Un mensaje de voz que parece enviado por un socio, una videollamada con la imagen de un cliente o un correo que solicita cambiar el IBAN ya no deben considerarse pruebas suficientes de identidad. Las herramientas de inteligencia artificial permiten imitar voces, rostros y estilos de escritura, mientras que el fraude por correo electrónico comprometido sigue aprovechando procesos cotidianos como el pago de facturas, la devolución de provisiones de fondos o el envío de dinero relacionado con una operación.
Para un despacho jurídico, el riesgo no se limita a perder una transferencia. Una instrucción falsa puede exponer datos confidenciales, alterar la relación con el cliente y generar dudas sobre quién autorizó la operación. La defensa más eficaz no consiste en intentar reconocer cada deepfake por su apariencia, sino en diseñar un proceso donde ninguna solicitud crítica dependa de un solo correo, audio o vídeo.
Este protocolo está pensado para despachos pequeños y medianos que necesitan controles claros sin convertir cada pago en un procedimiento interminable. La clave es verificar por un canal independiente, separar funciones, registrar la autorización y actuar con rapidez cuando algo no encaja.
Cómo funcionan los deepfakes y el fraude de pagos contra un despacho
Los ataques combinan información pública, acceso a una conversación y presión psicológica. El delincuente estudia nombres, cargos, clientes y operaciones, y después crea una solicitud coherente con el trabajo habitual: una transferencia urgente, un nuevo IBAN, un reembolso o una factura pendiente.
Puede controlar una cuenta legítima, registrar un dominio casi idéntico o utilizar una dirección con un nombre conocido. La inteligencia artificial mejora la redacción y puede generar audios o vídeos para reforzar la historia.
Las señales que deben activar una verificación reforzada
La urgencia es una de las señales más frecuentes. El supuesto socio, cliente o proveedor afirma que la operación debe completarse antes de una reunión, un viaje, un cierre o una audiencia. También puede pedir confidencialidad para evitar que el empleado consulte con otra persona. Estas instrucciones intentan eliminar el tiempo y la colaboración que permitirían detectar la incoherencia.
Otras señales son los cambios de canal, errores sutiles en el dominio, nuevas cuentas bancarias, beneficiarios distintos, importes fraccionados o documentación inesperada. Una solicitud financiera con cualquiera de estos cambios debe salir del flujo ordinario.
El ataque híbrido: correo, mensajería, voz y videollamada
Un fraude moderno puede comenzar con un correo y continuar por WhatsApp, Teams, teléfono o videollamada. El atacante utiliza varios canales para producir una falsa sensación de autenticidad. Por ejemplo, envía primero una factura modificada, después un mensaje que confirma la urgencia y finalmente una nota de voz que imita a la persona responsable.
El error sería considerar que el segundo canal confirma el primero cuando ambos fueron proporcionados por el atacante. Una verificación independiente debe utilizar un número, contacto o portal que ya figuraba en los registros del despacho antes de recibir la solicitud. Nunca debe emplearse el teléfono incluido en el correo sospechoso.
Por qué una voz o una imagen ya no prueban identidad
Las personas suelen confiar en la voz porque reconoce acentos, pausas y expresiones familiares. Sin embargo, una grabación pública, un vídeo de una conferencia o incluso un mensaje de voz filtrado pueden aportar material para una clonación. La calidad no necesita ser perfecta si la llamada es breve, existe ruido o la víctima espera escuchar a esa persona.
La videollamada tampoco elimina el riesgo. Una imagen sintética puede acompañarse de documentos falsificados y datos reales. En lugar de buscar fallos visuales, el equipo debe aplicar procedimientos que el atacante no controle.
Dónde están los puntos vulnerables dentro del flujo financiero
Los despachos deben identificar en qué momentos reciben o emiten instrucciones de pago. Entre ellos están las facturas de proveedores, nóminas, devoluciones a clientes, provisiones de fondos, pagos de peritos, tasas, procuradores, traductores, corresponsales y cantidades asociadas a operaciones o acuerdos.
El riesgo aumenta cuando una sola persona puede recibir la instrucción, modificar el beneficiario y ejecutar la transferencia, o cuando las autorizaciones quedan dispersas sin registro. La guía de ciberseguridad para despachos jurídicos explica cómo reforzar cuentas, dispositivos y accesos.
Cambios de IBAN, reembolsos y transferencias urgentes
Todo cambio de cuenta bancaria debe tratarse como una operación nueva, aunque el mensaje proceda de una conversación existente. El despacho debe verificarlo con el contacto previamente registrado, confirmar el nombre del titular y documentar quién realizó la comprobación. Una factura con el mismo diseño que las anteriores no sustituye esa validación.
Los reembolsos merecen el mismo control. Un delincuente puede suplantar al cliente y pedir que el dinero se envíe a una cuenta distinta de aquella desde la que llegó. Como regla general, la devolución debería realizarse al medio de pago original. Cualquier excepción necesita justificación, verificación reforzada y aprobación adicional.
Conviene limitar la información financiera enviada por correo. Un portal de clientes correctamente configurado puede centralizar documentos, pero los cambios de cuenta siguen necesitando controles específicos.
Protocolo de verificación de pagos para aplicar en 2026
El protocolo debe activarse ante cualquier nuevo beneficiario, cambio de IBAN, importe inusual, solicitud urgente, devolución a una cuenta diferente o comunicación que llegue por un canal no habitual. El objetivo es detener temporalmente la operación, no acusar a nadie de fraude.
Primer paso: conserva el mensaje y revisa la dirección completa, el dominio, la conversación, los adjuntos y cualquier regla extraña de reenvío. No uses enlaces, números o datos incluidos en la solicitud.
Segundo paso: verifica por un canal independiente. Llama al número que ya consta en el expediente, contrato o ficha del proveedor. Confirma beneficiario, importe, motivo y últimos dígitos del IBAN; evita preguntas que puedan responderse con un simple “sí”.
Tercer paso: aplica doble autorización. La persona que modifica los datos bancarios no debería ser la única que aprueba el pago. Para operaciones por encima del umbral definido por el despacho, exige dos autorizaciones y deja constancia de fecha, canal utilizado y personas intervinientes.
Cuarto paso: introduce una pausa operativa. Los cambios bancarios no deberían producir un pago inmediato salvo necesidad excepcional documentada. Un periodo de enfriamiento permite detectar mensajes posteriores, consultar con el responsable real y corregir errores antes de que el dinero salga.
Quinto paso: confirma después de la operación. Para importes relevantes, comunica al contacto conocido que el pago fue ejecutado, indicando beneficiario e importe sin exponer datos innecesarios. Esta confirmación puede detectar rápidamente una transferencia no reconocida.
Qué debe hacer el equipo antes, durante y después de un incidente
Antes de un incidente, el despacho necesita contactos verificados, límites de aprobación, sustitutos y un procedimiento de una página. La formación debe incluir simulaciones realistas: cambio de IBAN, audio urgente de un socio o reembolso de un cliente.
Durante la operación, cualquier persona debe poder detener un pago sin temor a ser sancionada por retrasarlo. La cultura interna debe premiar la verificación. Un atacante aprovecha jerarquías rígidas; si un administrativo cree que no puede cuestionar una voz que parece la del socio director, el control técnico pierde valor.
Después, registra los intentos aunque no causen pérdidas. Analiza qué hizo creíble el mensaje y qué control lo detuvo. Esa información permite ajustar el procedimiento y reducir la exposición pública de procesos financieros.
Las herramientas de detección de deepfakes pueden ayudar, pero no deben ser el único control. Sus resultados pueden contener falsos positivos o no reconocer una técnica nueva. La supervisión y la gobernanza descritas en la guía sobre el AI Act 2026 para despachos jurídicos también son relevantes cuando el propio despacho utiliza sistemas automáticos para analizar comunicaciones o identidades.
Respuesta durante la primera hora si el pago ya fue enviado
Contacta inmediatamente con la entidad bancaria mediante un canal oficial y solicita el bloqueo, retirada o trazabilidad de la transferencia. El tiempo importa: no esperes a completar una investigación interna antes de avisar. Conserva correos con sus cabeceras, mensajes, audios, facturas, números de teléfono, comprobantes y registros de acceso.
Cambia las credenciales de las cuentas comprometidas, cierra sesiones, revisa reglas de reenvío y activa autenticación multifactor. Informa a seguridad, dirección y protección de datos para valorar las obligaciones aplicables.
Presenta la denuncia y utiliza los canales oficiales de apoyo correspondientes a la jurisdicción. En España, el Instituto Nacional de Ciberseguridad explica cómo opera el fraude BEC y cómo detectarlo. Mantén también una lista interna con los contactos del banco, aseguradora, proveedor tecnológico y asesoría especializada.
Un despacho no necesita adivinar si cada voz o vídeo es auténtico. Necesita un sistema que impida que una apariencia convincente autorice por sí sola una transferencia. La verificación independiente, la doble aprobación, los registros y una respuesta rápida son controles sencillos, pero funcionan porque atacan el punto central del fraude: la confianza sin comprobación.
Aviso: este contenido es informativo y no constituye asesoramiento jurídico, bancario, de protección de datos ni de ciberseguridad. Los procedimientos deben adaptarse a la jurisdicción, el tamaño del despacho, los servicios prestados y las condiciones de cada entidad financiera.
