Durante años, la mayor amenaza en Internet tenía nombre y apellidos: personas como Brett Johnson, uno de los ciberdelincuentes más conocidos de principios de los 2000. Hoy, ese mismo exhacker, que pasó de liderar foros criminales a colaborar con las autoridades, lanza una advertencia incómoda: el verdadero peligro que viene ya no es humano, es la inteligencia artificial.
Su diagnóstico no es una frase efectista. Johnson describe un futuro muy cercano en el que las estafas ya no las diseñan individuos aislados delante de un teclado, sino sistemas automatizados capaces de escribir, hablar, imitar rostros y gestionar miles de víctimas a la vez. Un crimen organizado donde las personas son cada vez más prescindibles… salvo como objetivo.
De la Dark Web a la “fábrica” de estafas
Para entender el peso de su advertencia hay que recordar quién es Brett Johnson. Fue uno de los fundadores y administrador de ShadowCrew, un foro pionero donde miles de delincuentes intercambiaban identidades robadas, tarjetas de crédito y técnicas de fraude. Aquel ecosistema es considerado uno de los precursores de la Dark Web moderna.
Durante más de una década, Johnson vivió del delito digital: robó identidades, revendió datos bancarios y llegó a ganar más de 100.000 dólares al mes, con picos que superaban los 500.000 dólares mensuales cuando estaba en la lista de “más buscados” de Estados Unidos. Tras su caída, pasó por prisión federal y acabó colaborando con las autoridades, incluido el Servicio Secreto estadounidense.
Precisamente desde esa doble mirada —como antiguo criminal y ahora como experto en cibercrimen— sostiene que el problema ha cambiado de escala. Si antes el riesgo era un delincuente hábil con un puñado de herramientas, ahora la amenaza es una industria que mezcla granjas de estafas, inteligencia artificial generativa y nuevas formas de suplantación de identidad.
Deepfakes: cuando ya no se puede confiar en lo que se ve ni en lo que se oye
La primera gran señal de ese futuro son los deepfakes. Johnson coincide con muchos especialistas en que esta tecnología está pasando de curiosidad viral a herramienta central del fraude.
Los delincuentes ya utilizan vídeos y audios generados por IA para hacerse pasar por directivos, familiares o empleados. El caso de un empleado financiero que autorizó transferencias por más de 25 millones de dólares tras una videollamada con “compañeros” que en realidad eran recreaciones generadas por IA es un ejemplo claro de hacia dónde evoluciona el fraude corporativo: no hace falta vulnerar un sistema si se puede engañar a quien tiene permisos legítimos.
El riesgo no está solo en la calidad técnica de las imitaciones, cada vez más realistas, sino en la velocidad. Los modelos de IA pueden:
- Aprender patrones de voz a partir de pocas grabaciones.
- Generar respuestas personalizadas en tiempo real.
- Ajustar el discurso a la reacción de la víctima, como si fueran una persona más en la conversación.
En la práctica, esto significa que los delincuentes pueden “comprar confianza” al instante, haciéndose pasar por alguien que la víctima ya considera fiable. En lugar de invertir semanas o meses en ganarse la credibilidad de un objetivo, basta con replicar digitalmente a un jefe, a un hijo o a un gestor bancario.
En ese supuesto futuro que Johnson describe, la frase “no te fíes de lo que ves en Internet” deja de ser un consejo prudente para convertirse en una norma de supervivencia digital.
Granjas de estafas: del “lobo solitario” a la empresa criminal de turno partido
La segunda gran pieza de ese futuro son las granjas de estafas, operaciones con apariencia de empresa donde docenas o cientos de personas trabajan por turnos cometiendo fraude.
Estas estructuras ya existen: edificios llenos de trabajadores —muchos de ellos víctimas de trata o engaños laborales— que se dedican a lanzar campañas masivas de engaño. Algunas se especializan en el llamado pig butchering o “despiece del cerdo”: estafas de relación a largo plazo en las que el estafador se gana la confianza de la víctima durante semanas o meses para convencerla de invertir todos sus ahorros en criptomonedas o productos financieros falsos.
Lo que cambia con la IA es la capacidad de escalar el modelo:
- Un mismo guion puede adaptarse automáticamente a miles de víctimas según su idioma, edad o perfil económico.
- Chatbots avanzados pueden mantener varias conversaciones en paralelo casi sin intervención humana.
- Las herramientas generativas permiten crear webs falsas, documentos, capturas de pantalla y paneles de inversión con apariencia profesional en cuestión de minutos.
Johnson señala que, a diferencia de los años 90 y 2000, cuando los delincuentes operaban en redes más informales, hoy el cibercrimen se parece cada vez más a una multinacional: jerarquías, supervisores, objetivos de ventas… y, en el horizonte, sistemas de IA que automatizan buena parte del trabajo “emocional” de la estafa.
Identidades sintéticas: personas que no existen y un fraude casi invisible
La tercera pieza del panorama futuro son las identidades sintéticas. No se trata de robar la identidad completa de alguien, sino de construir una persona ficticia mezclando datos reales (como un número de documento o información parcial) con datos inventados.
Estas identidades digitales pueden tener:
- Historial crediticio creado a base de pequeñas operaciones que sí se pagan.
- Cuentas bancarias y tarjetas a su nombre.
- Rastros en redes sociales y presencia online creíble.
Según Johnson, el fraude con identidades sintéticas se ha convertido ya en la forma número uno de robo de identidad en el mundo y estaría detrás de alrededor del 80 % de los fraudes en cuentas nuevas, además de una parte relevante de las devoluciones y deudas de tarjetas de crédito.
El problema para bancos y comercios es que no hay una “víctima” clásica que llame para denunciar: la persona nunca ha existido. El fraude suele detectarse tarde, cuando las entidades se dan cuenta de que determinados créditos o líneas de crédito jamás se recuperarán.
Aquí la IA juega un papel doble:
- Ayuda a automatizar la creación de identidades falsas a gran escala.
- Permite mantener y hacer evolucionar esa identidad en el tiempo con publicaciones, fotografías generadas por IA y actividad digital creíble.
En un escenario a pocos años vista, un mismo grupo criminal podría gestionar miles de “personas” que no existen, todas ellas con vida propia en el mundo financiero y digital.
¿Hacia dónde va ese futuro? IA contra IA en el terreno del fraude
El relato de Brett Johnson no es solo una advertencia; es un anticipo de cómo podría ser el equilibrio de fuerzas en Internet en los próximos años. Si los delincuentes utilizan la IA para industrializar el fraude, la respuesta no podrá ser únicamente humana.
Las entidades financieras, las plataformas tecnológicas y los organismos públicos ya trabajan —con mayor o menor acierto— en varias líneas:
- Sistemas de detección basados en IA, capaces de reconocer patrones de comportamiento anómalos incluso cuando los datos de la identidad parecen coherentes.
- Verificación reforzada de identidad, combinando biometría, pruebas de vida (liveness detection) y comprobaciones cruzadas con múltiples fuentes.
- Limitaciones de riesgo en cuentas nuevas, especialmente en productos de crédito y métodos de pago digitales.
- Colaboración internacional para identificar infraestructuras de granjas de estafa y redes de distribución de malware y herramientas criminales.
En paralelo, expertos como Johnson insisten en que la parte “analógica” sigue siendo clave: congelar el historial crediticio cuando sea posible, activar alertas de movimientos, usar contraseñas únicas, desplegar autenticación multifactor y extremar la prudencia con lo que se comparte en redes sociales.
El supuesto futuro al que apunta este exhacker no es inevitable, pero sí verosímil: un ecosistema en el que las máquinas escriben el correo fraudulento, fabrican la cara del falso directivo, sostienen la videollamada, crean la identidad sintética que abrirá la cuenta… y donde el primer filtro puede seguir siendo un usuario que cuelga a tiempo o una entidad que detecta que “algo no encaja” en los datos.
La pregunta es si las defensas —humanas y algorítmicas— llegarán a tiempo y con la escala suficiente para frenar una industria del fraude que, por primera vez, tiene a la IA como motor principal y no solo como herramienta auxiliar.
Preguntas frecuentes sobre las nuevas amenazas de fraude impulsadas por IA
¿Qué es exactamente un deepfake y por qué es tan peligroso en estafas financieras?
Un deepfake es un contenido generado por inteligencia artificial que imita la voz, el rostro o los gestos de una persona real en vídeo o audio. En el terreno financiero es especialmente peligroso porque permite a los delincuentes hacerse pasar por directivos, empleados de banca o familiares, y convencer a la víctima para autorizar transferencias, compartir contraseñas o romper protocolos de seguridad que normalmente respetaría.
¿En qué se diferencia el fraude con identidades sintéticas del robo de identidad tradicional?
En el robo de identidad clásico, un delincuente usa casi todos los datos de una persona real para hacerse pasar por ella. En el fraude de identidad sintética se construye una persona ficticia combinando datos reales (por ejemplo, un número de documento) con datos inventados, creando un “cliente” nuevo que no existe en el mundo físico. Esa identidad falsa puede abrir cuentas, solicitar créditos y generar deudas que las entidades suelen descubrir tarde.
¿Qué papel juegan las granjas de estafas en este nuevo escenario?
Las granjas de estafas son estructuras organizadas que funcionan como empresas ilegales: muchos trabajadores, turnos, supervisores y objetivos económicos. La IA permite a estas granjas escalar sus operaciones, automatizar conversaciones y personalizar mensajes para miles de víctimas a la vez. En lugar de un estafador aislado, hablamos de equipos enteros apoyados en herramientas de IA generativa.
¿Qué puede hacer una persona normal para protegerse frente a estas amenazas emergentes?
Los expertos recomiendan combinar medidas técnicas y de comportamiento: congelar el crédito cuando sea posible para evitar la apertura de cuentas nuevas, activar alertas en bancos y tarjetas, usar contraseñas únicas y gestores de contraseñas, habilitar siempre la autenticación multifactor y desconfiar de cualquier petición urgente de dinero o datos sensibles, incluso si proviene de alguien que “parece” conocido por voz o vídeo. Ante la duda, conviene verificar siempre por un canal distinto.
