Esto es lo que pasa. Y así se arregla.

Un audio de WhatsApp con la voz del jefe —clonada con IA— pidió un pago urgente

Viernes, 13:40. La administrativa de una asesoría recibe un WhatsApp de un número desconocido: «soy yo, este es mi móvil nuevo». Y un audio con la voz exacta del socio: que pague 4.870 € a un proveedor nuevo antes de que cierre el banco, que ya le explicará el lunes. La voz la habían clonado con IA a partir de vídeos suyos en LinkedIn. La transferencia llegó a salir.

Qué hacemos

• ·La regla que salvó el día (de su formación de puesta en marcha): verificar por otro canal — llamó al fijo y el socio estaba allí, reunido
• ·Abrió la incidencia desde el móvil; en minutos estaba el aviso al banco para retener el pago, y la denuncia en marcha
• ·Guardamos el audio y el número como prueba y bajamos el límite de pagos sin doble aprobación

Cómo acabó

Hubo suerte con un detalle: era una transferencia ordinaria de viernes por la tarde, aún sin liquidar — el banco pudo pararla el mismo día. De haber sido inmediata, otra historia. Tres semanas después llegó otro «móvil nuevo» — esa vez nadie contestó siquiera.

El fraude del CEO con voz clonada es de los que más crecen en España, y de los que las pólizas de ciberriesgo suelen contemplar.

Los presupuestos salían de un Excel que ya no era el bueno

Una empresa de climatización monta sus presupuestos con Zapier: coge los precios de un Excel en Google Drive y rellena la plantilla. En enero subieron precios y alguien hizo una copia del archivo para actualizarla — la llamó «Tarifas 2026 BUENA» — pero Zapier siguió leyendo la vieja. Al presupuesto número 14 —uno de 46.300 € con el margen en negativo— el aviso de presupuesto fuera de rango saltó en el panel. Para entonces, dos clientes ya habían aceptado ofertas con precios viejos.

Qué hacemos

• ·Con el aviso del panel, se pausó el flujo de Zapier y listamos todo lo enviado con precios viejos
• ·Los presupuestos sin aceptar se corrigieron con una llamada; con los dos aceptados se renegoció
• ·La pérdida quedó cuantificada y documentada para estudiarla con la correduría

Cómo acabó

Doce ofertas se arreglaron sin ruido. Un cliente aceptó el ajuste; con el otro se sirvió el trabajo asumiendo la diferencia, con el expediente preparado. Ahora hay un solo Excel de tarifas, y el flujo avisa si el archivo lleva más de 90 días sin tocarse.

El lector automático de facturas pagó dos veces la misma factura

Una distribuidora usa un lector automático que saca las facturas de proveedores de Outlook y las contabiliza en Holded. Un proveedor reenvió su factura de 3.420 € con otro asunto («RECORDATORIO») y el sistema la registró como factura nueva. Las dos entraron en la remesa del viernes y se pagaron las dos. El lunes, el aviso automático marcó la coincidencia: mismo proveedor, mismo importe, doce días de diferencia.

Qué hacemos

• ·Revisamos toda la contabilidad automática de los últimos meses buscando más duplicados
• ·Reclamamos la devolución al proveedor, por escrito y con las dos transferencias delante
• ·El sistema ahora retiene cualquier factura sospechosa de duplicado hasta que una persona la mira

Cómo acabó

El proveedor devolvió los 3.420 € en dos semanas — era el único pagado dos veces. Desde entonces, la regla nueva ha retenido otros tres duplicados antes de llegar a la remesa. La revisión humana del viernes tarda diez minutos.

El chatbot de la tienda recomendaba un código de descuento del 25% que nadie había desactivado

Una tienda de WooCommerce puso un chatbot con IA entrenado con toda su web — incluida la página de una campaña antigua con el código BIENVENIDO25. El código seguía activo en la tienda: nunca se desactivó. Cuando alguien preguntaba por descuentos, el bot lo recomendaba amablemente. En tres semanas se usó en 214 pedidos, y el foro de una comunidad de cazadores de chollos lo remató: la última noche entraron 90 pedidos más.

Qué hacemos

• ·El aviso de actividad inusual saltó la última noche: el bot movía diez veces más pedidos de lo normal. Se desactivó el código y se pausó el bot en horas
• ·Medimos el agujero real: pedidos con el código, margen perdido por pedido y de dónde venían
• ·Los pedidos ya realizados se sirvieron — cancelarlos habría costado más caro en devoluciones y reseñas
• ·El bot ya no ve páginas de campañas, y el límite de actividad quedó ajustado para avisar antes

Cómo acabó

El agujero total fueron 9.680 € en descuentos no previstos, la mayoría de la última noche. Se cortó en horas desde el aviso; sin él, el código habría seguido circulando semanas. La página de la campaña llevaba dos años publicada sin que nadie la viera. Menos el bot.

Un descuento que aplica tu propia tienda no es un siniestro asegurable: es margen que se va. Aquí la protección es la prevención — saber qué lee tu bot y vigilar los códigos activos.

El plugin de precios con IA tumbó la tienda un viernes por la noche — el panel avisó a las 9:04

Una tienda online de productos para mascotas —240 referencias en PrestaShop— instaló un plugin de precios dinámicos con IA. Una actualización automática del plugin un viernes por la noche dejó decenas de productos sin precio y la tienda se puso en mantenimiento sola. El sábado a las 9:04, el detector de actividad avisó: el flujo de pedidos que vigilamos llevaba desde medianoche a cero — y el sábado es su mejor día.

Qué hacemos

• ·Con el aviso del sábado, se levantó la tienda desde la copia previa a la actualización y se aisló el plugin
• ·Cuantificamos la pérdida con datos reales: ventas del mismo periodo del año anterior, hora a hora
• ·Con esa cuantificación, la correduría presentó el expediente por la parada
• ·Las actualizaciones automáticas de plugins ahora pasan por un entorno de prueba primero

Cómo acabó

Se perdieron las ventas de la madrugada y la mañana, unos 410 €; sin el aviso, habría estado caída todo el fin de semana — más de 2.000 € comparando con semanas normales. La pérdida por parada es de las que el ciberriesgo suele contemplar como «pérdida de beneficios», y tenerla cuantificada hora a hora es lo que permite reclamarla.

La pérdida de beneficios por interrupción es una cobertura habitual del ciberriesgo. La clave es poder demostrar cuánto se perdió: eso es el expediente.

La IA conectada a HubSpot machacó las notas de 212 contactos durante la noche

Una inmobiliaria conectó una IA a su HubSpot a través de Make para una tarea simple: poner todos los teléfonos en el mismo formato. Una condición mal configurada hizo que, además del teléfono, sobrescribiera las anotaciones de los comerciales. A las 2:41, el límite de acciones por hora detuvo el flujo en la ficha 212 — iba camino de las 1.400. La última copia completa era de hacía 11 días.

Qué hacemos

• ·Le quitamos a la IA el permiso de escribir en el CRM, al momento
• ·Recuperamos las notas desde la copia y reconstruimos los últimos días con los emails
• ·Cualquier cambio masivo ahora lo propone la IA y lo aprueba una persona

Cómo acabó

Se recuperó el 95% desde la copia, y el resto se completó cruzando los emails y el calendario de visitas de esos 11 días. Gracias a que el límite paró el flujo en la ficha 212, el arreglo fue de una tarde — con 1.400 fichas habría sido otra historia. Ahora la copia del CRM es diaria.

El asistente de Outlook estuvo once días archivando los pedidos de su mejor cliente

Un mayorista activó el asistente de IA de Outlook para ordenar la bandeja compartida de pedidos. El asistente aprendió que los emails automáticos del ERP de su mejor cliente —asunto «Pedido automático nº…», siempre iguales, siempre con adjunto— parecían correo de sistema, y los fue moviendo a una subcarpeta que nadie miraba. Once días y 23 pedidos después, el cliente llamó: «¿me estáis ignorando?».

Qué hacemos

• ·Se abrió la incidencia tras la llamada; localizamos la subcarpeta y los 23 pedidos en minutos
• ·Se contestó y sirvió todo lo salvable el mismo día, con llamada de disculpa del gerente
• ·Corregimos la regla del asistente y dejamos un aviso: si el buzón de pedidos baja de su volumen normal, el panel avisa

Cómo acabó

Veintiún pedidos se sirvieron con retraso y disculpa; dos ya se habían ido a otro proveedor, unos 1.100 €. El cliente se quedó — ayudó enseñarle qué había pasado y qué se cambió para que no se repitiera. El aviso de volumen ha saltado una vez desde entonces: era un festivo, falsa alarma, dos minutos de susto.

Los asistentes de correo fallan en silencio: no rompen nada, solo esconden. Por eso vigilamos también lo que deja de pasar — un buzón demasiado tranquilo es una señal.