Vi hace unos días un vídeo que me dejó impactado. Durante una videollamada, una persona pedía a su interlocutor que levantara tres dedos y los colocara delante de la cara. El otro se negaba. La explicación que acompañaba a la escena era inquietante: ciertos sistemas de deepfake en tiempo real pueden fallar cuando una mano tapa parcialmente el rostro que están sustituyendo.

No puedo verificar, solo a partir de ese vídeo, si aquella persona estaba usando un deepfake. Una negativa tampoco prueba nada por sí misma. Pero al revisar qué hay detrás de la llamada  prueba de los tres dedos , aparece un problema empresarial bastante más serio. Los deepfakes en videollamadas han dejado de ser una curiosidad técnica y ya forman parte de operaciones de fraude en las que ver y escuchar a alguien en directo puede no bastar para acreditar su identidad.

Los deepfakes en videollamadas ya son un riesgo empresarial

El 20 de julio de 2026, el FBI publicó una advertencia sobre estafadores que utilizan vídeos generados por IA en chats de vídeo en tiempo real para hacerse pasar por ejecutivos de empresas, agentes de las fuerzas de seguridad y otras figuras de autoridad. El organismo también señala que esos vídeos pueden emplearse en comunicaciones privadas para convencer a la víctima de que está hablando con una «persona real».

La amenaza tiene precedentes muy concretos. En 2024, Arup, una de las grandes firmas internacionales de ingeniería, confirmó que un empleado de su oficina de Hong Kong había sido engañado mediante una videoconferencia manipulada con inteligencia artificial. Según informó The Guardian, el trabajador terminó transfiriendo HK$200 millones, unos 20 millones de libras en aquel momento, después de participar en una llamada con supuestos altos cargos de la compañía. La operación se repartió en 15 transferencias hacia cinco cuentas bancarias.

Hay un detalle especialmente relevante para cualquier dirección financiera o de seguridad: Arup aseguró que sus sistemas internos no habían sido comprometidos. El ataque funcionó sobre otro activo, la confianza del empleado en lo que veía y escuchaba. Los delincuentes consiguieron que una videollamada con varias caras conocidas actuara como mecanismo informal de autenticación.

Ese cambio altera una rutina muy asentada en las empresas. Una llamada del director financiero, una reunión rápida con el CEO o una entrevista remota han funcionado durante años con una presunción sencilla: si la cara, la voz y el comportamiento coinciden, la identidad resulta razonablemente creíble. La IA generativa está reduciendo el valor de esas señales.

Qué hay detrás de la «prueba de los tres dedos»

El número tres no tiene ninguna propiedad especial. La parte técnicamente interesante es la oclusión: una mano, unos dedos o un objeto atraviesan una zona del rostro que el sistema está detectando, reconstruyendo y sustituyendo fotograma a fotograma.

Un trabajo de investigadores de New York University, publicado bajo el nombre «GOTCHA», estudió precisamente un sistema de «challenge-response» para detectar deepfakes durante interacciones de vídeo en directo. Entre las pruebas evaluadas estaban tapar partes de la cara con una mano, presionar un dedo contra la mejilla, realizar movimientos de cabeza, modificar expresiones o alterar la iluminación. Los investigadores observaron degradaciones visibles en varios generadores de deepfake en tiempo real sometidos a esas acciones.

Los fallos podían adoptar formas bastante reconocibles: objetos que parecían desaparecer al pasar delante del rostro, problemas en los límites de la máscara facial o pérdida de detalle. En la evaluación humana del estudio, los participantes identificaron al menos un artefacto en los vídeos manipulados con una precisión del 92,7% dentro de aquel conjunto experimental.

Ahí está el fundamento real del truco que circula en redes. Pedir que alguien coloque los dedos delante de la cara puede dificultar el trabajo de ciertos sistemas de «face swapping». Sin embargo, la investigación no establece una «prueba de los tres dedos» universal y tampoco permite concluir que superar ese gesto certifique que la persona es auténtica.

El problema de convertir un truco en protocolo

La propia investigación de «GOTCHA» anticipaba una limitación importante. Un atacante puede mejorar el generador, incorporar segmentación más avanzada, entrenarlo con más datos o adaptarlo a desafíos conocidos. El estudio encontró que versiones más sofisticadas podían afrontar algunas de esas pruebas con menos artefactos, y proponía introducir aleatoriedad y secuencias de retos para complicar la respuesta preparada del impostor.

La prueba viral de los tres dedos ganó visibilidad durante 2026, pero especialistas en detección de deepfakes ya advertían entonces de que los modelos estaban mejorando su capacidad para manejar oclusiones y movimientos en tiempo real. El peligro aparece cuando una comprobación sencilla genera una confianza excesiva después de que el sistema fraudulento consiga superarla.

Para una empresa, resulta más sensato pensar en desafíos inesperados. Pedir que la persona gire la cabeza, tape una zona concreta del rostro, se levante, acerque un objeto a la cámara, cambie de posición o escriba un número determinado en una hoja de papel introduce variables que un atacante debe resolver en directo. Ninguna de ellas debería funcionar como certificado aislado. La utilidad está en romper un guion y observar cómo responde la comunicación.

Algo parecido ocurrió en Ferrari en 2024, aunque el intento documentado utilizó principalmente clonación de voz. Un directivo sospechó de una llamada que imitaba al consejero delegado Benedetto Vigna y preguntó por el título de un libro que el verdadero Vigna le había recomendado recientemente. El interlocutor no pudo responder y cortó la comunicación. El control decisivo fue un dato inesperado y difícil de anticipar, frente a la alternativa de confiar únicamente en la voz.

La videollamada ya no debería validar una operación sensible

La consecuencia práctica alcanza mucho más que a los departamentos de ciberseguridad. Finanzas autoriza pagos y cambios de cuentas bancarias. Recursos humanos entrevista y contrata a personas que quizá nunca pisan una oficina. Los equipos de soporte restablecen credenciales. Los comités de dirección intercambian información confidencial y aprueban operaciones desde reuniones virtuales.

En esas actividades, la verificación debería desplazarse hacia un segundo canal previamente establecido: una llamada a un número corporativo conocido, una aprobación dentro del sistema financiero, autenticación multifactor, firmas digitales o la intervención de una segunda persona autorizada.

El National Cyber Security Centre británico apunta precisamente hacia mecanismos de identidad digital con verificación criptográfica y redes digitales de confianza a medida que las señales físicas tradicionales pierden fiabilidad en entornos digitales.

Por eso me parece que el vídeo de los tres dedos resulta más interesante por lo que revela que por el truco en sí. Durante años hemos trasladado a la pantalla una intuición del mundo físico: reconocer una cara y mantener una conversación parecía una comprobación suficiente para muchas decisiones cotidianas.

Esa intuición empieza a fallar.

Para las empresas, el cambio obliga a revisar procedimientos que hasta ahora parecían demasiado obvios para considerarlos controles de seguridad. Una videollamada puede seguir aportando contexto, confianza y velocidad. Cuando detrás hay dinero, credenciales, información sensible o una contratación crítica, la identidad necesita una evidencia adicional que el propio canal de vídeo no pueda fabricar.