Imagina que tienes un taller con cuatro personas. Marta lleva la administración. Una tarde de martes le suena el móvil y eres tú. La misma voz, ese tono tuyo algo impaciente. Le dices que viene una auditoría, que hay que pagar una máquina hoy mismo y que apunte el número de cuenta. ¿Dudaría?
Casi nadie dudaría. De eso va el truco.
Un caso real, no un ejercicio de imaginación
El INCIBE, el Instituto Nacional de Ciberseguridad, publica casos reales que le llegan por su línea 017. Uno de ellos es este. Una empresa recibió una llamada que parecía de uno de sus principales directivos, pidiendo una reunión telefónica con varios empleados. La voz, contó el empleado, era "exactamente igual a la del CEO". En la reunión, el falso directivo dijo que había una auditoría inminente y que hacía falta comprar una máquina para superarla. Antes de colgar dio los datos de la transferencia. El personal pagó enseguida para que la máquina llegara a tiempo.
Unos días después alguien habló con el directivo de verdad y cayeron en la cuenta. La explicación del INCIBE: una técnica de deepfake llamada deepvoice, en la que se clona la voz de una persona para suplantarla.
Fíjate en lo que no hubo. Ni sistema hackeado ni virus. Solo una voz convincente, una prisa y gente con ganas de ayudar.
Cómo se clona una voz (en versión corta)
Un modelo de clonación escucha grabaciones de alguien y aprende el patrón de esa voz: el tono, el ritmo, cómo suben y bajan las frases. Después puede decir cualquier frase nueva con ese patrón, a partir de un simple texto. Piensa en un imitador que te ha estudiado, solo que no se cansa y nadie nota el esfuerzo.
¿De dónde salen las grabaciones? De cualquier cosa pública: un vídeo de tu web, una nota de voz, un pódcast, una story. Según la prensa, a veces basta un fragmento corto. No he podido confirmar una cifra exacta, así que tómalo como un aviso, no como una medida.
Por qué "yo reconocería la voz" no te protege
Tu oído está hecho para reconocer personas, no para pillar máquinas. Y una llamada de estafa rara vez es tranquila. Viene con urgencia: hoy, antes de cerrar, el auditor está esperando. La urgencia apaga la parte de ti que normalmente diría "espera un momento".
El aviso público del FBI de mayo de 2025, sobre mensajes de voz generados con IA que suplantaban a altos cargos de EE. UU., lo dice sin rodeos: los clones de voz pueden sonar casi idénticos, así que comprueba la petición, no el sonido. Aquel aviso hablaba de altos cargos, no de pequeñas empresas, pero el mecanismo es el mismo que describe el INCIBE.
La regla que funciona: el dinero no se mueve por una llamada
El consejo del INCIBE para esa empresa no va de detectar falsificaciones. Va de procedimiento:
- Los pagos se autorizan por correo electrónico o en persona, nunca por teléfono.
- Los pagos grandes necesitan la aprobación de más de una persona.
- Si algo te chirría, verifica con la persona por un canal que sepas que es auténtico, no devolviendo la llamada al número que acaba de llamarte.
- Forma a quien gestiona los pagos, porque es a quien llaman.
El FBI añade dos baratas: no des nunca un código de verificación a nadie, y pacta una palabra secreta con la familia para poder comprobar una llamada de "soy yo, necesito dinero ya".
Es la misma idea de cualquier buen paso de aprobación: la petición y el permiso viajan por caminos distintos. Si la petición llega por voz, el visto bueno tiene que llegar por otra vía. De cómo estas comprobaciones se van desgastando hablé en Cuando revisar la IA se vuelve automático, y de limitar lo que puede hacer una persona (o un agente) en ¿Deberías darle una llave de tu negocio a tu agente de IA?.
Los móviles empiezan a ayudar, un poco
Esta semana Google ha anunciado una detección de estafas con Gemini para la app Mensajes de Android, según cuenta Hipertextual. Vigila las conversaciones con desconocidos, revisa los enlaces antes de que pulses y Android avisará antes de activar un desvío de llamadas en segundo plano. Google dice que el análisis se hace en un entorno privado. Es una afirmación suya que no puedo comprobar. La noticia no da fecha para España ni para la UE, y tampoco dice cuántas veces se equivoca.
Útil, probablemente. Pero vigila tus mensajes, no una llamada de voz que entra como una llamada normal. Una regla en tu cabeza vale más que un filtro en el móvil.
Dónde se queda corto este consejo
Una regla de pagos parecerá lenta. Marta tendrá que decir alguna vez "lo confirmo por correo" a un tú de verdad, algo molesto. Avísale de antemano de que está bien. Y la regla solo funciona si te la aplicas a ti: el dueño que dice "solo esta vez, tengo prisa" es justo la voz que imita un estafador.
Además, una regla no lo cubre todo. Una voz clonada también puede intentar sacar contraseñas, códigos o datos de clientes, no solo transferencias. Para eso vale el mismo hábito: la petición no se demuestra a sí misma.
Una cosa para esta semana
Dile una frase a quien maneja tu dinero: "Si alguna vez te pido por teléfono que pagues algo, cuelgas y me lo preguntas por correo". Luego escribe la regla en dos líneas y pégala donde se hacen los pagos. No cuesta nada y funciona tanto si la voz es real como si no.