Candidatos deepfake: cómo frenar el fraude de contratación con IA en 2026

Un candidato deepfake es un postulante que recurre a vídeo generado por IA, a una voz clonada o a una identidad robada o sintética para superar las entrevistas y los filtros de selección. En 2026, los candidatos falsos y asistidos por IA se situaron como la principal amenaza prevista en contratación, por delante incluso de la escasez de talento, y Gartner proyecta que para 2028 uno de cada cuatro perfiles de candidatos en el mundo será falso.

Durante dos décadas, la contratación en remoto se sostuvo sobre una premisa tácita: la persona que está en la videollamada es la persona que va a hacer el trabajo. Esa premisa se acabó. Las herramientas para falsificar una cara, una voz y una identidad son hoy baratas, rápidas y lo bastante buenas como para engañar a entrevistadores con experiencia. Esta guía explica cómo funciona el fraude en la práctica, las cifras verificadas que hay detrás de la alarma y los pasos concretos que vuelven tu proceso de selección resistente a él, sin obligar a todo el mundo a volver a la sala de reuniones.

¿Qué es un candidato deepfake?

Un candidato deepfake es alguien que postula y se entrevista bajo una identidad fabricada o prestada, usando la IA para tapar la distancia entre quien dice ser y quien realmente es. La categoría abarca tres tácticas que se solapan.

• Fraude de identidad sintética: una persona inventada por completo, con una cara generada por IA, un historial laboral fabricado y documentos que aguantan un vistazo superficial.
• Entrevistas con suplantador: alguien hábil pasa la entrevista en lugar del candidato y luego es otra persona, menos cualificada, quien hace el trabajo, o directamente no aparece nadie.
• Suplantación asistida por IA: un postulante real, pero que se presenta de forma engañosa, usa intercambio de rostro en directo, clonación de voz o generación de respuestas en tiempo real para hacerse pasar por quien no es.

La amenaza va desde el aspirante con exceso de confianza que hace trampas en un filtro hasta el operativo patrocinado por un Estado que se infiltra en tu código. La defensa responde a la misma idea en todos los niveles: vincular cada punto de contacto del candidato a una única identidad verificable y convertir la coherencia entre rondas en algo que de verdad compruebas.

Por qué los candidatos falsos se convirtieron en la amenaza número uno de la contratación en 2026

Los candidatos falsos y generados por IA superan ya a la escasez de talento como principal preocupación de los responsables de adquisición de talento. El cambio es reciente, medible y está respaldado por fuentes primarias, no por el ruido de los proveedores.

En el Hiring Insights Report 2026 de GoodTime, que en noviembre de 2025 encuestó a más de 500 responsables de adquisición de talento en EE. UU. en empresas de más de 1.000 empleados, el 27 % situó a los candidatos falsos o generados por IA como su mayor reto previsto, por delante por poco del 26 % preocupado por la escasez de talento. Para un sector que lleva una década obsesionado con la falta de talento, es un vuelco notable.

La tendencia lo confirma. Gartner, en un informe de julio de 2025, proyectó que para 2028 uno de cada cuatro perfiles de candidatos en el mundo será falso. El daño económico ya está aterrizando. Según datos de la FTC de marzo de 2025, las pérdidas declaradas por estafas de empleo pasaron de 90 millones de dólares en 2020 a 501 millones en 2024, y la categoría más amplia de fraude de oportunidades de negocio y empleo alcanzó los 750,6 millones. Las pérdidas totales por fraude en EE. UU. llegaron a 12.500 millones de dólares en 2024, un 25 % más que el año anterior.

Esto ya no es un riesgo marginal que solo quita el sueño a los equipos de seguridad. Es un problema de contratación de pleno derecho que aterriza en la mesa de cualquier reclutador que gestione un proceso en remoto.

Cómo se fabrica un candidato deepfake en 70 minutos

La razón por la que esta amenaza escaló tan rápido es que el coste de falsificar a una persona se desplomó. Ya no hace falta un estudio, un presupuesto ni conocimientos técnicos.

Un solo investigador de la Unit 42 de Palo Alto Networks, sin experiencia en manipulación de imágenes, con conocimientos limitados sobre deepfakes y un ordenador de cinco años, construyó una identidad sintética capaz de superar una entrevista en vídeo en 70 minutos. Las herramientas eran gratuitas: un buscador con IA, software de deepfake de código abierto y una cara sacada de un generador de tipo “esta persona no existe”. La tarjeta gráfica era una RTX 3070 comprada a finales de 2020.

Setenta minutos. Una sola persona. Una máquina de consumo que ya estaba desfasada. Cualquier modelo mental que trate el fraude con deepfakes como algo difícil, infrecuente o reservado a actores sofisticados está equivocado.

Las demostraciones en directo son igual de inquietantes. El proveedor de seguridad Pindrop ha mostrado cómo se intercambia en tiempo real la cara de un periodista en una llamada de Zoom, sin que el resto de participantes se diera cuenta. La cara que se mueve y habla en tu pantalla ya no demuestra nada.

Cuando la barrera de entrada es tan baja, no puedes confiar en que los entrevistadores “lo pillen sin más”. La detección por intuición no escala frente a herramientas que mejoran cada trimestre. El trabajo lo tiene que hacer el propio proceso.

El manual de Corea del Norte: granjas de portátiles y empleados sintéticos

La versión más documentada de este fraude es también la de mayores consecuencias: operativos de un Estado-nación que se hacen pasar por trabajadores en remoto en EE. UU. para cobrar sueldos y obtener acceso a sistemas internos.

En julio de 2025, Christina Marie Chapman, de 50 años y residente en Litchfield Park (Arizona), fue condenada a 102 meses (8,5 años) de prisión por gestionar una “granja de portátiles” desde su casa. El Departamento de Justicia de EE. UU. documentó que su operación ayudó a trabajadores de TI norcoreanos a hacerse pasar por empleados radicados en EE. UU. en más de 300 empresas estadounidenses, generando más de 17 millones de dólares de ingresos ilícitos para Corea del Norte. Cuando los investigadores registraron su casa en octubre de 2023, incautaron más de 90 portátiles entregados por las empresas, cada uno de ellos manteniendo el aspecto “nacional” de un “empleado” en remoto.

El esquema funciona porque el onboarding en remoto rara vez verifica que quien teclea es quien se entrevistó, ni que está físicamente donde dice estar. Un portátil enviado a una dirección de Arizona cumple con el papeleo. La persona que lo maneja está en otro continente.

Y no se trata de un puñado de casos. El CSO de Amazon, Stephen Schmidt, reveló que la compañía ha bloqueado a más de 1.800 presuntos operativos norcoreanos en sus procesos de contratación desde abril de 2024, y que las candidaturas vinculadas a Corea del Norte crecieron alrededor de un 27 % trimestre a trimestre a lo largo de 2025. Si uno de los empleadores con mayor madurez en seguridad del planeta asume esto como un coste operativo permanente, las empresas más pequeñas y sin equipo de seguridad no están de algún modo exentas. Son el objetivo más fácil.

Lo que está en juego aquí no es solo una mala contratación. Es malware en tu red, robo de código fuente y datos de clientes, peticiones de rescate y exposición a sanciones por pagar sin saberlo a un régimen sancionado.

Entrevistas con suplantador y trampas asistidas por IA: la versión cotidiana

La mayoría de las empresas nunca se enfrentará, a sabiendas, a un operativo de un Estado-nación. Se enfrentará a la versión mundana y de gran volumen: postulantes corrientes que usan la IA para tergiversar quiénes son y qué saben hacer.

Las cifras muestran lo rápido que esto se normalizó. En una encuesta de Resume Genius a 1.000 responsables de contratación de EE. UU., el 17 % declaró haber topado con candidatos que usaban tecnología deepfake en entrevistas en vídeo, frente a aproximadamente un 3 % el año anterior. Un informe de GetReal Security halló que el 41 % de los responsables de TI, ciberseguridad, riesgo y fraude afirma que su organización ha contratado e incorporado a un candidato fraudulento. La investigación de Regula de 2024 reveló que la mitad de las empresas se había topado con un deepfake en vídeo.

El lado de los candidatos también lo admite. En una encuesta de Gartner a 3.000 buscadores de empleo, el 6 % reconoció haber cometido fraude en entrevistas, es decir, suplantó a alguien o fue suplantado. Cuatro de cada diez declararon usar IA en algún punto de su candidatura. Y solo la mitad creía que las ofertas a las que postulaba eran siquiera reales, lo que da la medida de cuánto se ha degradado la confianza a ambos lados de la mesa.

Las tácticas del día a día son más sencillas que un deepfake completo: un ingeniero más fuerte se suma a la llamada para resolver la ronda técnica, un segundo monitor sopla las respuestas en directo, un modulador de voz disimula un acento que delataría al suplantador. Nada de esto requiere una RTX 3070. Requiere un cómplice dispuesto y un proceso que nunca comprueba si la misma persona aparece en todas las etapas.

Por qué las herramientas de identidad “de quita y pon” no bastan

El primer instinto del mercado fue enchufar un proveedor de verificación al embudo existente. Eso ayuda, pero no resuelve el problema estructural.

Hoy hay una oleada de herramientas de verificación de identidad que se acoplan a los sistemas de seguimiento de candidatos (ATS). En España, proveedores como Veridas (con sede en Navarra, fundada en 2017; reconocida como Visionary en el Gartner Magic Quadrant 2025 de verificación de identidad y con certificaciones iBeta L1/L2 de detección de ataques de presentación) o Facephi (Alicante) combinan verificación documental, prueba de vida facial y autenticación biométrica para el onboarding digital, con sus procesos alineados con KYC/AML y el RGPD. Detectan nombres que no cuadran, selfies falsos e identificaciones inválidas, y se integran con los ATS internacionales que ya conoces, como Ashby, Greenhouse o Workday. La detección de deepfakes de voz y vídeo de proveedores como Pindrop, GetReal y Daon añade comprobaciones de “prueba de vida”.

Son herramientas útiles. Pero todas y cada una son un añadido externo. Verifican la identidad en una única etapa y devuelven una señal al ATS que tengas. Ninguna de ellas es el proceso. Una comprobación de verificación en la fase del currículum no sirve de nada para confirmar que la persona de la entrevista final, o la que acaba aceptando la oferta y recibe un portátil, es el mismo ser humano. El fraude vive en las costuras entre etapas, y los añadidos externos no son dueños de esas costuras.

Gartner ha llegado a advertir de que para 2026 el 30 % de las empresas considerará que las herramientas de verificación de identidad no son fiables por sí solas frente a unos deepfakes cada vez más avanzados. La herramienta es necesaria, pero no suficiente.

La prueba más clara está en cómo respondieron los empleadores más sofisticados. Google y McKinsey están reintroduciendo rondas de entrevistas presenciales. En el Lex Fridman Podcast de junio de 2025, el CEO de Google, Sundar Pichai, confirmó que la compañía vuelve a incorporar “al menos una ronda de entrevistas presenciales” para verificar los fundamentos de los candidatos. Cuando gigantes nativos de la IA concluyen que ya no se puede confiar solo en el vídeo en remoto, el mensaje no es “vuelve a la oficina”. Es “integra la verificación dentro del propio proceso”.

Cómo blindar tu proceso de selección frente al fraude

No tienes que elegir entre contratar en remoto y contratar con garantías. Conviertes el propio proceso en resistente al fraude aplicando la identidad de forma continua, en lugar de comprobarla una sola vez. Aquí tienes una lista práctica.

1. Autentica cada punto de contacto del candidato. Vincula cada interacción a una única identidad de correo verificable mediante enlaces de un solo uso y sin contraseña, en vez de una contraseña compartida que un suplantador pueda pasar de mano en mano. Así cada acceso queda trazado a una sola identidad.
2. Pon los controles de identidad dentro del proceso, no al lado. Inserta un paso de verificación —una comprobación con un proveedor de IDV, o una ronda presencial o supervisada— como puerta obligatoria antes de las etapas sensibles, como la entrevista final, la oferta o cualquier acceso al código. La puerta debe bloquear el avance, no limitarse a dejar un aviso en el registro.
3. Vigila las incoherencias entre rondas. Haz que al menos dos entrevistadores comparen sus notas a lo largo de las etapas. “No me pareció la misma persona que hizo la primera ronda” es una de las señales de fraude más potentes que tienes, y solo aflora cuando la evaluación es colaborativa y queda documentada.
4. Usa señales de comportamiento de las muestras de trabajo. Un candidato que borda una entrevista en directo, pero cuyo ritmo, entorno o estilo en el ejercicio de código desentona, es una incoherencia que conviene marcar. El trabajo real, observado a lo largo del tiempo, es mucho más difícil de falsificar que una sola llamada bien pulida.
5. Verifica antes de dar acceso, no después. El caso Chapman funcionó porque la verificación se hacía, si acaso, después de que el portátil ya se había enviado. Confirma la identidad y la ubicación antes de conceder cualquier acceso a sistemas, repositorios o dispositivos.
6. Reserva una ronda de alta confianza para los puestos de alta confianza. Toma prestada la jugada de Google de forma selectiva. Para los puestos que tocan sistemas de producción o datos sensibles, exige una ronda presencial o rigurosamente supervisada. No la necesitas para cada contratación, solo para aquellas en las que el riesgo de fondo es una brecha de seguridad.

Para profundizar en cómo evaluar la capacidad real cuando los títulos y los currículums ya no demuestran competencia, consulta nuestra guía sobre cómo contratar ingenieros junior tras el colapso de las credenciales.

Cómo Kit integra la resistencia al fraude en el proceso

La detección de fraude acoplada por fuera a un embudo de contratación siempre irá por detrás, porque el embudo se diseñó para confiar. Un sistema de seguimiento de candidatos nativo de la IA puede hacer que el proceso sea resistente al fraude por diseño. Kit está hecho justo para esto, porque se sitúa en la intersección de sus dos dominios más fuertes: contratación y seguridad.

Kit ya eliminó las contraseñas para los candidatos. Cada candidato accede al proceso a través de un enlace mágico: un enlace de un solo uso, con caducidad, vinculado a una única identidad de correo. No hay contraseña compartida que pasar a un suplantador, y cada acceso es un evento autenticado que puedes rastrear. El mismo patrón sin contraseña recorre el módulo de seguridad y divulgación de vulnerabilidades de Kit, porque la garantía de identidad es nativa del producto, no algo grapado por encima.

El modelo de etapas de Kit te permite colocar puntos de control de confianza dentro del proceso. Puedes insertar una ronda con identidad verificada o presencial como puerta obligatoria antes de etapas sensibles, como una oferta o el acceso al repositorio: exactamente el patrón que describe la lista de arriba. Y si quieres usar un proveedor de IDV dedicado como Veridas o Facephi, Kit es donde lo aplicas como una puerta, en lugar de un embudo con fugas que trata la comprobación como opcional.

Los ejercicios de código integrados con GitHub de Kit te dan señal de comportamiento: un candidato cuya entrevista en directo y cuyo comportamiento en la muestra de trabajo no cuadran es una incoherencia que merece la pena marcar. Y la revisión del equipo y votación sacan a la luz la señal de “no fue la misma persona en todas las rondas” antes de que salga una oferta, en lugar de después de que se envíe un portátil.

Kit no es un motor de detección de deepfakes y no sustituye a la verificación de identidad biométrica. Es el proceso que hace que la verificación sea exigible y la identidad continua, para que las costuras entre tus etapas dejen de ser el lugar donde vive el fraude.

La amenaza es real, las cifras están verificadas y las herramientas para falsificar a un candidato son más baratas que nunca. La buena noticia es que la defensa es estructural, no mágica. Autentica cada punto de contacto, protege las etapas sensibles con puertas de control y comprueba que la misma persona aparece desde el primer contacto hasta el primer commit. Empieza una prueba gratuita y construye un proceso que dé por hecho que la confianza hay que ganársela, no presuponerla.