Cómo la IA automatiza las estafas y qué pueden hacer los bancos y las personas

La IA permite producir engaños más convincentes, probar miles de identidades y ajustar una campaña en tiempo real. La defensa depende de relacionar señales, frenar la urgencia y verificar por canales independientes.

Una llamada puede sonar como la de un familiar. Un correo puede estar escrito con la gramática de un banco. Una transferencia puede encajar, por separado, en los hábitos normales de una cuenta. La inteligencia artificial está haciendo más fácil fabricar esas escenas y coordinarlas a gran escala.

El fenómeno no nació con los modelos generativos. El phishing, la suplantación y el uso de cuentas intermediarias llevan años en circulación. Lo que cambia es la velocidad: una red criminal puede generar mensajes personalizados, probar distintas historias, administrar muchas identidades y modificar su estrategia según la respuesta de cada víctima.

En marzo de 2026, INTERPOL publicó su Global Financial Fraud Threat Assessment. El informe estima que los fraudes potenciados por IA pueden ser 4,5 veces más rentables que las tácticas no potenciadas. Es una estimación incluida en una evaluación de amenazas, no una tasa que describa cada estafa ni una garantía de que la IA consiga ese resultado en todos los casos.

Tres dudas para entender el problema

1. ¿Cómo participa la IA en una estafa?
2. ¿Por qué una operación fraudulenta puede parecer legítima?
3. ¿Cómo se defienden los bancos y las personas?

1. ¿Cómo participa la IA en una estafa?

La primera función es producir contenido. Un estafador puede pedir a una herramienta que redacte mensajes en distintos tonos, idiomas o estilos. Eso reduce errores que antes delataban a muchos correos falsos. También puede crear páginas que imitan servicios conocidos, anuncios engañosos, perfiles de redes sociales y conversaciones que parecen avanzar de manera natural.

La segunda función es la suplantación. La Comisión Federal de Comercio de Estados Unidos (FTC) advierte que una muestra breve de voz publicada en internet puede servir para crear una imitación. El objetivo puede ser un familiar, una persona con autoridad o un ejecutivo que pide aprobar un pago. Una voz conocida produce confianza, pero ya no basta para confirmar quién está al otro lado.

La tercera función son los agentes de IA. INTERPOL describe sistemas capaces de planear y ejecutar partes de una campaña: investigar a una víctima, obtener credenciales, seleccionar información de valor y ajustar una exigencia. La existencia de estas capacidades no significa que cada ataque sea totalmente autónomo. En muchos casos todavía intervienen personas, servicios de automatización, operadores de cuentas y redes dedicadas a mover el dinero.

GatekeeperX, empresa dedicada a la gestión del riesgo, plantea que la IA se suma a granjas de dispositivos, emuladores y múltiples cuentas. Esa observación es útil como descripción del problema que la compañía atiende, pero sus afirmaciones sobre prevención deben leerse como la posición de un proveedor. La evaluación de INTERPOL y las recomendaciones de organismos públicos aportan el contexto independiente.

2. ¿Por qué una operación fraudulenta puede parecer legítima?

Los sistemas de seguridad suelen revisar elementos como el monto, la ubicación, el dispositivo, la hora y el historial. El problema aparece cuando cada pieza parece aceptable por separado. Una cuenta puede tener documentos válidos; un teléfono puede ser nuevo, pero no estar reportado; una compra puede coincidir con el rango habitual. La combinación de varias cuentas, dispositivos y movimientos puede contar otra historia.

Los emuladores y las granjas de dispositivos complican esa lectura. Permiten presentar muchas sesiones digitales desde una infraestructura coordinada. Las identidades sintéticas mezclan datos reales y ficticios. Las cuentas intermediarias reciben y dispersan fondos. Así, el atacante intenta que ningún evento individual parezca suficientemente extraño para detenerlo.

Por eso ganan importancia los grafos de relaciones y el análisis de comportamiento. En vez de preguntar únicamente “¿esta transacción es rara?”, una entidad puede preguntar “¿qué otras cuentas, dispositivos, direcciones o intentos de acceso están conectados con ella?”. Las anomalías pueden aparecer en la velocidad de creación de cuentas, en el cambio repentino de hábitos, en varias identidades que comparten un dispositivo o en transferencias que recorren una misma ruta.

Este enfoque también tiene un límite: una alerta no demuestra que exista un delito. Los modelos pueden equivocarse y bloquear pagos legítimos, afectar a personas que viajan o castigar comportamientos poco frecuentes. La detección debe combinar datos, reglas, modelos estadísticos y revisión humana. NIST incluye la detección de anomalías y el seguimiento de falsos positivos y falsos negativos entre las prácticas para identificar fraude y ajustar los sistemas.

3. ¿Cómo se defienden los bancos y las personas?

Lo que pueden hacer los bancos y las plataformas

Las entidades necesitan observar el recorrido completo de una operación: identidad, dispositivo, sesión, cuenta, destinatario y comportamiento previo. También deben compartir señales con rapidez dentro de los límites legales, actualizar sus modelos cuando cambian las tácticas y medir cuántas alertas son realmente útiles.

La respuesta automática puede detener una transferencia, pedir una verificación adicional o enviar el caso a un analista. La meta no es bloquear todo lo inusual: es aplicar una fricción proporcional al riesgo. Un pago cotidiano no merece la misma intervención que un cambio repentino de dispositivo seguido por la creación de un destinatario y una transferencia atípica.

También hacen falta controles sobre los propios sistemas de IA: permisos limitados, registros de decisiones, pruebas contra ataques y supervisión de los modelos. Una herramienta que toma decisiones sobre dinero no debería operar como una caja negra sin revisión. La rapidez ayuda, pero la trazabilidad permite corregir errores y explicar por qué se detuvo una operación.

Lo que pueden hacer las personas

• Detenerse ante cualquier mensaje que exija actuar de inmediato, guardar silencio o pagar por un método difícil de revertir.
• Colgar y llamar a la persona o institución mediante un número buscado por cuenta propia. No usar el número que aparece en el mensaje sospechoso.
• Tratar la voz, la fotografía y el video como señales, no como pruebas suficientes de identidad.
• Activar autenticación multifactor, usar contraseñas distintas y mantener actualizado el teléfono, el navegador y las aplicaciones.
• Si ya hubo un pago, avisar de inmediato al banco o a la plataforma utilizada, pedir la reversión cuando exista esa posibilidad y reportar el caso a la autoridad competente.

Lo que esto significa

La IA no convierte cada llamada en una estafa ni vuelve inútiles todos los controles. Hace más barato y rápido producir engaños que imitan señales de confianza. La respuesta pasa por cambiar el foco: verificar la identidad por otro canal, observar relaciones entre eventos y dar a las personas unos minutos para pensar antes de autorizar un pago.

Para los bancos, el reto consiste en detectar patrones sin convertir cada anomalía en un bloqueo. Para el público, la regla más práctica es sencilla: una voz conocida puede ser falsa y una pantalla familiar puede estar imitada. Cuando hay urgencia, secreto y dinero en la misma conversación, la pausa es una herramienta de seguridad.

Bibliografía

• INTERPOL, Global Financial Fraud Threat Assessment 2026: informe completo.
• INTERPOL, “Report warns of increasingly sophisticated global financial fraud threat”, 16 de marzo de 2026: comunicado.
• INTERPOL y UNODC, “Global Fraud Summit ends with call to action against fraud surge”, 17 de marzo de 2026: resumen del encuentro.
• Federal Trade Commission, “Scammers use AI to enhance their family emergency schemes”: recomendaciones sobre clonación de voz.
• Federal Trade Commission, “What are the signs of a scam?”: señales y pasos de verificación.
• CISA, Stay Safe Online When Using AI: guía de seguridad.
• NIST, Cybersecurity Framework Profile for Artificial Intelligence: documento técnico.
• GatekeeperX, comunicado suministrado para este artículo. Sus declaraciones se presentan como la posición de la empresa y fueron contrastadas con las fuentes anteriores.