Una transferencia bancaria, una reserva de hotel, una devolución, una conversación de WhatsApp o incluso la autorización de un superior. Las capturas de pantalla se han convertido en una forma habitual de demostrar que algo ha ocurrido en el entorno digital. Sin embargo, confiar únicamente en ellas entraña cada vez más riesgos.

ESET, compañía líder en ciberseguridad, advierte de que las herramientas actuales de edición y generación de imágenes permiten modificar o crear desde cero capturas falsas cada vez más convincentes. El problema es que una captura únicamente muestra una imagen de lo que supuestamente apareció en una pantalla, pero no permite comprobar por sí sola quién la creó, si ha sido manipulada o si la operación que refleja llegó realmente a producirse.

“Nos hemos acostumbrado a aceptar una captura como confirmación de que un pago se ha realizado, una reserva existe o una conversación tuvo lugar, pero hoy esa confianza puede jugar en nuestra contra”, explica Josep Albors, responsable de Investigación y Concienciación de ESET España. “La proliferación de los deepfakes y de otras herramientas de manipulación y generación de imágenes permite crear capturas falsas cada vez más convincentes y difíciles de identificar a simple vista”.

Del justificante de pago falso a las estafas de inversión

Uno de los ejemplos más habituales puede producirse en las plataformas de compraventa de segunda mano. Un supuesto comprador envía al vendedor una captura que aparentemente confirma que ha realizado una transferencia y le insta a enviar el producto. Sin embargo, el dinero nunca llega porque el justificante ha sido manipulado.

Una variante consiste en mostrar una falsa notificación en la que se asegura que el pago está retenido y que es necesario abonar previamente una comisión o actualizar algún tipo de cuenta para recibirlo. Tanto el pago inicial como ese supuesto trámite son falsos.

Las capturas también pueden utilizarse para dar credibilidad a otros fraudes. En grupos de inversión, por ejemplo, los estafadores pueden compartir imágenes de supuestas cuentas con grandes beneficios para convencer a otras personas de que inviertan. También pueden falsificarse reservas, facturas o justificantes de devolución para reclamar un producto o un reembolso que no corresponde.

Incluso una petición aparentemente inocente puede esconder un intento de robo de cuenta. Un ciberdelincuente puede solicitar a la víctima una captura de un código de verificación o recuperación de contraseña y utilizar esa información para acceder posteriormente al servicio.

Cuando una captura falsa provoca una decisión dentro de la empresa

El riesgo no afecta únicamente a los consumidores. Departamentos de atención al cliente, administración, finanzas o recursos humanos reciben habitualmente capturas de pantalla como documentación de apoyo.

Un cliente puede presentar una imagen como prueba de un pago que nunca se produjo y solicitar una devolución o la reposición de un producto. Un empleado puede recibir una captura que aparentemente contiene la autorización de un responsable para realizar una transferencia urgente. También pueden manipularse conversaciones para respaldar una reclamación o intentar recuperar el acceso a una cuenta.

“El verdadero riesgo aparece cuando una captura desencadena una decisión que después es difícil de revertir, como autorizar un pago, devolver dinero, entregar un producto o facilitar información sensible. Por eso, cuando hay dinero, datos o accesos en juego, la comprobación debería realizarse siempre en el sistema de origen y no basarse exclusivamente en una imagen enviada por otra persona”, señala Albors.

Cómo comprobar si una operación es real

ESET recomienda aplicar una regla sencilla: utilizar la captura como pista o documentación complementaria, pero nunca como única prueba cuando la operación pueda verificarse de otra forma.

En el caso de un pago, debe comprobarse directamente en la aplicación bancaria, plataforma de pago o servicio correspondiente. Si se trata de una compra o venta online, la información debe revisarse dentro del propio marketplace, accediendo desde su aplicación o web oficial y no desde enlaces enviados por la otra persona.

Lo mismo ocurre con reservas, devoluciones o facturas. Siempre que sea posible, conviene contrastar la información con números de referencia, correos originales, registros de transacciones o confirmaciones procedentes directamente de la empresa que supuestamente realizó la operación.

Para las organizaciones, ESET recomienda además:

• Contrastar las capturas con los registros internos antes de aprobar pagos, devoluciones o cambios sensibles.
• Solicitar documentos o comunicaciones originales verificables cuando sea necesario investigar una incidencia.
• Evitar decisiones irreversibles basadas únicamente en una imagen, especialmente en áreas financieras, atención al cliente o recuperación de cuentas.
• Formar a los empleados para que conozcan las limitaciones de este tipo de evidencias y sepan cuándo deben realizar comprobaciones adicionales.
• Automatizar, cuando sea posible, la consulta de los sistemas de origen, reduciendo la dependencia de documentación aportada manualmente.