El eslabón más débil de una «family office» puede ser una voz convincente

Según se ha informado, una empresa del cantón de Schwyz ha perdido varios millones de francos después de que unos estafadores utilizaran llamadas de audio y mensajes de voz «deepfake» en una sofisticada estafa en la que se hacían pasar por directivos. Este caso forma parte de una categoría de ataques cada vez más frecuente en la que los delincuentes ya no se limitan a enviar correos electrónicos mal redactados o historias inverosímiles. Reproducen la voz, el lenguaje y la autoridad de alguien en quien el destinatario ya confía y, a continuación, sitúan la solicitud en un contexto que parece totalmente creíble.

Para una family office, esta amenaza va más allá de la ciberseguridad convencional. Muchas de estas oficinas son deliberadamente pequeñas, discretas y se basan en las relaciones personales, y las decisiones pasan por un círculo reducido de familiares, ejecutivos, banqueros, fideicomisarios y asistentes que pueden llevar años trabajando juntos. La familiaridad hace que la organización sea eficiente. Un responsable puede enviar una nota de voz mientras viaja, un asistente reconoce la solicitud, el director financiero comprende el contexto y el banco sabe que la rapidez puede ser clave.

Esa misma familiaridad ahora se puede crear artificialmente.

Una voz sintética convincente puede reproducir el tono, el acento y la forma habitual de expresarse, mientras que una cuenta de correo electrónico comprometida o un documento filtrado proporcionan los detalles necesarios para que la instrucción resulte verosímil. El empleado ya no está respondiendo a un desconocido que le resulta claramente sospechoso. Da la impresión de que está siguiendo los deseos de la persona cuya autoridad ha respetado durante años.

Por lo tanto, la defensa adecuada no es una mejor intuición. Se trata de un sistema de pago y control de la información diseñado para seguir siendo fiable incluso cuando la voz, el número y la historia que lo rodea parecen auténticos.

El fraude ya no tiene por qué parecer fraudulento

El fraude tradicional por suplantación de identidad solía delatarse a sí mismo a través de incoherencias. El remitente utilizaba una dirección desconocida, la redacción resultaba poco natural o la solicitud guardaba poca relación con la actividad actual de la organización. La inteligencia artificial no elimina todas las señales de alerta, pero permite a los atacantes reproducir muchas de las características en las que los empleados solían basarse para reconocer la autenticidad.

Las entrevistas públicas, las intervenciones en conferencias, los podcasts y los vídeos en redes sociales pueden proporcionar muestras de voz. Los registros corporativos, la información sobre propiedades y los perfiles profesionales ayudan a establecer relaciones. Una cuenta de correo electrónico comprometida puede revelar transacciones actuales, calendarios de viajes, asesores, estilo de redacción y la forma en que un directivo se dirige a determinados empleados.

El atacante no necesita mantener una conversación impecable. Un breve mensaje de voz puede bastar para confirmar un cambio en los datos bancarios, autorizar una transferencia o indicar a un empleado que continúe la conversación en otra plataforma. El mensaje puede ser deliberadamente breve, ya que se supone que el cliente está embarcando en un vuelo, entrando en una reunión o gestionando una transacción confidencial.

Por lo tanto, es posible que el destinatario no disponga de ningún método fiable para comprobar la autenticidad a partir de la propia comunicación. La voz puede sonar convincente, el momento puede parecer adecuado y la solicitud puede encajar con una transacción ya existente. Lo que parece ser una garantía de seguridad puede, en realidad, formar parte del ataque.

Las oficinas familiares combinan una gran concentración de información con una gran concentración de autoridad

Una «family office» puede ser un objetivo especialmente atractivo, ya que concentra información que, en una institución más grande, estaría repartida entre varios departamentos. Los empleados pueden saber dónde se encuentran los activos, qué miembro de la familia puede autorizar un pago, qué propiedades se están adquiriendo, cuándo se encuentra el mandante en el extranjero y qué abogado o fideicomisario está trabajando en una operación delicada.

La autoridad puede estar igualmente concentrada. Un miembro de la familia tiene la última palabra, un directivo de confianza se encarga de la ejecución y un asistente coordina la comunicación. Esto puede dar lugar a un modelo operativo eficiente, pero también significa que bastaría con suplantar la identidad de una o dos personas para influir en el movimiento de una cantidad considerable de capital.

Normalmente, un banco separa las fases de iniciación, aprobación, revisión de cumplimiento y ejecución. Una «family office» más pequeña puede contar con menos personal implicado, ya que el titular valora la discreción y la rapidez. Los controles se establecen por costumbre: el director financiero reconoce la voz del titular, el asistente sabe cómo escribe el titular y el banquero acepta la confirmación procedente de un número de teléfono conocido.

Ninguna de estas prácticas es irracional. Funcionaban porque, en su día, la identidad y la familiaridad estaban estrechamente relacionadas. La inteligencia artificial debilita esa conexión.

El atacante también puede actuar de forma indirecta. En lugar de suplantar inmediatamente al titular, puede hacerse pasar por un banquero, un abogado o un proveedor de tecnología y recabar información que respalde una solicitud posterior. El objetivo inicial puede ser confirmar quién gestiona los pagos, qué número utiliza el titular o cuándo se prevé que se cierre una transacción.

Por lo tanto, en el caso de una family office, la superficie de ataque incluye no solo a su propio personal y sus propios sistemas, sino también a todos los asesores y proveedores de servicios a través de los cuales pasan las instrucciones y los documentos.

El ataque más creíble se parecerá a una transacción real

Una orden fraudulenta es más fácil de rechazar cuando el importe, el beneficiario o la justificación resultan claramente inusuales. Las solicitudes más peligrosas son aquellas que se ajustan a las circunstancias reales de la oficina familiar.

Es posible que la familia ya esté adquiriendo una propiedad, suscribiéndose a un fondo del mercado privado o transfiriendo capital entre entidades. Es posible que el mandante esté realmente de viaje y se comunique mediante mensajes de voz. La transacción puede ser confidencial y estar sujeta a un plazo límite. Un atacante que haya obtenido parte de ese contexto solo tiene que modificar un elemento, como la cuenta del beneficiario, la persona de contacto o el canal de comunicación.

Esto plantea un problema con los métodos de verificación convencionales. Un empleado recibe un correo electrónico y solicita una confirmación por voz, pero la llamada se desvía a través de un número falsificado o se responde con una voz sintética. A continuación, aparece un «abogado» para confirmar la instrucción desde una cuenta que ya ha sido comprometida. El empleado cree que se han realizado dos comprobaciones distintas, aunque ambas proceden del mismo ataque.

Un segundo mensaje no constituye un segundo control a menos que se reciba a través de una vía de confianza independiente.

Por lo tanto, la verificación debe basarse en los datos de contacto y los procedimientos establecidos antes de que se reciba la instrucción objeto de controversia. Un número de devolución de llamada que figure en la solicitud no es independiente. Tampoco lo es una cuenta de mensajería a la que el supuesto mandante acaba de pedir al empleado que traslade la conversación.

Una voz familiar debería transmitir autoridad, pero no servir para verificar la identidad.

Las oficinas familiares no tienen por qué dejar de utilizar mensajes de voz ni la comunicación informal. Lo que deben hacer es separar la comunicación de la autorización.

Un responsable puede explicar los motivos comerciales de una operación por teléfono, pero el pago debe seguir, en cualquier caso, un proceso predefinido. Las transferencias de activos, los nuevos beneficiarios y los cambios en las instrucciones de liquidación deben requerir una confirmación a través de un canal autorizado, con doble autorización cuando el importe o el riesgo lo justifiquen.

Los datos de contacto de confianza deben conservarse en un registro protegido y modificarse únicamente mediante un procedimiento de verificación independiente. Los empleados deben devolver la llamada a un número que la oficina ya conozca, en lugar de utilizar el que figure en el mensaje recibido. Cuando la familia dependa en gran medida de la comunicación por voz, un código de transacción acordado o una plataforma de aprobación segura pueden constituir una prueba más sólida que el mero reconocimiento.

Las preguntas personales son menos seguras de lo que parecen. Un estafador puede averiguar la fecha de cumpleaños de un familiar, el nombre de su mascota, el colegio al que asiste, sus últimas vacaciones o la dirección de su vivienda a través de fuentes públicas o de correspondencia que haya sido objeto de un ataque. La información de seguridad debe crearse específicamente para la autenticación y mantenerse separada de los datos personales habituales.

La norma más importante es la coherencia en los procedimientos. La oficina no debe relajar los controles de verificación por el hecho de que la voz suene convincente, el número resulte familiar o la persona que llama parezca molesta por la demora. Esas características forman ahora parte del modelo de amenazas.

La urgencia debería modificar el proceso, no suspenderlo

El fraude por suplantación de identidad se basa en gran medida en la presión psicológica. La transacción se presenta como confidencial, el plazo límite se acerca y se hace sentir al empleado que es personalmente responsable de las consecuencias de cualquier retraso. En las oficinas familiares, la jerarquía puede intensificar esa presión, ya que los empleados suelen trabajar directamente para el titular y son conscientes de que la rapidez de respuesta forma parte de sus funciones.

Por lo tanto, la familia debe decidir de antemano qué ocurre cuando sea necesaria una transferencia verdaderamente urgente. Un procedimiento de excepción puede especificar quién debe aprobarla, qué controles adicionales se aplican y cómo se documentará la decisión. Un mandante que desee que la oficina actúe con rapidez debe respaldar el procedimiento que garantice que esa rapidez sea segura.

Para ello se necesita algo más que una política por escrito. Los empleados deben contar con autorización explícita para retrasar una transferencia cuando la autenticación no se haya completado, incluso cuando la instrucción aparente provenga de la persona de mayor rango en la jerarquía. Un control que desaparece cuando el responsable se impacienta no es un control.

La norma de conducta debe ser clara: cumplir con el proceso de verificación es un acto de lealtad hacia la familia, no una resistencia a su autoridad.

La confidencialidad requiere un proceso controlado para su revisión

Las transacciones delicadas suelen limitarse a un grupo reducido por motivos legítimos. Es posible que una adquisición pendiente, una reestructuración o un conflicto familiar no sean temas aptos para una difusión más amplia. Los estafadores se aprovechan de ello y piden al destinatario que no informe a sus compañeros de trabajo ni a sus asesores.

La confidencialidad debe limitar quién recibe la información comercial, pero nunca debe hacer que una sola persona sea la única responsable de decidir si una instrucción es auténtica.

La oficina familiar puede crear un grupo de aprobación restringido para transacciones excepcionales. El empleado que tramite el pago no tiene por qué conocer todos los detalles, pero debe poder confirmar que se han verificado de forma independiente el beneficiario, el importe y la autorización. En una oficina muy pequeña, el segundo verificador puede ser un fideicomisario, un consejero o un fiduciario externo que haya sido designado con antelación.

Las solicitudes para excluir al verificador habitual merecen una atención especial. Es posible que, en ocasiones, un principal tenga una razón válida, pero la oficina debe considerar dicho cambio como una excepción que requiere una autenticación más rigurosa, y no como una prueba de que la confidencialidad sea imprescindible.

No se puede dar por sentado que los bancos y los asesores proporcionen el control que falta

Una oficina familiar puede dar por sentado que su banco detectará una orden inusual, mientras que el banco da por hecho que la oficina ya la ha verificado. Pueden surgir desajustes similares entre la oficina, los fideicomisarios, los abogados y los administradores externos.

Las responsabilidades respectivas deben acordarse antes de que se produzca un intento de fraude. Cada banco debe contar con umbrales de transacción claros, contactos autorizados y procedimientos para nuevos beneficiarios o cambios en los datos de pago. La oficina debe saber qué instrucciones acepta la entidad por teléfono, correo electrónico o plataforma digital, y qué comprobaciones realiza el banco de forma independiente.

Esto cobra mayor importancia cuando intervienen varios bancos o centros de reservas. Los procedimientos pueden variar considerablemente, mientras que los empleados dan por sentado que en todas partes existen las mismas medidas de seguridad.

Los asesores externos deben integrarse en el mismo marco. No basta con la dirección de correo electrónico habitual de un abogado cuando cambian las instrucciones para llegar a un acuerdo. La opinión de un fideicomisario no debe prevalecer sobre el protocolo de aprobación. Todos los participantes deben saber qué canal transmite la información y cuál establece la autoridad.

El entorno familiar podría ser el contexto en el que se produjo la agresión.

La seguridad de las «family offices» suele centrarse en las inversiones y la banca, mientras que la gestión del hogar suele ser más informal. Sin embargo, los asistentes, los conductores, el personal de la propiedad y los miembros de la familia pueden disponer precisamente de la información necesaria para que una suplantación de identidad resulte convincente.

Una confirmación informal de que el cliente se encuentra en Dubái, de que la compra de una propiedad está a punto de cerrarse o de que un nuevo asesor se ha incorporado a la familia puede parecer inofensiva. Si se combina con otros datos, puede explicar por qué llega una solicitud urgente desde una zona horaria diferente o por qué el supuesto cliente quiere utilizar un nuevo contacto.

Es posible que el objetivo del primer contacto no sea el dinero. Puede que sea obtener un documento, confirmar un número de teléfono, identificar a la persona encargada de gestionar los pagos o convencer a un empleado para que traslade la conversación a una plataforma menos segura.

Por lo tanto, la formación debería abarcar a todas las personas que manejan información sensible, aunque no es necesario convertir a cada empleado doméstico en un especialista en ciberseguridad. Es necesario que dispongan de normas claras sobre qué información se puede revelar, qué solicitudes requieren confirmación y a quién deben dirigirse cuando algo les parezca inusual.

La familia debe cumplir las mismas normas. Un responsable que cambia frecuentemente de número de teléfono, comparte cuentas o envía instrucciones de pago a través de varias plataformas de mensajería dificulta mucho la verificación fiable.

Un intento fallido es una muestra de inteligencia por parte de la familia

Un intento fallido de suplantación de identidad debe investigarse, en lugar de descartarse. La información detallada que figura en la solicitud puede revelar que una cuenta de correo electrónico, un proveedor de servicios o un dispositivo personal han sido objeto de un ataque.

La oficina debe documentar qué información conocía el atacante, qué identidad fue suplantada, cómo llegó el mensaje y por qué fracasó el intento. Es posible que sea necesario informar a los bancos y a los asesores, mientras que podría ser necesario revisar los números de confianza, las credenciales de autorización y los procedimientos de comunicación.

El fraude también puede formar parte de una secuencia más amplia. Se puede utilizar un mensaje de voz sintético para establecer una relación de confianza, dirigir al destinatario a otra plataforma u obtener acceso a cuentas y listas de contactos antes de que se realice cualquier solicitud de pago. Una vez que se ha copiado con éxito una identidad de confianza, el atacante puede utilizarla para ponerse en contacto con otros empleados, familiares o asesores.

Por lo tanto, la planificación ante incidentes debe incluir tanto la recuperación financiera como la contención de la información. La oficina familiar debe saber quién se pone en contacto con el banco, quién se encarga de conservar las pruebas, quién informa a las aseguradoras y quién coordina el apoyo jurídico o forense. Los empleados también deben comprender que dar a conocer rápidamente un posible error es más valioso que evitar una situación embarazosa.

El control debe funcionar incluso cuando la imitación sea perfecta.

Los consejos para detectar los «deepfakes» suelen centrarse en el tono metálico de la voz, las expresiones poco naturales o las irregularidades visuales. Aunque estos indicios pueden seguir siendo útiles, no pueden constituir la base de un sistema de seguridad duradero. Las voces sintéticas serán cada vez más naturales, y algunos ataques combinarán audio artificial con información auténtica obtenida de cuentas comprometidas.

A oficina familiar Deberíamos partir de la hipótesis de que, con el tiempo, la voz podría llegar a ser indistinguible de la de la persona real.

Partiendo de esa premisa, la identidad ya no puede determinarse únicamente mediante el reconocimiento. Una voz, un número, una dirección de correo electrónico o una imagen de vídeo pueden servir de apoyo a la comunicación, pero las acciones de alto riesgo requieren una autenticación independiente a través de un proceso diseñado antes de que se reciba la solicitud.

Esto es más que un simple ajuste técnico. Las «family offices» han basado históricamente parte de su eficacia en la confianza personal, las líneas de comunicación directas y la capacidad de actuar sin la burocracia institucional. Esas ventajas no tienen por qué desaparecer, aunque ya no puedan asumir toda la responsabilidad de la verificación.

El eslabón más débil no es necesariamente el empleado que se cree una voz convincente. Es el sistema de gobernanza el que espera que sean ellos quienes decidan si esa voz es auténtica.