Robo de Identidad: Guía para proteger su empresa  

El robo de identidad, en su esencia más simple, puede compararse con un intruso que logra acceder a la vida de una persona, no para robar objetos, sino para usurpar su personalidad digital y financiera con el objetivo de gastar sus recursos y generar deudas a su nombre. Al trasladar esta analogía a la esfera corporativa, la amenaza se escala dramáticamente. Para las empresas, la suplantación de identidad no es solo una pérdida transaccional, sino una agresión directa a la credibilidad y la estabilidad operativa.

Este tipo de fraude genera un impacto triple e inmediato en cualquier negocio: la pérdida de confianza irrecuperable de los clientes, los costos masivos de atención de incidentes y remediación legal, y el daño reputacional que puede tardar años en mitigarse o, en los peores escenarios, nunca recuperarse completamente. La urgencia de abordar este riesgo es crítica en el panorama regional.

El aumento generalizado del fraude: la tasa mundial de fraude de identidad se duplicó con creces, pasando de 1,10% en 2021 a 2,50 % en 2024, según la firma de ciberseguridad Sumsub. Las pérdidas financieras asociadas con el fraude también están en aumento. Por ejemplo, la Comisión Federal de Comercio de EE. UU. (FTC) reportó un total de 12.7 mil millones de dólares en pérdidas relacionadas con fraude en 2024, un aumento del 23% respecto a 2023.

“El fraude cada vez más complejo hace imposible que una sola solución garantice una seguridad completa. Otra parte esencial de la solución es una estrategia de seguridad multicapa que combine puntos de datos, técnicas y diversas herramientas de detección de fraude, como inteligencia de dispositivos, inteligencia de comportamiento, seguimiento de geolocalización e información sobre fraudes en tiempo real”, compartió Maanas Godugunur, director senior de fraude e identidad en LexisNexis Risk Solutions.

¿Qué es el robo de identidad y por qué debe preocuparle?  

El robo de identidad se materializa como la apropiación maliciosa de credenciales legítimas, atributos digitales o la personalidad jurídica de una organización o de un ejecutivo clave. El objetivo primario de esta usurpación es obtener acceso no autorizado a sistemas internos, ejecutar beneficios financieros (como transferencias fraudulentas) o manipular decisiones estratégicas utilizando el nombre y la reputación de la entidad. Este delito trasciende el simple robo de un número de cédula o tarjeta de crédito; se enfoca en la capacidad de la entidad para actuar y facturar en el mercado.  

La amenaza de suplantación es una puerta de entrada a pérdidas financieras que impactan directamente el balance de resultados. El costo promedio global de una violación de datos corporativos atribuible a la suplantación de identidad asciende a cerca de 2,79 millones de dólares al año para las empresas víctimas, según estadísticas recientes de ciberseguridad recopiladas por IBM.

Más allá de las cifras monetarias directas, el daño más insidioso radica en la confianza del mercado. La mayoría de las organizaciones que han sufrido estos incidentes reportan una disminución significativa en la lealtad de sus clientes. Recuperar la reputación corporativa tras una violación puede consumir vastos recursos y tiempo, y en muchos casos, el prestigio perdido nunca se recupera completamente.

La dinámica actual del fraude está impulsando una crisis de autenticidad. El aumento en las estadísticas de fraude en la región, en parte facilitado por el uso indebido de la Inteligencia Artificial para crear identidades falsas convincentes , demuestra que los métodos de verificación estáticos (como el simple documento o la copia de cédula) están quedando obsoletos. El incremento en la sofisticación de los atacantes, habilitado por herramientas de IA que pueden simular estilos de comunicación y voces, exige que las empresas migren urgentemente desde la simple autenticación (¿quién eres?) hacia la verificación continua y la biometría dinámica (¿sigues siendo tú y estás autorizado ahora?). Esta es una exigencia estructural, y no solo un reto tecnológico.

En Colombia, el contexto es de máxima exigencia para el mercado de la verificación biométrica de identidad , ya que el fraude y el robo de identidad continúan siendo problemas centrales. De hecho, la suplantación digital de identidades supondrá unas pérdidas superiores a los 50 billones de pesos en 2025, especialmente en el acceso indebido a subsidios y servicios públicos, según datos de la Universidad Nacional, compartidos por Identity.io.

Un estudio de la empresa de ciberseguridad Norton reveló que un 17 % de los colombianos sufrieron algún tipo de robo de su identidad digital en 2024, y en el 20% de los casos detectados se produjo un perjuicio económico para el usuario.

Los riesgos más inminentes para los colombianos durante lo que queda de 2025 incluyen la utilización de la Inteligencia Artificial, los Deepfakes (contenidos falsos creados con IA que pueden suplantar identidades ) y los ataques de Shadow AI, donde los delincuentes usan ingeniería social para suplantar la identidad de empleados y acceder a sistemas corporativos para robar información crítica.

¿Cuáles son las formas más comunes en que ocurre?

El robo de identidad corporativa se distingue del fraude minorista por su enfoque en vectores de ataque dirigidos, diseñados para explotar la jerarquía, la confianza humana y los puntos críticos del proceso financiero.

Phishing masivo, Spear Phishing y Whaling

Aunque el phishing (envío masivo de correos maliciosos) sigue siendo una táctica de volumen, las amenazas B2B son frecuentemente hiper-dirigidas, aprovechando la investigación previa de los atacantes:

1. Spear Phishing: Correos electrónicos personalizados que tienen como objetivo obtener credenciales específicas de un empleado dentro de la organización.
2. Whaling: Representa la cúspide de la suplantación de identidad dirigida. Se orienta exclusivamente a altos ejecutivos, como CEOs o CFOs (“ballenas”), debido a su acceso irrestricto a los datos corporativos más sensibles. La alta recompensa de estos ataques garantiza que solo organizaciones criminales avanzadas con vastos recursos puedan ejecutarlos con éxito.

El peligro clandestino del compromiso de correo empresarial (BEC)

El Compromiso de Correo Empresarial (Business Email Compromise o BEC) es una estafa financiera dirigida en la que los atacantes suplantan la identidad digital de un ejecutivo (el jefe, un colega o un proveedor de alto valor) para engañar a un empleado con la autoridad para realizar transferencias de dinero o compartir información confidencial.

A diferencia del phishing genérico, el BEC es notablemente más sofisticado y personalizado. Los atacantes suelen realizar un trabajo de campo minucioso e incluso pueden llegar a hackear cuentas reales de la organización para enviar solicitudes de pago que parecen convincentes y urgentes, aprovechando la confianza interna de la víctima. Esta táctica, que a menudo implica la suplantación de altos cargos, ataca directamente la tesorería y la cadena de pagos de la empresa.

Los estafadores van más allá de la automatización, utilizando ataques iniciados por humanos que imitan el comportamiento real del cliente, a través de phishing, ingeniería social y llamadas fraudulentas. La IA generativa ha avanzado en su capacidad para crear scripts automatizados que ejecutan ataques como el relleno de credenciales de una manera más humana, lo que dificulta diferenciar los ataques a escala global impulsados por bots o dirigidos por humanos.

Además, el fraude transfronterizo es un desafío importante. “Una credencial fraudulenta nunca permanece local. Son armas globales, capaces de llegar a cualquier cliente, en cualquier lugar, casi al instante, incluso en todas las industrias”, según Maanas Godugunur, director senior de fraude e identidad en LexisNexis Risk Solutions.

La amenaza B2B emergente: Suplantación de identidad de compradores

Una forma de fraude que ha aumentado su prevalencia en el comercio internacional B2B es la suplantación de identidad de compradores. En este escenario, los delincuentes se hacen pasar por empresas consolidadas y legítimas para realizar pedidos de bienes o servicios a crédito. A menudo, solicitan la entrega en direcciones falsas o se ofrecen a recoger la mercancía ellos mismos. El proveedor, confiando en la identidad (supuestamente) consolidada del comprador, factura a la empresa legítima, solo para descubrir más tarde que la orden de compra nunca fue real y que el inventario se ha perdido. Este fraude explota las distancias geográficas, las diferencias en las culturas empresariales y la necesidad de agilizar los negocios transnacionales.

El problema con este tipo de fraude es que anula la cobertura de seguro tradicional. Las pólizas de seguro de crédito suelen cubrir el impago solo cuando el deudor ha recibido los bienes o servicios. Dado que en la suplantación de compradores el deudor legítimo nunca recibió la mercancía, la condición contractual puede incumplirse, lo que potencialmente lleva a que la compañía de seguros se niegue a cubrir la pérdida. Esto implica que las empresas deben urgentemente revisar sus pólizas de ciberseguridad y de seguro de crédito para asegurar la cobertura explícita contra este vector de fraude de identidad de terceros.

Tipologías de fraude con mayor impacto en el entorno:

La creciente capacidad de la IA para imitar estilos de comunicación obliga a los líderes a establecer protocolos de verificación de pagos fuera del canal de correo electrónico (por ejemplo, una llamada telefónica a un número registrado previamente y validado, no al que figura en la firma del correo sospechoso), ya que la verificación basada en el tono o el estilo de redacción ya no proporciona una certeza suficiente.

¿Cómo saber si su empresa o empleados están sufriendo robo de identidad?

La detección temprana es el factor más crítico para limitar el daño financiero y reputacional de un incidente de suplantación. Las señales de alerta se manifiestan en dos niveles interconectados: las anomalías transaccionales corporativas y los indicadores de compromiso en la identidad del empleado.

Según Jesús Aragón, CEO de Identy.io, “la verificación de la identidad mediante tecnología biométrica ya es un aliado para sectores como la banca, las telecomunicaciones o la protección de fronteras en toda Latinoamérica o en Estados Unidos, donde ha demostrado su gran utilidad para reducir prácticamente a cero el riesgo de sufrir robos o suplantaciones de identidad. Por eso creemos que las soluciones que ha desarrollado Identy.io, además de resultar extremadamente seguras y fáciles de utilizar para el usuario, son imprescindibles para reducir el impacto económico que causa el fraude para las entidades públicas y privadas en Colombia”.

Señales de alerta a nivel corporativo y transaccional

A nivel de procesos de negocio y finanzas, existen varios indicadores que exigen una investigación inmediata:

• Anomalías en la cadena de suministro: Recibir una notificación de impago por facturas o servicios que la empresa legítima declara no haber solicitado. Esta es una señal inequívoca de suplantación de identidad de compradores.
• Movimientos financieros inusuales: Detección de retiros bancarios o cargos inesperados en las cuentas corporativas o tarjetas de crédito a nombre de la empresa.
• Interrupción de servicios críticos: Notificaciones de cambio de contraseñas o de acceso bloqueado en cuentas corporativas clave (servicios en la nube, SaaS) que no han sido iniciadas por el personal interno.

Indicadores de Compromiso (IoC) en los empleados

La identidad personal de un empleado clave es a menudo el vector inicial para una intrusión corporativa a gran escala. Es esencial que las empresas formen a su personal para reconocer los siguientes indicadores de compromiso:

• Alertas tributarias y de beneficios: El empleado recibe una notificación de la autoridad fiscal (como el IRS o su equivalente local) indicando que se ha presentado más de una declaración de impuestos bajo su nombre, o que se han reportado ingresos de un empleador desconocido.
• Cuentas o deudas inesperadas: Recibir llamadas de cobradores de deudas o facturas de servicios, cuentas o préstamos que el empleado o la empresa nunca abrió.
• Notificaciones de filtración de datos: Recibir avisos de una compañía externa con la que opera indicando que sus datos personales (PII) quedaron expuestos tras un incidente de seguridad informática.

El riesgo de robo de identidad se magnifica considerablemente en la declaración de impuestos, lo que indica que los atacantes buscan monetizar el PII robado a través de mecanismos gubernamentales y financieros de alto valor. Esto implica que la información de los empleados (como información salarial o documentos de identificación) es un objetivo prioritario, aumentando la responsabilidad de la empresa en la protección de los archivos de Recursos Humanos.

El uso de ataques dirigidos, como el Whaling, y la investigación de empleados en redes sociales demuestran que la superficie de ataque se extiende al ámbito personal del ejecutivo. Por ello, las empresas deben incorporar la formación en higiene digital personal (por ejemplo, no guardar la tarjeta del Seguro Social en la billetera , configurar correctamente la privacidad en redes y usar MFA) como parte integral de su estrategia de ciberseguridad corporativa.

¿Qué recursos oficiales puedes usar para denunciar y recuperarte?

Una vez identificado el incidente, la respuesta efectiva comienza con el cumplimiento de los procedimientos legales y la activación de los recursos gubernamentales pertinentes.

La Fiscalía General de la Nación ha alertado sobre el aumento de casos de cibercrimen, incluyendo la modalidad de spoofing (suplantación de dispositivos) para robar información sensible a través del engaño. En 2025, se reportaron más de 25.000 denuncias de delitos cibernéticos en el país.

En Colombia, la ruta oficial para radicar denuncias por delitos informáticos y suplantación de identidad, y sus delitos conexos, se establece a través del sistema virtual y presencial:

• ADenunciar: La Policía Nacional y la Fiscalía General de la Nación administran el Sistema Nacional de Denuncia Virtual — ¡ADenunciar!. Este sistema permite la pre-denuncia en línea, lo que facilita la obtención de un número de radicado (SPOA) y el inicio formal de la investigación judicial.
• Requisitos Legales: Es fundamental que los líderes empresariales estén conscientes de los plazos legales. El Ministerio de Justicia y del Derecho establece que, para ciertos delitos, la querella debe presentarse dentro de los seis meses siguientes a la ocurrencia del hecho o desde que se tuvo conocimiento de este.

La complejidad de coordinar la denuncia con múltiples agencias (Policía, Fiscalía) y la necesidad de preservar la evidencia digital para el proceso SPOA demuestran que una respuesta efectiva no puede ser solo técnica. El riesgo es tan alto que la intervención legal inmediata para gestionar la notificación de la brecha y asegurar el cumplimiento de los plazos es esencial.

Guías internacionales de recuperación y gestión de crisis  

Para las empresas que manejan operaciones internacionales o cuyos datos han sido comprometidos en jurisdicciones extranjeras, el modelo de recuperación de Estados Unidos es un estándar global para la gestión de crisis:

• FTC y IdentityTheft.gov: Este es un recurso centralizado de la Comisión Federal de Comercio (FTC). Proporciona pasos detallados para reportar el robo de identidad y generar un plan de recuperación personalizado, incluyendo la colocación de alertas de fraude y congelamiento de crédito ante las agencias principales.
• Fraude Fiscal (IRS): Si el robo de identidad se utiliza para cometer fraude fiscal (lo cual es común cuando se roban datos de empleados), la empresa o el empleado afectado deben seguir el protocolo del IRS, incluyendo la posible presentación del Formulario 14039 (Affidavit de Robo de Identidad) para invalidar declaraciones fraudulentas.

El modelo de gestión de crisis de estas agencias internacionales ofrece un protocolo estructurado que las empresas pueden adoptar para gestionar la PII de sus empleados, incluso si la denuncia primaria se hace en Colombia o Perú (donde plataformas como la Denuncia Policial Digital ofrecen una ruta similar).

¿Qué medidas inmediatas y preventivas pueden implementar hoy?

La estrategia de seguridad debe ser bifronte: una respuesta rápida y quirúrgica ante un incidente, complementada por una estrategia defensiva que asuma que el compromiso de identidad es, en última instancia, inevitable.

Respuesta inmediata Post-incidente

1. Aislamiento: Desconectar inmediatamente el dispositivo o la cuenta comprometida de la red corporativa para evitar el movimiento lateral del atacante.
2. Cambio de credenciales: Forzar el restablecimiento de contraseñas de todas las cuentas asociadas y potencialmente afectadas, utilizando contraseñas fuertes.
3. Notificación estratégica: Informar a las autoridades competentes (según la jurisdicción) y a las partes externas involucradas (bancos, proveedores, clientes), gestionando la comunicación de la brecha de datos de manera proactiva.
4. Activación de alertas: Colocar alertas de crédito empresarial y monitorear transacciones o solicitudes inusuales.

El pilar de la defensa estratégica: Principios de Zero Trust

El marco de Confianza Cero (Zero Trust) es la arquitectura de seguridad moderna que representa la respuesta estructural al robo de identidad. Su principio fundamental es la desconfianza sistémica: “Nunca confíe, siempre verifique”. Esto es crucial, ya que un atacante que roba una credencial legítima queda limitado en su capacidad para moverse por la red interna.

La aplicación de ZT se basa en pilares estratégicos:

• Pilar de identidad: El acceso a cualquier recurso debe depender de una autenticación robusta y la postura de seguridad del dispositivo. Esto obliga a implementar políticas de acceso con privilegios mínimos a aplicaciones críticas, como las plataformas SaaS.
• Pilar de dispositivos y redes: El acceso inicial a los recursos debe basarse en la postura de seguridad actual del dispositivo. La arquitectura debe adaptarse continuamente, cifrando el tráfico de red aplicable y gestionando la emisión y alternación de claves de manera centralizada.

La ZTA exige una re-autenticación constante basada en el contexto. Si un atacante roba una credencial, el acceso se restringe automáticamente al intentar moverse lateralmente o acceder a una aplicación crítica sin la verificación continua de la identidad y el estado del dispositivo.

Fortalecimiento del Capital Humano: Formación y MFA

El error humano es consistentemente identificado como el vector más grande de ciberseguridad. La inversión en la defensa tecnológica debe ir acompañada de un fortalecimiento del factor humano.

• MFA Obligatoria: La Autenticación Multifactor (MFA) es la barrera más crítica. Requerir múltiples piezas de información para el inicio de sesión, especialmente para ejecutivos, garantiza que incluso si las credenciales son robadas (por ejemplo, mediante phishing), el atacante sea bloqueado sin el segundo factor (como biometría o un token de un solo uso).
• Formación continua y simulación: Se deben implementar programas de formación continua enfocados específicamente en la ingeniería social, el phishing y el BEC. La simulación de ataques de whaling enseña a los empleados a identificar enlaces sospechosos y correos electrónicos de BEC, minimizando el riesgo de error humano que, como ha demostrado la experiencia reciente, puede ser catastrófico.

¿Qué casos recientes muestran la gravedad del robo de identidad?

El análisis de incidentes de alto perfil consolida la justificación para la inversión en ciberseguridad, demostrando que el costo de la inacción supera con creces el costo de la prevención.

Estudio de Caso: El Ataque a MGM Resorts (Septiembre 2023)

El ciberataque que sufrió MGM Resorts International en septiembre de 2023 es un ejemplo paradigmático de cómo una brecha de identidad simple puede paralizar una corporación masiva y generar pérdidas multimillonarias.

El ataque, orquestado por los grupos Scattered Spider y ALPHV/BlackCat, se basó inicialmente en tácticas de ingeniería social (vishing) que siguieron a una investigación de empleados en plataformas como LinkedIn. La intrusión inicial fue simple: los atacantes lograron obtener acceso a una cuenta de súper administrador, un punto de fallo crítico causado por la falta de conocimiento y entrenamiento adecuado del personal.

El impacto operativo y financiero fue devastador. El ataque duró aproximadamente diez días y obligó a la compañía a apagar sistemas críticos en sus casinos y hoteles, incluyendo sistemas de reservaciones en línea, llaves digitales de habitaciones y máquinas tragamonedas. MGM reportó una pérdida directa de 100 millones de dólares solo en el tercer trimestre de 2023.

Además de las pérdidas operacionales, la brecha confirmó el robo de información personal identificable (PII) de clientes y empleados, incluyendo nombres, direcciones, fechas de nacimiento, números de licencia de conducir, y para un número limitado de personas, números de Seguridad Social y pasaportes.Este incidente refuerza que la ciberseguridad no es solo un centro de costo, sino una protección de ingresos, y que la vulnerabilidad de un único empleado puede acarrear consecuencias financieras rápidas y catastróficas.

Tendencias de fraude impulsadas por IA

La amenaza de suplantación de identidad se está volviendo cada vez más difícil de mitigar debido a la Inteligencia Artificial:

• Falsificación avanzada: La IA permite a los estafadores crear identidades falsas extremadamente convincentes, así como estafas sofisticadas que imitan estilos de comunicación y simulan voces.Esto incrementa la dificultad para las empresas de diferenciar interacciones auténticas de las fraudulentas, aumentando el riesgo en el comercio internacional y en las transacciones de alto valor.
• Materia prima para el fraude: Las filtraciones de datos masivas que afectan al sector hotelero y de servicios (como el caso MGM y otros incidentes reportados en el periodo 2023-2025)  se cuentan por miles de millones de registros. Esta información proporciona a los ciberdelincuentes la materia prima (PII) necesaria para ejecutar robos de identidad de alta escala.

La combinación de grandes volúmenes de datos sensibles (clientes, pasaportes) y procesos de compra/pago que requieren fluidez (típicos del comercio B2B y la hospitalidad) convierte a estos sectores en objetivos prioritarios para el robo de identidad masivo y la suplantación de compradores.

¿Cómo transformar este contenido TOFU en recursos prácticos para sus clientes?

Este reporte, diseñado como contenido TOFU (Top of Funnel) o de concientización, sienta las bases para una estrategia de seguridad más profunda. Para los líderes, la clave es transformar esta conciencia en acciones concretas (MOFU/BOFU).

Transición a MOFU (Middle of Funnel): La evaluación de la necesidad

El objetivo del MOFU es que el cliente reconozca su vulnerabilidad específica y evalúe las soluciones disponibles. Los siguientes recursos permiten esta transición:

• Guías de respuesta a incidentes (Ej. BEC): Ofrecer guías descargables con protocolos de respuesta rápida que detallen los pasos críticos a seguir en las primeras 72 horas después de detectar una suplantación, asegurando la preservación de la evidencia y el cumplimiento de los plazos legales.
• Plantillas de políticas internas: Proporcionar modelos de políticas que regulen el uso obligatorio de MFA, el manejo seguro de PII, y, de forma crucial, protocolos de verificación de pagos que exijan una confirmación dual y fuera de línea para montos que excedan un límite establecido.
• Webinars y talleres de capacitación: Organizar sesiones interactivas centradas en la simulación de ataques de phishing y whaling para medir objetivamente el nivel de preparación del capital humano de la empresa.

Conversión BOFU (Bottom of Funnel): Soluciones de seguridad definidas

El BOFU (Bottom of Funnel) se dirige a una audiencia informada y lista para la decisión de compra. En esta fase, el foco se centra en la solución tecnológica.

• Casos de éxito y estudios de implementación: Presentar estudios detallados que demuestren cómo empresas con desafíos similares implementaron arquitecturas Zero Trust y lograron reducir su exposición a ataques de suplantación de identidad, transformando la teoría en evidencia de resultados.
• Demostraciones de soluciones tecnológicas: Promover activamente herramientas que aborden el problema de la identidad continua:

• Gestión de acceso e identidad (IAM): Soluciones que automatizan la aplicación de privilegios mínimos y monitorean constantemente el comportamiento del usuario para detectar anomalías.
• Verificación de identidad digital avanzada: Herramientas que utilizan biometría y verificación de documentos en tiempo real para garantizar la autenticidad del usuario en transacciones críticas, contrarrestando el fraude asistido por IA.
• Pruebas gratuitas o garantías: Ofrecer incentivos finales que reduzcan el riesgo percibido de la inversión.

La estrategia de contenido debe reconocer la madurez del cliente en ciberseguridad. Mientras que este artículo informa al líder ejecutivo (qué es el riesgo), las guías de respuesta (cómo resolverlo) y las demos (con quién solucionarlo) aseguran que la concientización se traduzca directamente en la protección de los ingresos y la sostenibilidad del negocio.

La ciberseguridad en la era de la Inteligencia Artificial ya no es una cuestión de si es importante, sino de cuándo será necesaria. Los ataques impulsados por la IA son cada vez más frecuentes y sofisticados, acelerando tanto la innovación como el ciberdelito, lo que hace que la conciencia sobre los riesgos digitales sea urgente. Sin embargo, la verdadera resiliencia nace de la implementación práctica, no basta solo con concientizar. El desafío para todas las organizaciones es transformar ese conocimiento en acción para cerrar las brechas antes de que los adversarios, que no esperan, puedan aprovecharlas.

La respuesta estructural pasa por la cooperación entre el sector público y el privado, que es esencial para construir una resiliencia colectiva y garantizar que la IA fortalezca, y no debilite, nuestras defensas. El concepto se extiende a tal punto que la frontera entre defensa digital y defensa nacional ya no existe. Solo al asumir una postura de liderazgo y adoptando una defensa estratégica que ponga la identidad en el centro de la seguridad—manteniendo sistemas actualizados, entrenando a los equipos y adoptando arquitecturas como Zero Trust—, se podrá transformar la conciencia en seguridad a largo plazo. Es un imperativo ético y de sostenibilidad: las amenazas no esperan, y nuestras defensas tampoco deben esperar.