🎃 Halloween 2026 | Historia 03/14
En enero de 2024, un empleado del departamento financiero de la oficina de Hong Kong de una multinacional británica se conectó a una videoconferencia en la que aparecía el director financiero de la compañía, con sede en Reino Unido, acompañado de otras personas que el empleado identificó como colegas.
Las caras eran las de siempre, las voces sonaban como debían y las instrucciones tenían el tono de una operación delicada que debía resolverse con discreción.
Durante la semana siguiente, ese empleado ordenó 15 transferencias por un total de 200 millones de dólares de Hong Kong, unos $25,6 millones estadounidenses, hacia cinco cuentas bancarias locales. Ninguna de las personas que lo habían convencido en aquella pantalla estaba realmente allí.
Un mensaje que no convencía
Todo empezó, según la policía de Hong Kong, con un mensaje recibido a mediados de enero que aparentaba venir del director financiero y que hablaba de una transacción secreta que debía ejecutarse. El empleado sospechó que podía tratarse de un intento de phishing, la reacción que cualquier manual de seguridad corporativa espera de un profesional de finanzas ante una orden urgente, confidencial y llegada por un canal inusual.
La duda se resolvió de la forma que, hasta entonces, parecía más segura, con una videollamada en la que podía ver y escuchar a quienes daban la orden.
La videollamada
El superintendente en funciones Baron Chan Shun-ching, de la unidad de ciberseguridad y delitos tecnológicos de la policía de Hong Kong, explicó en rueda de prensa a comienzos de febrero de 2024 que la conferencia tenía varios participantes y que todos, excepto la víctima, eran suplantaciones.
En casos anteriores, añadió, los estafadores se limitaban a videollamadas individuales, mientras que aquí habían montado una reunión entera.
Según la versión policial, los delincuentes reunieron vídeos y audios públicos de las personas suplantadas, entre ellos material disponible en YouTube, y emplearon tecnología de deepfake para imitar sus rostros y sus voces.
Chan precisó además que esos vídeos estaban pregrabados y que no hubo diálogo real entre los falsos directivos y el empleado, un detalle que revela hasta qué punto bastó la apariencia de una reunión para desactivar sus sospechas.
Un deepfake es un contenido audiovisual generado o alterado con IA para que una persona parezca decir o hacer algo que nunca dijo ni hizo.
Las autoridades no detallaron qué herramientas concretas se usaron, pero el mecanismo de fondo no requería perfección, porque el empleado no buscaba fallos en las imágenes de compañeros a los que reconocía y que le hablaban en el contexto aparentemente normal de una reunión de trabajo.
Después de la conferencia, el falso director financiero mantuvo el contacto por mensajería, correo electrónico y videollamadas individuales, y la policía señaló que otros empleados de la sucursal también fueron contactados.
El dinero y la confirmación
Las transferencias se ejecutaron en el plazo de una semana y el engaño salió a la luz cuando el empleado consultó con la sede central de la empresa en Londres. La policía recibió la denuncia el 29 de enero, cuando los 200 millones de dólares de Hong Kong ya habían salido en las 15 operaciones.
Al hacer público el caso, la policía no reveló el nombre de la compañía y aseguró que no se había producido ninguna detención. El 17 de mayo de 2024, tras una información del Financial Times, la firma británica de ingeniería y diseño Arup confirmó que era la víctima, reconoció que se habían utilizado voces e imágenes falsas y precisó que su estabilidad financiera y sus operaciones no se vieron afectadas y que ninguno de sus sistemas internos fue comprometido.
Rob Greig, director global de sistemas de información de Arup, admitió entonces que la compañía recibía ataques frecuentes, incluidos deepfakes, y que su número y sofisticación habían aumentado con fuerza en los meses previos. En la información pública disponible no consta que los autores hayan sido identificados.
Lo que convierte este caso en algo más que un gran fraude es el orden de los acontecimientos. El empleado hizo lo que se esperaba de él cuando desconfió de un mensaje escrito, y la verificación que buscó fue precisamente la que los estafadores habían preparado para él.
Durante años, ver el rostro de alguien y oír su voz funcionó como la prueba definitiva de identidad en las comunicaciones a distancia. La reunión de Hong Kong demostró que esa prueba puede fabricarse con material público y que, para que funcione, basta con que la persona al otro lado reconozca a quienes cree que tiene delante.
🎃 Esta es la tercera entrega de «Halloween 2026: 14 historias para no dormir», una colección especial de CriptoTendencia con una nueva historia cada día hasta el 31 de octubre.
