El dueño de Parimatch pierde dinero en una startup de IA falsa: lo engañaron con un deepfake de un conocido

Las historias sobre deepfakes en los negocios suelen contarse como relatos de advertencia sobre otras empresas. Ahora el dueño de la casa de apuestas Parimatch, Serguéi Portnov, se ha visto en esa situación. Lo engañaron para que invirtiera en una startup de IA que en realidad no existía. Lo convenció no la startup en sí, sino un deepfake de una persona en la que confiaba.

Qué se sabe

Hay pocos detalles. Portnov habló de ello en una publicación de LinkedIn y no indicó la suma; solo escribió que perdió "muy caro". Quién fue suplantado exactamente y cómo transcurrió la comunicación no consta en datos públicos. Por eso aquí no se puede analizar la técnica del ataque, pero su conclusión merece atención.

Según Portnov, el fraude hace tiempo que superó las llamadas de "empleados del banco". Ahora puede contactarte un amigo o un familiar: voz conocida, conocimiento de detalles personales, pero en realidad no es esa persona. "Incluso una videollamada ya no es una prueba", escribe. Su receta: antes de transferir dinero, devuelva la llamada al interlocutor a un número que ya tenía. Cinco minutos de "paranoia", según él, saldrán mucho más baratos que sus pérdidas.

No es el primer caso

Historias así se acumulan desde 2024 y muestran distintas caras de un mismo problema.

Ese mismo año, un empleado del departamento financiero de la empresa de ingeniería Arup en Hong Kong se unió a una videoconferencia con el director financiero y sus colegas. Todos los participantes resultaron ser deepfakes. El empleado realizó quince pagos por un total de 200 millones de dólares de Hong Kong, unos $25,6 millones. La llamada parecía una reunión de trabajo normal, pero cada uno de sus participantes era una falsificación.

Otro ejemplo es totalmente inofensivo, pero revelador. Un usuario de X con el alias facelessboy00 contó que ayudó a un amigo a superar una entrevista en una empresa tecnológica. Él mismo es un desarrollador experimentado, así que se conectaba a la llamada y demostraba sus habilidades, mientras sustituía su rostro en tiempo real por el de su amigo. Al segundo intento consiguió una oferta de $4 mil. Si la suplantación funciona en una entrevista, funcionará también en una conversación sobre dinero.

Qué hacer en la práctica

La idea central de las tres historias: no cuente con detectar la falsificación por la imagen. La calidad mejora, mientras que la atención de las personas en la rutina laboral es limitada. Hay que proteger el proceso, no los ojos del empleado.

Para desarrolladores y líderes técnicos:

• No considere el vídeo ni la voz un factor de autenticación. Si su producto tiene escenarios de "confirmar identidad por llamada", revíselos.
• Al contratar especialistas remotos, añada verificaciones fuera de la videollamada principal: documentos, referencias, una segunda reunión por un canal independiente.

Para product managers y fundadores:

• Para transferencias e inversiones, introduzca la regla del segundo canal. Cualquier petición de dinero recibida por llamada o mensajería debe confirmarse mediante un contacto conocido de antemano.
• Para sumas grandes hace falta doble aprobación, de modo que una sola persona convencida no pueda realizar un pago por su cuenta. En el caso de Arup hubo quince pagos, y podrían haberse detenido en cualquier paso.
• Acuerde con sus allegados y su equipo una palabra clave para peticiones financieras urgentes. Es barato y funciona mientras la falsificación no conozca su secreto.
• Verifique por separado las ofertas de inversión "calientes". El tema de la IA atrae dinero ahora mismo, por eso los estafadores lo usan con gusto como cebo.

Limitaciones

Toda la historia se basa en la publicación personal de la víctima; en el material no hay confirmaciones independientes ni detalles técnicos. No sabemos qué herramientas usaron los atacantes, si fue una videollamada o solo voz, ni cómo se veía exactamente la startup para el inversor. Por eso es pronto para sacar conclusiones concretas sobre la tecnología.

Pero la conclusión práctica no depende de esos detalles. Si incluso el dueño de un gran negocio se equivocó, significa que el problema no es la ingenuidad de la víctima, sino los hábitos obsoletos. La verificación por un canal independiente lleva minutos, y un error puede costar millones. Para cualquier empresa donde alguien tenga derecho a transferir dinero, conviene incluir esta regla en el reglamento ya mismo.