La IA no solo impulsa la productividad; también está redefiniendo el crimen digital. Según un estudio en ArXiv titulado WaveVerify, en 2024 los intentos de fraude con deepfakes de voz se incrementaron en más del 1,300 % respecto a 2023, y el sector financiero reportó pérdidas superiores a 10 millones de dólares.
Expertos llaman a este fenómeno “extorsión multifacética”: una evolución de los ciberataques tradicionales que incorpora IA para amplificar el daño más allá del mero robo de información. El 2025 Global Threat Report de CrowdStrike confirma que los atacantes ya están usando IA generativa para potenciar amenazas como ingeniería social, suplantaciones de identidad y campañas de desinformación.
Este tipo de amenazas no solo compromete la seguridad de la información, sino que afecta transversalmente a toda la cadena de valor de una organización, tanto pública como privada, generando desconfianza entre stakeholders, proveedores, clientes, prospectos e incluso empleados. El impacto reputacional y operativo de una suplantación mediante IA puede ser mucho más devastador que una simple fuga de datos.
Casos recientes alrededor del mundo evidencian cómo la IA ya está siendo utilizada para suplantar identidades de altos ejecutivos con fines de fraude financiero. En 2024, una empresa en Hong Kong fue víctima de una videollamada deepfake en la que se imitó al CFO utilizando IA, lo que resultó en una transferencia no autorizada de 25 millones de dólares a cuentas fraudulentas. Casos similares se reportaron en Europa, como el de una firma energética alemana que fue engañada con una voz clonada del CEO para autorizar el envío de fondos, o el intento de suplantación del CEO de un grupo global de comunicación, que fue prevenido gracias a los controles internos.
La lección es clara: no basta con reconocer rostros o voces, hay que verificar intenciones, sumado a que se retoma la idea que solo están las organizaciones que han recibido un ciberataque y las aún no lo saben.
Sin embargo, la madurez en ciberseguridad en la región sigue siendo desigual y preocupantemente baja: muchas organizaciones operan con protocolos desfasados, marcos regulatorios débiles, escasa capacitación en seguridad digital y una cultura corporativa que aún considera la ciberseguridad como un asunto exclusivo de TI.
En este escenario, América Latina enfrenta un desafío estructural en materia de ciberseguridad: baja inversión, escasez de talento especializado, marcos regulatorios débiles y una limitada cultura de capacitación interna. El informe LATAM Financial Sector Threat Landscape 2025, elaborado por Digi Americas Alliance, Duke University y Recorded Future, destaca estos puntos como factores críticos de vulnerabilidad en la región. A ello se suma un dato preocupante del Banco Mundial, que señala a América Latina como la región con el mayor crecimiento anual en incidentes cibernéticos (25%) y con los niveles más bajos de madurez en ciberseguridad institucional.
Paralelamente, según el estudio global de ISC2, el 58% de las organizaciones reporta una escasez significativa de profesionales en ciberseguridad, brecha que también impacta fuertemente a la región. De hecho, el Foro Económico Mundial proyecta que América Latina podría enfrentar millones de vacantes no cubiertas en ciberseguridad para 2030 si no se corrige la tendencia actual.
Esta conjunción de factores críticos resalta que la protección digital no debe recaer únicamente en TI, sino estructurarse como una responsabilidad transversal, desde el directorio, pasando por recursos humanos, ventas hasta marketing, por nombrar algunas áreas, para construir una cultura de seguridad sostenible de protección y reacción.
Tradicionalmente, un ataque tipo ransomware buscaba cifrar archivos y pedir un rescate para liberarlos. Sin embargo, en la actualidad, muchos atacantes ni siquiera se molestan en cifrar: acceden, extraen información confidencial, y luego amenazan con divulgarla. Pero ahora, a esa ecuación se suma un nuevo componente: la fabricación de contenido falso para extorsionar no solo con datos, sino con daño a la reputación.
En este sentido, los especialistas de CrowdStrike definen esta táctica como "triple extorsión": roban datos, los amenazan con divulgar, y utilizan IA para fabricar narrativas que comprometen a los líderes o la organización ante colaboradores, inversores o el público. El daño ya no es solo financiero: es de confianza. Por eso, en este escenario, las medidas técnicas no alcanzan. La ciberseguridad debe integrarse en la estrategia de negocios.
