Deepfakes e identidades falsas en selección de personal

En resumen. Gartner proyecta que para 2028 uno de cada cuatro perfiles de candidatos en el mundo será falso. Hay casos verificados: una empresa de seguridad encontró más de 100 identidades fabricadas entre 300 perfiles, otra contrató a un operativo con identidad robada y una red de portátiles afectó a 309 empresas. En Colombia, la Ley 2502 de 2025 agrava la falsedad personal cuando se usa IA. La acción más simple: pedir al candidato que se pase la mano por la cara frente a la cámara.

El problema: la persona en cámara puede no existir

La selección de personal remota depende de dos cosas que la IA ya sabe falsificar: el rostro y la voz. Es el tema de reclutamiento por excelencia, y también el que más impacta en audiencias de recursos humanos. Estas son las cifras que lo enmarcan y los casos que lo muestran.

Las cifras

• Gartner proyecta que, para 2028, uno de cada cuatro perfiles de candidatos en el mundo será falso (según HR Dive, 2025).
• FTC (Estados Unidos): las estafas laborales gamificadas pasaron de 90 millones de dólares en pérdidas reportadas en 2020 a 286 millones en 2023, y solo el primer semestre de 2024 ya sumaba 220 millones (FTC Data Spotlight, diciembre de 2024).

Cinco casos documentados

1. Más de 100 identidades fabricadas en 300 perfiles (abril de 2025)

Una empresa especializada en detectar deepfakes de voz publicó una vacante y recibió más de 800 postulaciones en pocos días. Al revisar 300 perfiles, encontró más de 100 identidades fabricadas con IA. Uno de los candidatos pasó la entrevista con rostro sintético; lo delataron gestos desfasados y una pausa antinatural. Ocho días después volvió a aplicar con otra cara y las mismas credenciales (CNBC).

2. "Pásate la mano por la cara" (marzo de 2025)

El cofundador de una empresa de seguridad notó que la foto de LinkedIn del candidato no coincidía con la persona en cámara y le pidió que se pasara la mano frente al rostro. El filtro se rompió en vivo. Es un relato de primera mano, con video, sin validación judicial, pero deja la acción concreta más barata que conozco: no hay que comprar ni instalar nada.

3. Contratado con identidad robada (julio de 2024)

Una empresa de capacitación en seguridad hizo cuatro entrevistas por video, verificación de antecedentes y de referencias, y aun así contrató a un operativo norcoreano con identidad estadounidense robada y una foto retocada con IA. Al recibir el equipo, empezó a instalar malware.

4. La granja de portátiles: 309 empresas (sentencia de julio de 2025)

Una mujer en Arizona recibía los computadores que las empresas enviaban a sus supuestos empleados remotos y los conectaba para simular presencia en Estados Unidos. Detrás había informáticos norcoreanos con 68 identidades robadas. Fueron 309 empresas afectadas, incluidas compañías de Fortune 500, y más de 17,1 millones de dólares canalizados vía nómina. La condena fue de 102 meses, según el Departamento de Justicia de Estados Unidos.

5. Empresas fachada que "entrevistan" para infectar (abril de 2025)

Consultoras cripto falsas, dos de ellas registradas legalmente en Estados Unidos y con fotos de "empleados" generadas por IA, reclutaban en LinkedIn y GitHub y, durante una "prueba técnica", hacían descargar malware. El FBI incautó el dominio de una de ellas (Silent Push y The Hacker News). Un matiz que nunca omito: el candidato también es víctima. Quienes aplican a esas ofertas son personas reales que creen estar postulándose a un trabajo.

No solo candidatos: suplantación de ejecutivos

• Arup (Hong Kong, 2024): un empleado de finanzas dudó de un correo del "director financiero" y la duda se le quitó en una videollamada donde estaban el director y varios colegas con su cara y su voz. Todos eran deepfakes. Hizo 15 transferencias a cinco cuentas por unos 25,6 millones de dólares (Policía de Hong Kong; confirmado por Arup en mayo de 2024).
• Ferrari (julio de 2024): un directivo recibió una llamada con la voz clonada del presidente de la compañía. Notó algo mecánico y le preguntó el título del libro que le había recomendado. El impostor colgó. Según Bloomberg, Ferrari nunca lo confirmó públicamente; lo cuento con esa salvedad.

Y en Colombia

En julio de 2026 se reportó la captura en Ibagué de cinco personas de una red de falsas visas: dos call centers clandestinos que usaban deepfake para cambiar rostros y acentos en videollamadas y hacerse pasar por funcionarios consulares, y voz sintética para simular asesores migratorios, con más de 100 perfiles falsos y víctimas en siete países (El Tiempo y El País). Entre los cargos figura falsedad personal agravada por el uso de inteligencia artificial. Eso conecta con la Ley 2502 de 2025, que define el deepfake y aumenta hasta en una tercera parte la multa del delito de falsedad personal cuando se usa IA.

Dos advertencias que me pongo a mí misma: el caso de una mujer que "perdió 53 millones de pesos" por una estafa con la imagen y voz de un youtuber no es colombiano (la víctima es de Ontario, Canadá, y perdió 14.000 dólares), y no encontré un caso colombiano verificable de deepfake de un director ejecutivo contra una empresa identificada con pérdida confirmada. Si alguien lo cita, pide la fuente.

Qué puede hacer hoy tu área de RR. HH.

1. Pide el gesto: en la videollamada, que el candidato se pase la mano frente a la cara o gire el rostro. No cuesta nada.
2. Haz una pregunta que solo conozca quien vive esa historia: como la pregunta del libro en el caso Ferrari.
3. Usa un segundo canal: confirma por otro medio las instrucciones de pago, los cambios de datos y las ofertas.
4. Verifica identidad y dirección de envío del equipo: desconfía de computadores enviados a una dirección distinta de la del contrato.
5. Revisa tus proveedores de IA para selección: son parte de tu superficie de riesgo, y en Europa filtrar CV con IA es un uso de alto riesgo.
6. Cuida al candidato: avísale que las ofertas falsas existen y cómo reconocer una empresa fachada.

Fuentes

• CNBC: candidatos falsos con IA inundan las vacantes remotas (abril de 2025)
• Ley 2502 de 2025 (Régimen Legal de Bogotá)
• FTC Data Spotlight: estafas laborales gamificadas (dic. 2024)
• Granja de portátiles: condena de 102 meses (BleepingComputer)
• HR Dive: para 2028, uno de cada cuatro perfiles de candidatos será falso, según Gartner