Fiscalía de NY acusa a 3 por fraude con IA de US$129M

Tres acusados, un guion y US$129 millones

La fiscalía federal del Distrito Sur de Nueva York acusó a tres hombres de usar inteligencia artificial para imitar las voces y las caras de directivos y abogados de empresas y desviar unos 129 millones de dólares (unos 115 millones de euros) de hospitales, bancos y otras organizaciones. Son acusaciones, no condenas: los tres se presumen inocentes y el proceso sigue abierto.

Para un founder, la cifra no es lo más importante. Lo importante es el método. El ataque no rompió un firewall ni explotó una vulnerabilidad de software: convenció a personas usando la cara y la voz de su jefe.

¿Cómo funcionaba el fraude con IA?

Según la acusación, entre 2024 y 2026 los acusados suplantaron con IA a jefes y abogados en llamadas con empleados para ordenar transferencias. El patrón que describe TMCnet a partir del comunicado de la Fiscalía es siempre el mismo: primero una llamada del supuesto CEO pidiendo ayuda con una transacción confidencial; después el empleado era derivado a un «abogado» de un gran despacho internacional que daba las instrucciones de transferencia. Ese abogado era otro miembro del grupo.

Leíste lo que hace la IA. ¿Y en tu negocio?

Un agente de IA puede quedarse con parte de tu día: ordenar lo pendiente y pedirte el OK antes de actuar. El Kit «tu mano derecha con IA» trae un video de 11 minutos y una ficha para dejar al tuyo trabajando. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

Un detalle del caso dice más que cualquier cifra: uno de los acusados supuestamente guardaba un guion manuscrito titulado «Lawyer Call», con frases diseñadas para que la víctima no hablara con sus compañeros. El fraude no se diseñó contra la tecnología de la empresa. Se diseñó contra su organigrama y sus procedimientos internos.

El dinero se movió a cuentas en varios países —España, Grecia, Emiratos Árabes Unidos, Singapur y China, según el extracto de la acusación— y después se convirtió en criptomonedas para ocultar el rastro. TMCnet cifra en nueve los países receptores.

¿Cuánto perdió cada víctima?

La acusación desglosa las pérdidas: un sistema hospitalario de Misuri perdió unos 4,8 millones de dólares y una fintech británica, unos 11,6 millones. Entre las víctimas figuran además un banco de Rhode Island, un sistema hospitalario de California, un fondo de inversión de Massachusetts y una empresa de alimentos para mascotas de Florida. El total del esquema asciende a unos 129 millones de dólares.

El detalle que publica TMCnet con las cifras del comunicado: 11,6 millones de la fintech británica, 5,2 millones de la empresa de alimentos para mascotas de Florida, 4,8 millones del sistema hospitalario de Misuri, 4,6 millones del fondo de inversión de Massachusetts, casi 3 millones del sistema hospitalario de California y 2,7 millones del banco de Rhode Island.

La lección de esa lista es que no hay un sector objetivo. Hospitales, bancos, fondos de inversión y una empresa de pienso para mascotas. Lo que comparten no es la industria: es el proceso de pago.

¿Quiénes están acusados y en qué fase está el caso?

Tres hombres de 41, 54 y 42 años, detenidos a la espera de extradición a Estados Unidos. Dos fueron arrestados en España, en junio y agosto, y un tercero en el Reino Unido en septiembre. Uno de ellos, de 54 años, ya fue condenado en 2008 en ese mismo tribunal por conspiración para cometer fraude bancario. Enfrentan cargos de fraude electrónico, blanqueo de capitales y robo agravado de identidad; los más graves conllevan hasta 20 años de prisión.

James C. Barnacle Jr., director adjunto de la oficina de Nueva York del FBI, resumió el caso en el comunicado que recoge TMCnet: el esquema «demuestra cómo el uso de tecnología avanzada puede explotarse para cometer fraude a gran escala».

¿Por qué este caso es distinto del fraude de 2019?

Porque la escala cambió de orden de magnitud. TheNextWeb recuerda un caso de 2019 en el que unos estafadores clonaron la voz de un directivo y se llevaron unos 243.000 dólares. De 243.000 a 129 millones hay un salto que no se explica por más delincuentes, sino por el costo de la suplantación: lo que antes requería un actor de voz, un editor de vídeo y semanas de preparación hoy es un flujo de trabajo barato.

El dato que mejor mide el fenómeno viene de Gartner: el 41% de los CISO encuestados reportó al menos un incidente de ingeniería social con deepfake en una llamada de audio de empleados durante los últimos 12 meses, y el 36% lo reportó en videollamada. La encuesta, difundida por Help Net Security, cubrió a 297 responsables de seguridad y se realizó entre marzo y mayo de 2026. No es un caso aislado: es una categoría de ataque ya instalada.

Y la detección va perdiendo terreno. Según Malwarebytes, casi nueve de cada diez adultos dicen que ya no pueden distinguir lo real de lo generado por IA. El caso de Hong Kong de 2024 —donde un empleado de finanzas transfirió más de 25 millones de dólares en una videollamada en la que creyó ver a su CFO y a varios colegas— anticipó exactamente este patrón.

¿Qué significa esto para tu startup?

La defensa que la mayoría de las empresas tiene hoy es «el empleado se dará cuenta». Ese control ya no funciona. Si tu política de pagos depende de que alguien escuche con atención y note algo raro, el ataque te va a alcanzar: la voz va a seguir mejorando y el oído humano no.

Hay cuatro cosas que puedes implementar esta semana, sin comprar software:

Callback por número en archivo. Nunca por el número que aparece en la solicitud. Si el CEO pide una transferencia, finanzas llama al número corporativo registrado y confirma. Sin excepciones.
Doble firma en transferencias grandes. Dos personas autorizan cualquier pago inusual o de alto monto. Elimina la excepción del aprobador único para casos urgentes.
«Confidencial» y «no se lo digas a nadie» como bandera roja. La urgencia y el secreto son los dos ingredientes que el fraude necesita para que no verifiques. Trátalos como señal de alarma, no como razón para saltarte el proceso.
Verificar al abogado externo con tu propio equipo legal. No con los datos de contacto que te da quien llama. Este caso se apoyó justamente en un «abogado» que entregaba las instrucciones de transferencia.

Y una quinta, cultural: entrenar al equipo para que contradecir al CEO esté permitido y protegido. Si un analista de finanzas cree que cuestionar al jefe le cuesta el puesto, el proceso existe en el papel y no se ejecuta nunca.

¿Comprar detección de deepfakes o rediseñar el proceso?

Ambas cosas, pero en ese orden inverso. El mercado de detección de deepfakes estaba valorado en 918,6 millones de dólares en 2025 y se proyecta a 12.140,7 millones en 2035, con un CAGR del 29,5% entre 2026 y 2035, según un informe de mercado difundido por GlobeNewswire. El segmento estadounidense pasaría de 306,2 millones a 3.558,9 millones en el mismo periodo.

Ese crecimiento dice algo: hay demanda real. Pero el propio informe lo enmarca en prevención de fraude, no en moderación de contenido, y ahí está el matiz. Un detector te dice si el vídeo es falso; no te dice si el pago debe salir. La decisión de transferir 4,8 millones de dólares no se resuelve con un porcentaje de confianza sobre un audio.

Para un equipo pequeño, la secuencia razonable es: primero una política escrita de verificación de pagos, después simulacros de phishing y vishing con deepfake, y solo entonces evaluar herramientas. Muchas startups de 20 personas no tienen ni el primer paso.

Conclusión

El caso judicial decidirá la culpabilidad de los tres acusados. El problema de fondo no depende del veredicto: una cara y una voz en pantalla ya no prueban identidad. Lo que sigue probándola es un proceso que no se puede clonar: un número de teléfono que ya tienes, una segunda firma y la costumbre de preguntar dos veces.

El fraude del «CEO que pide una transferencia urgente» lleva años funcionando por correo. Lo que cambió es que ahora suena y se parece a él. La respuesta no es tecnológica, es de procedimiento.