Los deepfakes de IA convirtieron a empleados falsos en una amenaza real para las empresas

El insider más peligroso en una empresa puede no ser un empleado en absoluto. Los investigadores de seguridad ahora usan el término «insider sintético» para los atacantes que utilizan deepfakes de IA para hacerse pasar por personal de confianza, colándose en los procesos de contratación y en los sistemas corporativos con identidades falsas convincentes.

La amenaza se basa en un problema de seguridad de larga data. Un análisis de Verizon de 2026 sobre unos 22.000 incidentes encontró que el 12% involucraban actores internos, según el Financial Times. Los peores casos son deliberados, no accidentales.

«Saben dónde están las joyas de la corona y cómo acceder a ellas.»

Uno de los ejemplos más claros provino de una operación norcoreana a la que el Departamento de Justicia de EE. UU. apuntó el año pasado. Los operativos obtuvieron fraudulentamente empleos remotos en empresas estadounidenses usando las identidades robadas de más de 80 ciudadanos estadounidenses, dijo el gobierno, y fueron contratados en más de 100 empresas. El esquema recaudó más de 5 millones de dólares para Pyongyang. Ocho personas con base en EE. UU. fueron condenadas posteriormente por operar las llamadas «granjas de portátiles» —bastidores de ordenadores en hogares estadounidenses que hacían que trabajadores del extranjero parecieran locales.

Recomendado

Los bugs de WordPress ahora están siendo atacados a gran escala

Las herramientas de deepfake baratas han facilitado la ejecución de esas estafas. Los atacantes ahora pueden falsificar vídeo y audio en vivo, no solo fotos de perfil, lo que hace más difícil detectarlos en una entrevista por vídeo.

Cómo las empresas intentan detectar contrataciones falsas

Eso ha empujado la contratación hacia la pila de seguridad. Adam Finkelstein, de Alvarez & Marsal, dijo que las empresas están reuniendo cada vez más a RR. HH., seguridad, legal y TI en lugar de tratar la contratación como una función puramente de RR. HH., especialmente para puestos técnicos remotos de alto riesgo.

Tom Hegel, investigador de amenazas en SentinelOne, dijo que las empresas deberían examinar:

• metadatos
• direcciones IP
• huellas del dispositivo
• señales de que un candidato está alterando su rostro o su voz en tiempo real

Algunos controles son más sencillos. Pedir a un candidato que gire la cabeza o que mueva la mano aún puede interrumpir un deepfake en vivo, dijo Hegel. Tras la contratación, las empresas también deberían verificar que los portátiles no se estén enviando a una granja de portátiles y usar análisis de comportamiento para señalar actividad sospechosa.

IA en la sombra y el riesgo de vigilancia

Los casos que acaparan titulares aún no son la norma. Dave Spillane, de Fortinet, dijo que las amenazas internas suelen ser más a menudo accidentales. Un informe de Fortinet de 2025 atribuyó el 62% de los incidentes a error humano o cuentas secuestradas —desde enviar el archivo equivocado hasta introducir información sensible en un chatbot no autorizado—.

Esa práctica tiene su propio nombre: IA en la sombra. Los empleados están introduciendo datos confidenciales en herramientas que sus empleadores nunca aprobaron, dijo John Hultquist del Google Threat Intelligence Group. También advirtió que los agentes de IA empiezan a parecerse a empleados con acceso a sistemas y pueden ser manipulados para que realicen acciones que no deberían.

Art Gilliland, director ejecutivo de Delinea, dijo que esos agentes necesitan acceso a sistemas sensibles, lo que hace que sus identidades sean tan valiosas para los atacantes como las de un trabajador humano.

El auge de las preocupaciones por el riesgo interno está impulsando el mercado de seguridad. Según una estimación, el mercado de prevención de pérdida de datos creció de 33.000 millones de dólares el año pasado a casi 43.000 millones este año. Pero la monitorización agresiva conlleva sus propios costes. Algunas herramientas registran pulsaciones de teclas y capturas de pantalla para detectar comportamientos riesgosos.

«Un exceso de vigilancia puede minar la confianza. El reto es proteger la organización sin crear una cultura de vigilancia.»

Finkelstein también advirtió contra convertir la nacionalidad, los patrones de teletrabajo o un historial laboral inusual en motivos de sospecha. Dijo que los controles deberían centrarse en señales verificables como el uso extraño de privilegios o viajes imposibles. Varios expertos llegaron a la misma regla básica: dar a las personas —y a los agentes de software— acceso solo a lo que necesitan.