El fraude con inteligencia artificial ya tiene un blanco preferido: la gente que organiza eventos, porque mueve plata rápido, a muchos proveedores y casi siempre con apuro. Los esquemas que más se repiten son tres: el cliente falso que encarga un evento con documentos impecables, el mail que cambia los datos bancarios en plena producción y la invitación que en realidad le pide permisos a tu cuenta. La defensa no es tecnológica sino de método: ninguna instrucción de pago se acepta por un solo canal, ningún adelanto sale antes de que la plata del cliente esté acreditada de verdad y cada evento tiene un único lugar oficial donde se publican sus datos. Si contratás un socio en otro país, esa verificación tiene que ir en los dos sentidos.
Qué se dijo en Nueva York y por qué importa acá
El tema ocupó una sesión entera del Skift Meetings Forum, que se hizo el 22 de septiembre en Nueva York. Según la cobertura de Skift Meetings, Nelson Lawson, socio de la consultora Information Secured, explicó que la industria de eventos es especialmente vulnerable porque funciona a fuerza de urgencia, y dio dos números: solo el 1% de los casos de cibercrimen termina con una condena, y el promedio que le sacan a una pyme ronda los 250.000 dólares. Su regla de trabajo fue directa: asumir que todo es fraude hasta verificarlo.
Dos semanas antes, el mismo medio había analizado una alerta del FBI sobre atacantes que se hacían pasar por profesionales de eventos y mandaban links disfrazados de invitación. El truco no roba la contraseña: le pide a la víctima que autorice una aplicación sobre su cuenta, y según el FBI eso puede saltear la contraseña y el doble factor, y seguir activo aunque después cambies la clave.
Y el contexto general no es menor. Un análisis de datos del FBI publicado por Insurance Business ubica las pérdidas por compromiso de correo empresarial (el fraude del mail que se hace pasar por un proveedor o un jefe) en algo más de 3.000 millones de dólares en 2025, con 24.768 casos denunciados solo en Estados Unidos.
Nada de esto es exclusivo de allá. Una productora en Buenos Aires, Santiago o Bogotá maneja los mismos ingredientes: señas a proveedores, pagos cruzados entre países, clientes que escriben por primera vez desde otro continente y equipos que trabajan con el teléfono en la mano.
Los tres esquemas que ya están circulando
El cliente falso con documentos reales. El caso más didáctico lo contó Skift Meetings en febrero: un productor de Las Vegas trabajó tres meses para un supuesto lanzamiento de oficinas de la American Coatings Association. Recibió un contrato firmado, facturas y una seña de 20.000 dólares que parecía acreditada; con esa confianza adelantó 20.280 dólares a proveedores. Un segundo pago de 28.000 dólares se revirtió una semana después. El dominio del “cliente” estaba registrado de mala fe, la persona no existía y la asociación confirmó que al menos media docena de productoras habían recibido el mismo contacto. El productor perdió más de 75 horas de trabajo.
El cambio de cuenta en plena producción. Es la versión local del compromiso de correo: un mail con el logo, la firma y el tono de siempre avisa que el proveedor “cambió de banco” y pasa un alias o un CBU nuevo. Con IA, ese mail ya no tiene faltas de ortografía. Mike Bushman, de RainFocus, lo dijo en la nota sobre el FBI: el viejo consejo de mirar errores y frases raras es mucho menos confiable ahora.
La invitación que pide permisos. Un link a “confirmar asistencia” o “ver la agenda” que abre una pantalla para autorizar una aplicación sobre tu correo o tus archivos. La recomendación que recogió Skift es simple: si aparece una pantalla de permisos después de tocar un link de un evento, se cierra la ventana. Un registro legítimo rara vez necesita acceso a tu correo, tus archivos o tus contactos.
Cómo verificar antes de que salga la plata
Lo que se repitió en Nueva York se puede bajar a una rutina que entra en cualquier producción:
- Confirmar cada instrucción de pago por un segundo canal. Una llamada a un número que ya tenías, nunca al que viene en el mismo mail. Lawson lo extendió a las videollamadas: ya hay pérdidas por deepfakes de ejecutivos en llamadas en vivo, y la defensa es la misma, verificar por otro lado.
- No adelantar plata del cliente antes de que esté acreditada de verdad. En el caso de Las Vegas, el error caro fue pagarles a proveedores con una seña que después se revirtió. Antes de mover fondos hacia afuera, confirmá con el banco que el ingreso está firme.
- Mirar el dominio, no el nombre. Un mail de “la marca” desde un dominio con una letra cambiada es la puerta de entrada de casi todos estos esquemas. En Argentina, además, el CUIT de una empresa se puede chequear en la constancia de inscripción de ARCA antes de facturar o pagar.
- Ponerle freno a los clientes nuevos. Nirjary Desai, productora que estuvo en el mismo panel, contó que hoy les pide a los clientes de primera vez que giren los fondos a una cuenta de garantía de su abogado, con 30 días de espera antes de liberarlos. Después de caer en una estafa, recuperó 20.000 dólares en 60 días porque había documentado cada comunicación y trabajó con el área de fraudes de su banco.
- Tener una sola fuente oficial del evento. Una página donde figuren los dominios, los proveedores y los canales que se van a usar. Si un asistente o un proveedor recibe algo que no coincide, tiene contra qué comparar.
Desai sumó una advertencia que cualquiera que produce lanzamientos de marca debería escuchar: los estafadores eligen a quién atacar mirando las redes, y cuanto más vistoso y caro se ve un evento, más atractiva es la empresa que lo hace.
Los asistentes también son un blanco
El riesgo no termina en la administración. La alerta del FBI incluye recomendaciones pensadas para el día del evento: decidir de antemano quién puede avisarles a los asistentes y por qué canales si circula un mensaje falso, y sumar una guía breve de seguridad en el mail de confirmación de registro. Si tu evento maneja datos de inscriptos, eso conecta con lo que contamos sobre datos y privacidad de los asistentes: quién los tiene, dónde se guardan y qué proveedor puede acceder.
También cambia lo que conviene preguntarles a los proveedores de registro, apps y acreditación. Skift propone dos preguntas concretas: qué permisos piden sobre las cuentas y en cuánto tiempo avisarían si sufren una filtración. Una respuesta vaga ya es una señal.
Si contratás un socio en otro país, la verificación va en los dos sentidos
Cuando una agencia de afuera contrata una productora en Argentina, o una productora argentina recibe un encargo desde Madrid o Ciudad de México, las dos partes están haciendo exactamente lo que los estafadores imitan: hablar con alguien que no conocen en persona, firmar a distancia y mandar plata a otra moneda. Por eso la verificación tiene que ser mutua y estar escrita desde el primer día.
Del lado de quien contrata, sirven los mismos filtros de siempre, pero aplicados sin atajos: casos con nombre que se puedan comprobar, contrato formal, factura legal del país de origen y pagos escalonados contra hitos, algo que detallamos en qué revisar en el contrato con una productora y en cómo elegir una productora de eventos. Del lado del socio local, lo sano es lo mismo al revés: saber quién paga, desde qué cuenta y con qué datos fiscales antes de comprometer a un proveedor.
La distancia no es el problema: se puede operar un evento entero desde otro país, como hicimos con el control de accesos de FILGUA en Guatemala, monitoreado desde Buenos Aires. El problema es operar a distancia sin un método para verificar. Si estás armando un evento en Argentina o en otro país de la región y buscás un socio local con contrato, factura de exportación y procesos claros, mirá cómo trabajamos en alianzas estratégicas.