FBI: los estadounidenses perdieron 21.000 millones por ciberdelitos en 2025 — el fraude con IA ya es la norma

Los estadounidenses perdieron casi 21.000 millones de dólares por delitos cibernéticos en 2025, según el Informe Anual 2025 del Centro de Denuncias de Delitos en Internet del FBI (IC3). Es un récord y marca el quinto año consecutivo de crecimiento, con pérdidas que se han más que duplicado desde 2021. El FBI recibió más de 880.000 denuncias, con una media de más de 2.400 al día.

El fraude de inversión lidera por volumen económico

Las estafas de inversión en criptomonedas — incluidos los esquemas de pig butchering, donde se cultiva la confianza de la víctima durante semanas o meses antes de dirigirla a plataformas fraudulentas — impulsaron la mayor parte de las pérdidas totales. Estas operaciones se han industrializado. Complejos de estafa en el sudeste asiático emplean a miles de trabajadores que ejecutan campañas coordinadas contra objetivos en inglés, español y mandarín de forma simultánea.

El modelo de pig butchering es especialmente eficiente: el atacante construye confianza antes de hacer cualquier solicitud financiera, lo que mantiene bajas las señales de detección de fraude en las plataformas y lleva a las víctimas a mover fondos de forma proactiva. Para cuando la víctima comprende lo que ha ocurrido, el dinero ya ha pasado por múltiples carteras en múltiples cadenas.

El BEC sigue siendo la amenaza empresarial más rentable

El Business Email Compromise (BEC) ocupó el segundo lugar en pérdidas totales. Los ataques BEC no requieren malware — funcionan suplantando direcciones de correo ejecutivo o comprometiendo cuentas para redirigir transferencias bancarias y pagos de nóminas. A pesar de ser una amenaza documentada durante más de una década, el BEC sigue generando miles de millones en pérdidas anuales. Existen controles de seguridad. La aplicación a nivel de proceso — autorización de transferencias por canal separado, verificación de retrollamada para cambios de pago — sigue siendo irregular.

La IA está cambiando la estructura de costes del fraude

El informe de 2025 documenta explícitamente el uso ampliado de IA generativa en múltiples categorías de fraude: clonación de voz en estafas telefónicas, videollamadas deepfake usadas en ataques BEC para suplantar a ejecutivos, y scripts de conversación generados por IA en pipelines de estafas románticas y de inversión.

Hace dos años, estos tipos de ataque requerían operadores expertos y una inversión de tiempo considerable por objetivo. La IA generativa los ha hecho en gran medida automatizables. Un solo operador puede gestionar ahora un pipeline que antes requería un equipo completo.

La recuperación es infrecuente

La cadena de recuperación de fraude financiero del FBI incluye mecanismos para congelar transferencias bancarias si se denuncian en las 72 horas posteriores a la ejecución. En 2025, el IC3 logró recuperar o congelar aproximadamente 551 millones de dólares del total de pérdidas reportadas — alrededor de 2,6 centavos por dólar.

Esa cifra es a la vez un testimonio de lo que pueden hacer los mecanismos de congelación y una ilustración clara de sus límites. La mayoría de las víctimas no denuncian en 72 horas. Muchas no denuncian en absoluto.

Lo que esto significa para las organizaciones

Los datos de 2025 confirman que el BEC y el fraude de inversión son tanto fallos de proceso como técnicos. Los controles técnicos — autenticación de correo, detección de phishing, monitoreo de endpoints — son necesarios pero insuficientes contra ataques que apuntan a la toma de decisiones humana en el momento de la transferencia bancaria.

Las medidas defensivas que realmente marcan la diferencia: verificación obligatoria por canal alternativo para cualquier instrucción de pago recibida por correo, retrollamadas a números conocidos para cambios de datos bancarios, y formación actualizada sobre ingeniería social generada por IA. Son controles de proceso, no compras de software adicional.