Imagina que tens un taller amb quatre persones. La Marta porta l'administració. Una tarda de dimarts li sona el mòbil i ets tu. La mateixa veu, aquell to teu una mica impacient. Li dius que ve una auditoria, que avui cal pagar una màquina i que apunti el número de compte. Dubtaria?
Gairebé ningú no dubtaria. D'això va l'engany.
Un cas real, no un exercici d'imaginació
L'INCIBE, l'Institut Nacional de Ciberseguretat, publica casos reals que li arriben per la seva línia 017. Un d'ells (en castellà) és aquest. Una empresa va rebre una trucada que semblava d'un dels seus màxims directius, que demanava una reunió telefònica amb diversos empleats. La veu, va explicar l'empleat, era "exactament igual que la del CEO". A la reunió, el fals directiu va dir que hi havia una auditoria imminent i que calia comprar una màquina per superar-la. Abans de penjar va donar les dades de la transferència. El personal va pagar de seguida perquè la màquina arribés a temps.
Uns dies després algú va parlar amb el directiu de veritat i van veure que els havien enganyat. L'explicació de l'INCIBE: una tècnica de deepfake anomenada deepvoice, en què es clona la veu d'una persona per suplantar-la.
Fixa't en el que no hi va haver. Cap sistema piratejat, cap virus. Només una veu convincent, una pressa i gent amb ganes d'ajudar.
Com es clona una veu (en versió curta)
Un model de clonació escolta enregistraments d'algú i aprèn el patró d'aquella veu: el to, el ritme, com pugen i baixen les frases. Després pot dir qualsevol frase nova amb aquest patró, només a partir d'un text. Pensa en un imitador que t'ha estudiat, però que no es cansa i de qui ningú no nota l'esforç.
D'on surten els enregistraments? De qualsevol cosa pública: un vídeo de la teva web, una nota de veu, un pòdcast, una story. Segons la premsa, de vegades n'hi ha prou amb un fragment curt. No he pogut confirmar una xifra exacta, així que pren-t'ho com un avís, no com una mesura.
Per què "jo reconeixeria la veu" no et protegeix
La teva oïda està feta per reconèixer persones, no per enxampar màquines. I una trucada d'estafa poques vegades és tranquil·la. Ve amb urgència: avui, abans de tancar, l'auditor està esperant. La urgència apaga la part de tu que normalment diria "espera un moment".
L'avís públic de l'FBI de maig del 2025, sobre missatges de veu generats amb IA que suplantaven alts càrrecs dels EUA, ho diu sense embuts: els clons de veu poden sonar gairebé idèntics, així que comprova la petició, no el so. Aquell avís parlava d'alts càrrecs, no de petites empreses, però el mecanisme és el mateix que descriu l'INCIBE.
La regla que funciona: els diners no es mouen per una trucada
El consell de l'INCIBE per a aquella empresa no va de detectar falsificacions. Va de procediment:
- Els pagaments s'autoritzen per correu electrònic o en persona, mai per telèfon.
- Els pagaments grans necessiten l'aprovació de més d'una persona.
- Si alguna cosa grinyola, verifica-ho amb la persona per un canal que sàpigues que és autèntic, no tornant la trucada al número que acaba de trucar-te.
- Forma qui gestiona els pagaments, perquè és a qui truquen.
L'FBI n'hi afegeix dos de barats: no donis mai un codi de verificació a ningú, i pacta una paraula secreta amb la família per poder comprovar una trucada de "sóc jo, necessito diners ja".
És la mateixa idea de qualsevol bon pas d'aprovació: la petició i el permís viatgen per camins diferents. Si la petició arriba per veu, el vistiplau ha d'arribar per una altra via. De com aquestes comprovacions es van gastant vaig parlar a Quan revisar la IA es torna automàtic, i de limitar què pot fer una persona (o un agent) a Hauries de donar una clau del teu negoci al teu agent d'IA?.
Els mòbils comencen a ajudar, una mica
Aquesta setmana Google ha anunciat una detecció d'estafes amb Gemini per a l'app Missatges d'Android, segons explica Hipertextual (en castellà). Vigila les converses amb desconeguts, revisa els enllaços abans que els premis i Android avisarà abans d'activar un desviament de trucades en segon pla. Google diu que l'anàlisi es fa en un entorn privat. És una afirmació seva que no puc comprovar. La notícia no dona data per a l'UE ni per a la teva zona, i tampoc diu quantes vegades s'equivoca.
Útil, probablement. Però vigila els teus missatges, no una trucada de veu que entra com una trucada normal. Una regla al cap val més que un filtre al mòbil.
On es queda curt aquest consell
Una regla de pagaments semblarà lenta. La Marta haurà de dir alguna vegada "ho confirmo per correu" a un tu de debò, una mica molest. Avisa-la per endavant que està bé. I la regla només funciona si te l'apliques a tu: el propietari que diu "només aquesta vegada, tinc pressa" és justament la veu que imita un estafador.
A més, una regla no ho cobreix tot. Una veu clonada també pot intentar treure contrasenyes, codis o dades de clients, no només transferències. Per a això val el mateix hàbit: la petició no es demostra a si mateixa.
Una cosa per a aquesta setmana
Digues una frase a qui gestiona els teus diners: "Si alguna vegada et demano per telèfon que paguis alguna cosa, penges i m'ho preguntes per correu". Després escriu la regla en dues línies i enganxa-la on es fan els pagaments. No costa res i funciona tant si la veu és real com si no.