Estafa con IA a la principal banca de Italia: casi 100 millones de euros

Qué ocurrió

Una estafa de suplantación basada en inteligencia artificial costó a la principal entidad bancaria de Italia casi 100 millones de euros. Según TechRadar, el presidente del banco creyó estar comunicándose con el abogado de la empresa y autorizó una transferencia que terminó generando esa pérdida.

El caso gira en torno a la manipulación de la confianza en un canal de mensajería cotidiano. El material disponible describe mensajes que aparentaban proceder de un interlocutor legítimo dentro de la organización, lo que llevó a una decisión de alto valor sin que se activara una verificación independiente.

La cobertura procede de un único informe de TechRadar. No hay en el material una descripción detallada de cómo se generaron los mensajes ni de las medidas que el banco haya adoptado desde entonces, por lo que conviene leer el caso como un patrón de riesgo más que como un inventario completo de lo ocurrido.

Por qué importa

La inteligencia artificial ha reducido el coste de imitar a personas con credibilidad. Un mensaje con el tono, el contexto y el vocabulario adecuados ya no requiere un atacante especialmente sofisticado. Para los líderes de experiencia y transformación digital, el episodio muestra que la confianza en la comunicación digital es una capacidad operativa que debe diseñarse de forma explícita, y no algo que pueda darse por supuesto.

Las organizaciones que digitalizan aprobaciones de pagos, o que dejan que decisiones relevantes fluyan por canales de mensajería, podrían revisar qué autoriza realmente un mensaje y qué verificación independiente lo acompaña. Esta cuestión es válida para la banca y también para cualquier servicio en el que una sola instrucción pueda mover fondos, datos o compromisos contractuales. Tratar la verificación como parte del diseño del servicio, y no como un control añadido después, es una forma de anticiparse a este tipo de riesgo.

El punto de vista de Renascence

Lo que más se pasará por alto es que el fallo no reside solo en la tecnología, sino en el diseño del flujo de aprobación. Cuando la autoridad recae en la apariencia de una identidad, la organización convierte a su propio directivo en el punto más vulnerable del proceso.

El principio conductual de fondo es la confianza heurística: las personas juzgan la legitimidad por el canal y el tono, no por la verificación. Un operador centrado en el cliente debería tratar cada solicitud de pago de alto valor como un evento que exige confirmación por un canal separado y predefinido, sin excepciones según el rango de quien la pide. La pregunta no es si un directivo puede ser engañado, sino cuánta fricción está dispuesta a aceptar la organización para que no pueda serlo.