fuentes
- FBI Internet Crime Complaint Center, 2025 Internet Crime Report: ic3.gov
- US Federal Trade Commission, alerta al consumidor, 7 de mayo de 2026: consumer.ftc.gov
- UK Finance, Annual Fraud Report 2026, 15 de junio de 2026: ukfinance.org.uk
- Deloitte Center for Financial Services, 29 de mayo de 2024: deloitte.com
- Pindrop, 2025 Voice Intelligence & Security Report, 12 de junio de 2025: prnewswire.com
- Resemble AI, 2025 Deepfake Threat Report, 20 de marzo de 2026: resemble.ai
- Arup, Hong Kong, 2024: AI Incident Database, incident 634
- Reuters sobre Fideuram, republicado el 28 de septiembre de 2026: finance.yahoo.com
- Mai, K. T. et al., PLOS ONE, 2 de agosto de 2023: journals.plos.org
- iProov, febrero de 2025: iproov.com