El fraude con voz deepfake de US$35 millones en los Emiratos Árabes Unidos y lo que vino después

En resumen

El caso de deepfake mejor documentado relacionado con los Emiratos Árabes Unidos (EAU) es el fraude de enero de 2020 que Forbes dio a conocer en octubre de 2021. El gerente de una sucursal recibió la llamada de alguien que sonaba como un director de la empresa a quien conocía. Correos electrónicos del supuesto «director» y de un abogado llamado «Martin Zelner» reforzaron la llamada.[1] Convencieron al gerente de que transfiriera unos US$35 millones para una supuesta adquisición.[2][3] Los investigadores de los EAU informaron a las autoridades estadounidenses de que se había utilizado tecnología de «deep voice» y de que habían participado al menos 17 personas.[2][3][4] Muchos aspectos siguen sin confirmarse, entre ellos la identidad de la víctima y el lugar desde el que trabajaba el gerente. No encontré ningún caso posterior confirmado en los EAU en el que se usaran deepfakes específicamente contra abogados, bufetes de abogados o banqueros. Desde entonces, las autoridades emiratíes han emitido repetidas advertencias sobre los deepfakes y han endurecido las normas de autenticación bancaria.

Lo que dice el escrito judicial

El caso se hizo público a través de un documento judicial estadounidense. La Fiscalía Pública de Dubái había pedido ayuda a las autoridades de Estados Unidos, mediante una solicitud de asistencia judicial recíproca, para rastrear parte del dinero.[3][5] La solicitud se presentó ante el Tribunal de Distrito de Estados Unidos para el Distrito de Columbia.[4] Thomas Brewster, periodista de Forbes, la encontró y publicó la noticia el 14 de octubre de 2021.[2][3][6]

El escrito, tal como lo citan las informaciones de Forbes y de CommsRisk, afirma lo siguiente:

El 15 de enero de 2020, «el gerente de sucursal de la Empresa Víctima recibió una llamada telefónica que decía proceder de la sede central de la empresa. La voz de quien llamaba sonaba como la del director de la empresa, por lo que el gerente de sucursal creyó que la llamada era legítima».[3]
El gerente también recibió correos electrónicos que creyó enviados por el director. Quien llamaba dijo que la empresa estaba a punto de adquirir otra y que «un abogado llamado Martin Zelner (Zelner) había sido autorizado para coordinar los trámites de la adquisición».[3]
Llegaron después correos de «Zelner», entre ellos «una carta de autorización del director a Zelner». Cuando Zelner pidió al gerente «transferir 35 millones de USD a varias cuentas como parte de la adquisición, el gerente de sucursal siguió sus instrucciones».[3]
«La investigación emiratí reveló que los acusados habían utilizado tecnología de “deep voice” para simular la voz del director».[3][4]

Los investigadores de los EAU describieron «una trama compleja en la que participaban al menos 17 acusados, conocidos y desconocidos». El dinero fue a parar a cuentas de varios países.[4] La solicitud concreta a Estados Unidos se refería a unos US$400.000 que habían ido a cuentas del Centennial Bank en ese país.[2][5][7]

Lo que está establecido

Una fiscalía de los EAU comunicó formalmente a un tribunal estadounidense que se utilizó una voz clonada para autorizar transferencias por unos US$35 millones. Es una conclusión de los propios investigadores, expuesta en un escrito judicial, y no una afirmación de una empresa de seguridad.
El fraude combinó una voz clonada con el compromiso del correo electrónico empresarial: correos falsificados del «director» y de una identidad falsa de abogado, y una carta de autorización falsificada.[8]
La investigación fue internacional. Los fondos se repartieron entre varias jurisdicciones, y los EAU pidieron ayuda a Estados Unidos por los US$400.000 rastreados allí.[4][7]
Cuando se dio a conocer, era solo el segundo caso públicamente conocido en que unos estafadores usaban la clonación de voz para robar dinero,[4][9] después del caso de la empresa energética británica de 2019.[2]

Lo que sigue sin confirmarse o sin aclararse

La identidad y la ubicación de la víctima. El escrito no nombra ni a la empresa ni al banco. El reportaje original de Forbes describía a un gerente de un banco de los EAU que hablaba con el director de una empresa. Tras la publicación, el Ministerio de Asuntos Exteriores y Cooperación Internacional de los EAU dijo a Forbes que la empresa afectada era una compañía japonesa sin identificar, aunque la investigación la dirigieron investigadores de Dubái. En mayo de 2023, Forbes actualizó su reportaje para describir a «un gerente de sucursal de una empresa japonesa en Hong Kong».[2] El texto judicial citado en las informaciones habla del «gerente de sucursal de la Empresa Víctima» y no de un banco. Por tanto, no está claro si el gerente era un banquero que aprobaba la transferencia de un cliente o un empleado de la empresa víctima, ni si trabajaba en los EAU o en Hong Kong. Buena parte de la cobertura secundaria sigue hablando de un «gerente de banco de los EAU».

La cantidad realmente perdida. Forbes describe el robo como de «hasta $35 millones».[2] No se ha revelado cuánto se recuperó.

El papel de «Martin Zelner». Existe un abogado con ese nombre residente en Estados Unidos. Forbes se puso en contacto con él y no obtuvo respuesta.[2] Nada en el registro público sugiere que participara; la interpretación más probable es que su nombre se utilizó como tapadera. Esa inferencia no está confirmada.

La tecnología. «Deep voice» es el término de los investigadores. El escrito no indica si la voz se generó en directo o se grabó de antemano, ni qué herramientas se utilizaron.

El desenlace. No encontré ningún registro público de detenciones, cargos, condenas o recuperaciones. La Fiscalía Pública de Dubái no respondió a Forbes.[2][10]

Este caso se confunde a menudo con el fraude a Arup de 2024, en parte porque la versión actualizada de Forbes sitúa al gerente en Hong Kong. Son casos distintos. El de Arup implicó una conferencia por video con deepfakes de varias personas y HK$200 millones (unos US$25,6 millones) en enero de 2024. El caso de los EAU implicó una voz clonada, correos electrónicos y un abogado falso, por unos US$35 millones, en enero de 2020.

Comentario oficial de los EAU sobre el caso

En la declaración facilitada a Forbes, Hamid Al Zaabi, director general de la Oficina Ejecutiva de Lucha contra el Lavado de Dinero y la Financiación del Terrorismo de los EAU, afirmó: «Aun cuando los incidentes ocurran fuera de los EAU, colaboraremos estrechamente con las fuerzas del orden de todo el mundo para identificar y detectar a quienes participan a sabiendas en prácticas engañosas como el fraude por suplantación de identidad».[2]

Otros casos en los EAU con abogados o banqueros

No encontré ningún caso posterior confirmado públicamente en Dubái, Abu Dabi u otro lugar de los EAU en el que se usara un video deepfake o una voz clonada contra un bufete de abogados, un abogado o un empleado bancario. Sitios web comerciales, incluidas páginas de marketing de bufetes de los EAU, describen las estafas con voces de IA en términos generales, pero no citan ningún caso concreto. El método del «falso abogado» sí aparece en datos de Estados Unidos. En agosto de 2025, el FBI advirtió de que bufetes de abogados ficticios se dirigían a víctimas de estafas con criptomonedas con ofertas de recuperar los fondos. Los servicios jurídicos representaron además el 18% de las denuncias de ransomware en sectores no críticos en el informe de 2025 del FBI.[11] Ninguno de los dos hallazgos se refiere a los EAU. Para los EAU, el caso Zelner de 2020 sigue siendo el ejemplo más claro que encaja con la descripción de una estafa con deepfakes que involucra a un abogado y a un banquero.

Cómo han respondido los EAU

Advertencias públicas. En noviembre de 2025, el Consejo de Ciberseguridad de los EAU advirtió, a través de la agencia estatal de noticias WAM, de que «la tecnología deepfake avanza rápidamente con el progreso de las herramientas de IA y permite replicar con gran precisión las voces y la apariencia de personas reales». Instó a la población a contrastar con fuentes oficiales los contenidos atribuidos a figuras públicas o a instituciones nacionales. También reiteró la postura del Consejo de Medios de los EAU de que utilizar la IA para representar símbolos nacionales o figuras públicas sin autorización previa infringe las normas sobre contenidos mediáticos.[12] El Consejo emitió nuevas advertencias sobre deepfakes en 2026, entre ellas una el 6 de abril que la Policía de Dubái difundió en X.[13] En marzo de 2026, los EAU dijeron que se enfrentaban a entre 500.000 y 700.000 intentos de ciberataque al día, algunos atribuidos a actores vinculados a Irán que usaban herramientas de IA y deepfakes. Informaron de un aumento del 32% del phishing en el primer trimestre de 2026.[14] En septiembre de 2026, el máximo responsable de la ciberseguridad del Gobierno de los EAU, el Dr. Mohamed Al Kuwaiti, dijo que un hacker había exigido más de US$5 millones tras vulnerar una empresa privada, y advirtió sobre los deepfakes y los contenidos manipulados.[15]

Labor policial. En el lanzamiento del Mes de la Concienciación sobre Ciberseguridad, en octubre de 2026, la Policía de Dubái anunció una unidad especializada en delitos cometidos con IA y una herramienta de detección de deepfakes. Los funcionarios instaron a los residentes a denunciar las intrusiones y los intentos de extorsión.[16] Las víctimas pueden denunciar a través de la plataforma eCrime de la Policía de Dubái.[17]

Normas bancarias. El Banco Central de los EAU (CBUAE) emitió el Aviso 2025/3057 en mayo de 2025. Exige a los bancos y las instituciones financieras con licencia que eliminen progresivamente las contraseñas de un solo uso enviadas por SMS y correo electrónico, así como las contraseñas estáticas, para autenticar a los clientes, con un plazo hasta el 31 de marzo de 2026.[18] Desde julio de 2025, los bancos pasaron a ser responsables del fraude con tarjetas 3-D Secure cuando seguían dependiendo de contraseñas de un solo uso por SMS.[19] El aviso exige también una supervisión de transacciones en tiempo real capaz de bloquear o someter a verificación los pagos sospechosos.[18] El Decreto-Ley Federal n.º 6 de 2025, la nueva ley del Banco Central promulgada el 8 de septiembre de 2025, convierte en una obligación legal de las instituciones financieras contar con sistemas sólidos de prevención y detección del fraude.[20] El Decreto-Ley Federal n.º 10 de 2025 actualiza el marco contra el lavado de dinero.[19] El Banco Central ha creado además un Centro de Operaciones Antifraude centralizado.[21] Ninguna de estas medidas se dirige a los deepfakes de forma expresa. Pero eliminan dos puntos débiles que explota la clonación de voz: la confianza en una voz reconocida y la dependencia de un único canal de verificación.

Legislación. A finales de 2026, los EAU no tienen una ley específica sobre deepfakes.[22] El fraude con deepfakes se persigue con el Decreto-Ley Federal n.º 34 de 2021 sobre la lucha contra los rumores y los ciberdelitos, las disposiciones sobre fraude del Código Penal y la Ley de Protección de Datos Personales (Decreto-Ley Federal n.º 45 de 2021). Esa ley trata la imagen y los datos biométricos de una persona como datos personales protegidos.[23] Las normas del Consejo de Medios cubren las representaciones no autorizadas de figuras públicas mediante IA.

Lo que muestra el caso para bancos y bufetes de abogados

Cada parte del fraude de 2020 era algo en lo que un banco o una empresa están entrenados para confiar: una voz que el gerente conocía, un rastro de correos electrónicos, un abogado que coordinaba una operación y una autorización firmada. Los controles que lo habrían frenado son los mismos que se recomendaron tras el caso de Arup:

devolver la llamada a un número verificado de forma independiente;
exigir que dos personas aprueben las transferencias de gran importe;
confirmar la identidad de cualquier abogado a través de los datos de contacto publicados por su bufete, y no del hilo de correos;
tratar las peticiones de secreto en torno a una «adquisición» como una señal de alarma y no como un motivo para saltarse las comprobaciones.

Hoy la regulación empuja a los bancos de los EAU en esa dirección. Los bufetes de abogados, que a menudo transmiten instrucciones de pago en las operaciones, no tienen una norma sectorial equivalente.