Clonación de voz con IA: una estafa de 95 millones alerta sobre los nuevos riesgos empresariales

La inteligencia artificial está transformando también el fraude empresarial. Un reciente caso ocurrido en Italia demuestra hasta qué punto una voz aparentemente conocida puede dejar de ser un mecanismo fiable de identificación.

En febrero de 2026, Fideuram, la división de banca privada del grupo Intesa Sanpaolo, sufrió una estafa de aproximadamente 95 millones de euros después de que unos delincuentes utilizaran técnicas de suplantación de identidad y clonación de voz mediante inteligencia artificial.

Según las informaciones publicadas, Paolo Molesini, entonces presidente de Fideuram, recibió inicialmente un mensaje de WhatsApp que parecía proceder de Carlo Messina, consejero delegado de Intesa Sanpaolo. En él se solicitaba realizar con urgencia una serie de transferencias internacionales.

Posteriormente se produjo una llamada telefónica que aparentemente procedía de Paolo Nastasi, socio director de A&O Shearman en Italia, una persona conocida por Molesini.

La voz parecía auténtica.

Sin embargo, había sido clonada mediante inteligencia artificial. Nastasi era completamente ajeno a la operación.

La combinación del mensaje atribuido al máximo responsable del grupo, la urgencia de la operación y la confirmación telefónica mediante una voz conocida consiguió superar las barreras de confianza habituales.

Como consecuencia, se ordenaron diversas transferencias, principalmente hacia cuentas situadas en China y Hong Kong.

Millones recuperados, pero una parte del dinero sigue desaparecida

La rápida actuación posterior permitió bloquear y recuperar una parte importante de los fondos mediante cooperación bancaria y judicial internacional.

No obstante, aproximadamente 36 millones de euros continúan sin localizarse, después de haber pasado por distintas cuentas y, según las investigaciones, haber sido parcialmente convertidos en criptoactivos.

La Fiscalía de Milán investiga los hechos.

El fraude del CEO entra en una nueva fase

Este tipo de ataque responde a una modalidad conocida como fraude del CEO o Business Email Compromise (BEC), en la que los delincuentes se hacen pasar por directivos o personas con autoridad dentro de una organización para conseguir que un trabajador autorice pagos o facilite información.

La inteligencia artificial introduce ahora un elemento especialmente relevante: ya no es necesario limitar la suplantación a un correo electrónico o un mensaje.

La voz de una persona puede ser reproducida artificialmente con suficiente realismo como para inducir a error incluso a alguien que la conoce.

Esto obliga a revisar uno de los principios informales más utilizados dentro de las empresas:

reconocer una voz ya no puede considerarse, por sí solo, una prueba suficiente de identidad.

¿Qué implica jurídicamente para las empresas?

El caso pone de manifiesto que la utilización de inteligencia artificial introduce nuevos riesgos que deben integrarse en los sistemas de compliance, ciberseguridad, protección de datos y gobierno corporativo.

Una organización que gestione información sensible o movimientos económicos relevantes debería establecer procedimientos específicos para verificar instrucciones recibidas mediante correo electrónico, WhatsApp, teléfono o videollamada.

Entre otras medidas, resulta recomendable:

• establecer sistemas de doble autorización para transferencias relevantes;

• verificar las órdenes económicas mediante un canal distinto al utilizado para solicitarlas;

• limitar las operaciones extraordinarias basadas exclusivamente en comunicaciones telefónicas;

• formar a trabajadores y directivos sobre técnicas de deepfake y clonación de voz;

• establecer protocolos específicos frente al fraude mediante inteligencia artificial;

• documentar los procedimientos internos de actuación y respuesta ante incidentes.

La gestión del riesgo asociado a la inteligencia artificial no consiste únicamente en controlar los sistemas de IA desarrollados o utilizados por la propia empresa.

También implica identificar cómo terceros pueden utilizar inteligencia artificial contra la organización.

IA, ciberseguridad y compliance deben analizarse conjuntamente

La evolución de este tipo de fraudes demuestra que las empresas deberán adaptar progresivamente sus controles internos.

La inteligencia artificial permite generar voces, imágenes, vídeos y comunicaciones capaces de reproducir con gran precisión la identidad de directivos, empleados, clientes o proveedores.

Por ello, los sistemas tradicionales basados únicamente en el reconocimiento personal pueden resultar insuficientes.

El reto jurídico y organizativo consiste en implantar mecanismos capaces de demostrar que la empresa ha identificado estos nuevos riesgos y ha adoptado medidas razonables de prevención, detección y respuesta.

El caso de Intesa Sanpaolo constituye una advertencia especialmente significativa: incluso una gran entidad financiera puede ser víctima de una operación de ingeniería social cuando la inteligencia artificial consigue explotar la confianza existente entre las personas.

Fuente: Reuters, 25 de septiembre de 2026; Confilegal, 29 de septiembre de 2026.