Suena el teléfono.
Al otro lado escuchas a tu hija.
Está nerviosa. Quizá llora. Te dice que ha tenido un accidente, que ha perdido el móvil o que necesita dinero inmediatamente.
Es su voz.
Reconoces el tono, la forma de hablar e incluso determinadas expresiones.
Solo hay un problema:
puede no ser ella.
La inteligencia artificial permite generar voces sintéticas que imitan cada vez mejor a personas reales. Y los delincuentes están combinando esta tecnología con una técnica mucho más antigua y extraordinariamente eficaz: provocar miedo, urgencia y presión para conseguir que la víctima actúe antes de comprobar qué está ocurriendo.
La consecuencia es importante:
En 2026 reconocer una voz ya no constituye una prueba suficiente de identidad.
Lo mismo empieza a ocurrir con el vídeo.
Una videollamada tampoco garantiza necesariamente que la persona que aparece en pantalla sea quien parece ser.
En agosto de 2026, por ejemplo, la Policía Nacional detuvo en Murcia a un ciberdelincuente que utilizaba inteligencia artificial para modificar su rostro en tiempo real durante procesos de videoidentificación, tratando de obtener certificados electrónicos a nombre de otras personas. Había realizado 38 intentos utilizando más de 30 identidades reales. Fue descubierto cuando la máscara digital falló momentáneamente y apareció su verdadero rostro.
No hablamos, por tanto, de un riesgo futurista.
Está ocurriendo ya.
¿Qué es una estafa con voz clonada por inteligencia artificial?
Una estafa de voz clonada utiliza inteligencia artificial para generar audio que imita la voz de una persona real.
La tecnología puede utilizar muestras de voz procedentes de vídeos, redes sociales, entrevistas, mensajes, grabaciones u otras fuentes y generar posteriormente frases que la persona original nunca pronunció.
El resultado puede utilizarse en:
- llamadas telefónicas;
- notas de voz;
- vídeos;
- videollamadas;
- falsos mensajes de familiares;
- fraudes bancarios;
- estafas empresariales;
- falsas inversiones;
- suplantaciones de autoridades.
También se habla de:
voice cloning,
deepfake de voz,
deep voice,
voice hacking,
audio sintético.
La inteligencia artificial no inventa realmente el fraude.
Lo que hace es volver mucho más convincente una estrategia clásica de ingeniería social.
El cambio fundamental: ya no puedes fiarte únicamente de la voz
Durante décadas había una forma bastante intuitiva de verificar una llamada.
“Reconozco su voz”.
Eso ya no basta.
Las autoridades financieras europeas —EBA, ESMA y EIOPA— advirtieron recientemente de que los estafadores pueden utilizar IA para generar vídeos, imágenes y audios capaces de imitar la voz de un familiar, un empleado bancario u otra persona conocida. También advierten de que las voces sintéticas pueden sonar extraordinariamente naturales.
Por eso buscar únicamente fallos como:
- entonación extraña;
- pausas raras;
- voz robótica;
- errores de pronunciación;
- respiración artificial;
puede ayudar en algunos casos, pero no debe ser nuestra principal defensa.
Una estafa no deja de ser falsa porque la voz sea perfecta.
Y una voz real tampoco convierte automáticamente en legítima una petición extraña.
La protección más eficaz consiste en algo diferente:
verificar la identidad por un segundo canal independiente.
Cómo funciona la estafa de “tu hijo está en apuros”
Imaginemos una llamada.
Escuchas:
“Mamá, soy yo. He tenido un accidente. No puedo hablar mucho. Necesito que hagas una transferencia ahora.”
La llamada incorpora varios elementos diseñados para bloquear nuestro pensamiento crítico.
Identidad conocida
Crees reconocer la voz.
Miedo
Ha ocurrido un accidente, detención, robo o emergencia médica.
Urgencia
Hay que actuar inmediatamente.
Aislamiento
Te dicen que no llames a nadie o que la situación empeorará.
Dinero
Finalmente aparece una transferencia, Bizum, criptomoneda, tarjeta regalo o algún otro medio de pago.
La IA simplemente fortalece el primer elemento:
la identidad.
Pero la mecánica psicológica sigue siendo la misma.
La estafa del “hijo en apuros” ya mueve millones sin necesitar siquiera inteligencia artificial
Es importante distinguir ambas cosas.
No todos los fraudes familiares utilizan clonación de voz.
En junio de 2026, la Policía Nacional anunció la desarticulación en España de una organización vinculada a la conocida estafa del “hijo en apuros”.
Los delincuentes enviaban mensajes haciéndose pasar por hijos que supuestamente habían cambiado de teléfono y pedían posteriormente transferencias urgentes.
La investigación contabilizaba entonces unas 500 víctimas y cerca de tres millones de euros estafados.
En aquel caso, la voz clonada no era necesaria.
Y precisamente ahí está el problema.
Si un mensaje de WhatsApp relativamente sencillo puede funcionar, añadir una llamada con una voz que parezca la del hijo puede hacer la historia todavía más creíble.
No hace falta que el delincuente conozca perfectamente a tu familia
Otro error frecuente consiste en pensar:
“Tendrían que conocer demasiadas cosas sobre nosotros.”
No necesariamente.
Las redes sociales pueden revelar una gran cantidad de información:
- nombres;
- relaciones familiares;
- lugar de trabajo;
- cumpleaños;
- vacaciones;
- colegios;
- amistades;
- mascotas;
- fotografías;
- vídeos;
- viajes;
- acontecimientos recientes.
La inteligencia artificial puede además ayudar a los delincuentes a organizar información pública y producir mensajes personalizados.
Europol advierte de que la IA generativa está potenciando la ingeniería social permitiendo adaptar los engaños al contexto cultural y a los datos personales de cada víctima.
La estafa deja así de parecer un correo genérico mal traducido.
Puede estar diseñada específicamente para ti.
Las faltas de ortografía ya no son una buena señal para detectar una estafa
Durante años uno de los consejos habituales era:
“Mira si el mensaje tiene faltas de ortografía.”
Sigue siendo una pista.
Pero cada vez es menos fiable.
Los modelos generativos permiten producir:
- correos perfectamente redactados;
- contratos falsos;
- mensajes adaptados a cada idioma;
- conversaciones convincentes;
- documentos corporativos;
- páginas web;
- perfiles sociales.
Las autoridades financieras europeas han advertido precisamente de que la inteligencia artificial permite a los delincuentes eliminar muchos de los errores gramaticales y de presentación que antes delataban un fraude.
Por tanto:
un mensaje correctamente escrito no es un mensaje seguro.
Las principales estafas con IA que debemos conocer
La clonación de voz es solo una de ellas.
1. El familiar en apuros
“Papá, necesito dinero.”
“Mamá, he tenido un accidente.”
“He perdido el móvil.”
“Estoy en comisaría.”
Puede llegar por:
- llamada;
- WhatsApp;
- Telegram;
- SMS;
- nota de voz.
La IA permite añadir una voz reconocible al engaño.
2. El falso secuestro o accidente
Es una variante especialmente agresiva.
El delincuente intenta convencer a la víctima de que un familiar está:
- secuestrado;
- herido;
- detenido;
- hospitalizado.
Puede reproducir gritos, llantos o una voz supuestamente perteneciente al familiar.
La prioridad en esos casos no debe ser decidir si “suena auténtico”.
Debe ser verificar independientemente que la persona está bien y contactar con las autoridades cuando corresponda.
3. El falso banco
Recibes una llamada.
La persona conoce tu nombre.
Incluso puede aparecer en pantalla un número aparentemente legítimo.
Te dicen que:
“Hemos detectado una transferencia sospechosa.”
Después pueden pedirte:
- códigos;
- contraseñas;
- instalar una aplicación;
- realizar una transferencia “segura”;
- confirmar un Bizum;
- mover el dinero a otra cuenta.
El número mostrado en pantalla tampoco demuestra necesariamente quién llama: existen técnicas de spoofing telefónico capaces de falsificar la identificación aparente del origen.
En mayo de 2026, por ejemplo, Guardia Civil desarticuló una organización especializada en llamadas que simulaban proceder de entidades bancarias y que había obtenido unos 400.000 euros.
No todas estas estafas utilizan IA.
Pero la IA puede añadir voces sintéticas, mejores guiones y personalización.
4. El fraude del CEO: cuando la voz clonada es la de tu jefe
Las empresas tienen un problema todavía mayor.
Imagina que un responsable financiero recibe una llamada:
“Soy el director general. Tenemos que cerrar una operación confidencial. Haz esta transferencia ahora.”
Conoce el proyecto.
Conoce nombres internos.
Y parece tener exactamente la voz del director general.
Esta variante se integra dentro del Business Email Compromise —BEC— o fraude corporativo de suplantación.
El FBI informó de que durante 2025 recibió más de 22.000 denuncias relacionadas con información sobre el uso de IA en delitos, con pérdidas ajustadas superiores a 893 millones de dólares.
Solo los fraudes BEC con indicios de utilización de IA superaron los 30 millones de dólares en pérdidas comunicadas durante 2025.
Son cifras estadounidenses y no deben extrapolarse directamente a España.
Pero sirven para mostrar la escala que está alcanzando el problema.
5. La videollamada falsa
Una de las reglas tradicionales era:
“Si tienes dudas, haz una videollamada.”
Sigue siendo mejor que no comprobar nada.
Pero ya no constituye una prueba infalible.
La tecnología permite realizar:
- intercambio de rostro;
- sincronización labial;
- modificación facial;
- avatares;
- deepfakes;
- manipulación en tiempo real.
El caso investigado en Murcia en agosto de 2026 demuestra que esas técnicas ya se están utilizando incluso para intentar superar procesos profesionales de videoidentificación.
Por eso, en situaciones sensibles:
videollamada + otro mecanismo de verificación es mejor que confiar exclusivamente en la imagen.
6. Famosos recomendando inversiones que nunca recomendaron
Ves un vídeo.
Un empresario, periodista, actor o personaje conocido explica una oportunidad de inversión.
Parece un fragmento de un programa de televisión.
Su cara coincide.
Su voz también.
Puede ser completamente falso.
En abril de 2025, Policía Nacional y Guardia Civil anunciaron en España una operación contra una organización que había estafado más de 19 millones de euros utilizando, entre otras técnicas, vídeos manipulados mediante inteligencia artificial para promocionar falsas inversiones.
Los anuncios podían utilizar rostros conocidos para dar credibilidad a plataformas fraudulentas.
La regla es sencilla:
Que una persona aparezca diciendo algo en vídeo ya no demuestra que realmente lo haya dicho.
7. Falsos romances con vídeo y voz generados mediante IA
Las estafas sentimentales tampoco son nuevas.
Lo nuevo es que una identidad ficticia puede resultar mucho más convincente.
Antes una señal de alerta muy habitual era:
“Nunca quiere hacer videollamada.”
Ahora incluso eso puede cambiar.
INCIBE ha documentado que las tecnologías actuales permiten modificar rostros en tiempo real y utilizar identidades visuales falsas durante una videollamada, algo especialmente relevante para fraudes sentimentales y otras suplantaciones.
Por eso una videollamada reduce algunas posibilidades de fraude, pero ya no certifica automáticamente la identidad.
8. Falsas autoridades, policías o funcionarios
Otra variante consiste en suplantar a:
- Policía;
- Guardia Civil;
- Hacienda;
- Seguridad Social;
- juzgados;
- bancos centrales;
- reguladores financieros.
La IA puede utilizarse para generar:
- documentos;
- voces;
- fotografías;
- videollamadas;
- páginas web aparentemente oficiales.
Normalmente aparece también una petición:
paga, transfiere, instala, confirma o entrega información.
La presión y la urgencia vuelven a ser elementos centrales.
9. Estafas de recuperación: te vuelven a estafar después de haberte estafado
Es una de las modalidades más crueles.
Después de perder dinero, alguien contacta contigo diciendo:
“Somos especialistas en recuperar fondos.”
Puede hacerse pasar por:
- abogados;
- policías;
- autoridades financieras;
- organismos europeos;
- hackers capaces de recuperar criptomonedas.
Te dicen incluso cuánto perdiste.
Eso genera confianza.
Después solicitan una comisión previa.
Las autoridades financieras europeas advierten expresamente sobre estos fraudes de recuperación o recovery room: haber sido víctima de una estafa puede convertirte en objetivo de otra.
¿Cómo saber si una voz ha sido generada por IA?
Puede haber indicios:
- ritmo extraño;
- entonación poco natural;
- ausencia de respiración;
- pronunciaciones anómalas;
- silencios extraños;
- cambios de calidad;
- dificultad para responder espontáneamente;
- respuestas evasivas.
Pero estos indicios son cada vez menos fiables.
Las autoridades europeas ya advierten de que una voz clonada puede sonar natural.
Así que no deberías preguntarte únicamente:
“¿Parece su voz?”
Pregunta:
“¿Puedo comprobar que realmente es esa persona?”
Es una diferencia enorme.
La regla de los 30 segundos: cuelga y comprueba
Si una llamada solicita:
dinero + urgencia + identidad de alguien conocido, adopta automáticamente este protocolo.
1. No realices ninguna transferencia
Aunque aparentemente escuches a la persona llorando.
2. Cuelga
No permitas que el interlocutor mantenga el control emocional de la conversación.
3. Llama tú
Utiliza el número que ya tienes guardado.
No utilices ningún número que te proporcione la llamada sospechosa.
4. Busca una segunda vía
Por ejemplo:
- otro familiar;
- pareja;
- lugar de trabajo;
- colegio;
- hospital;
- persona que esté físicamente con ella.
5. Solo después actúa
La urgencia real seguirá existiendo dentro de dos minutos.
Una estafa depende precisamente de que no utilices esos dos minutos.
El Banco de España insiste actualmente en la misma regla básica: ante una solicitud financiera urgente, detenerse y verificar por otra vía antes de completar la operación.
Una palabra secreta familiar puede ser extraordinariamente útil
Las familias pueden adoptar una medida muy sencilla:
elegir una palabra o frase de emergencia que solo conozcan sus miembros.
No debería ser:
- el nombre de la mascota;
- una fecha de cumpleaños;
- el segundo apellido;
- la ciudad de vacaciones;
- información visible en redes.
Debe ser algo difícil de deducir.
Por ejemplo, una combinación absurda de dos palabras.
Si algún día alguien llama diciendo:
“Soy tu hija y necesito dinero urgentemente”,
puedes pedir esa palabra.
Pero hay un matiz importante.
La contraseña familiar no sustituye a la llamada de comprobación.
Si la situación lo permite, sigue siendo preferible colgar y contactar directamente con la persona.
No preguntes solamente algo que “solo él debería saber”
Parece una buena idea:
“¿Cómo se llamaba nuestro primer perro?”
Pero quizá esa información está en Instagram desde 2017.
O alguien de la familia la publicó.
O aparece en una entrevista, blog o fotografía.
La enorme cantidad de información pública disponible reduce el valor de muchas antiguas “preguntas de seguridad”.
Por eso es mejor:
un secreto establecido previamente + verificación por un canal independiente.
Qué hacer si te llaman diciendo que un familiar ha sido secuestrado
No intentes demostrar al delincuente que sabes que está mintiendo.
No reveles información adicional.
No le des nombres que todavía no haya mencionado.
Por ejemplo, ante:
“Tenemos a tu hija.”
Evita responder inmediatamente:
“¿A Marta?”
Acabas de proporcionarle un nombre.
Prioriza:
- cortar o conseguir verificar la situación por una segunda vía;
- contactar con el familiar;
- contactar con otra persona que pueda localizarlo;
- avisar inmediatamente a las Fuerzas y Cuerpos de Seguridad si existe una posible situación delictiva o de peligro.
En una emergencia real, utiliza los canales oficiales correspondientes.
¿Qué hacer si la persona dice llamar de tu banco?
Cuelga.
Después:
abre la aplicación oficial o utiliza el teléfono oficial de tu entidad.
Nunca utilices:
- un enlace recibido por SMS;
- el teléfono proporcionado durante la llamada;
- una web enviada por WhatsApp.
No importa si:
conocen tu nombre;
conocen operaciones recientes;
parece el número del banco;
la voz es profesional;
aparece incluso el logotipo en un mensaje.
Nada de eso sustituye la verificación independiente.
Las empresas necesitan un protocolo específico frente a deepfakes
En una organización ya no debería ser suficiente con que:
“El CEO me llamó personalmente.”
Las empresas deberían establecer reglas como:
Ninguna transferencia extraordinaria se autoriza únicamente por voz
Aunque la llamada parezca proceder del director general.
Cambios de cuenta bancaria de proveedores requieren segunda verificación
A través de un canal previamente registrado.
Las operaciones sensibles requieren doble autorización
Especialmente transferencias de elevado importe.
La urgencia no elimina los controles
“Es confidencial” o “lo necesita el CEO ahora” no debería permitir saltarse procedimientos.
Los empleados deben conocer los deepfakes
Especialmente:
- administración;
- contabilidad;
- tesorería;
- recursos humanos;
- dirección.
La inteligencia artificial convierte procedimientos de verificación que antes parecían excesivos en medidas razonables de control interno.
¿Una videollamada del CEO sería suficiente?
No para una transferencia extraordinaria.
Si la operación es anómala, conviene exigir una segunda comprobación.
Por ejemplo:
videollamada + autorización mediante el sistema interno habitual.
O:
llamada + segundo responsable.
O:
confirmación a través del canal corporativo previamente registrado.
La finalidad no es desconfiar de la dirección.
Es evitar que la identidad aparente se convierta en el único factor de autenticación.
¿Qué ocurre si ya he enviado dinero?
Aquí el tiempo importa muchísimo.
1. Contacta inmediatamente con el banco
No esperes al día siguiente.
Explica que has sido víctima de una estafa e identifica:
- importe;
- hora;
- destino;
- transferencia;
- Bizum;
- tarjeta utilizada.
Las autoridades financieras europeas recomiendan solicitar inmediatamente el bloqueo o posible reversión de operaciones cuando todavía resulte viable.
2. No envíes más dinero
Puede aparecer una segunda petición:
“Necesitamos otra transferencia para desbloquear la primera.”
No lo hagas.
Tampoco pagues a supuestas empresas que prometan recuperar el dinero a cambio de otra cantidad.
3. Guarda todas las pruebas
No borres:
- WhatsApp;
- audios;
- correos;
- número de teléfono;
- perfil;
- capturas;
- vídeos;
- enlaces;
- IBAN;
- justificantes;
- nombres;
- criptocarteras;
- mensajes.
Incluso aquello que parece irrelevante puede ayudar a identificar conexiones con otras denuncias.
4. Presenta denuncia
Acude a:
Policía Nacional,
Guardia Civil
o al órgano competente.
La rapidez puede ser relevante.
En abril de 2026, por ejemplo, Guardia Civil consiguió bloquear seis transferencias fraudulentas por más de 2,2 millones de euros después de una denuncia telemática y una actuación inmediata.
No significa que siempre sea posible recuperar el dinero.
Pero sí demuestra por qué no conviene esperar.
5. Contacta con INCIBE 017
En España también está disponible el servicio:
017 — Tu Ayuda en Ciberseguridad de INCIBE.
Es gratuito y confidencial y proporciona asistencia sobre problemas de ciberseguridad y fraudes.
INCIBE dispone además de atención mediante WhatsApp y Telegram.
6. Cambia contraseñas si entregaste datos
Especialmente si proporcionaste:
- usuario bancario;
- contraseña;
- correo;
- código de seguridad;
- acceso remoto al teléfono;
- credenciales corporativas.
No reutilices la misma contraseña en varias cuentas.
Activa autenticación multifactor siempre que esté disponible.
Si yo hice voluntariamente la transferencia, ¿el banco tiene que devolverme el dinero?
No existe una respuesta automática.
Aquí es muy importante diferenciar entre:
Operación no autorizada
Un tercero realiza el pago sin tu consentimiento.
Operación autorizada bajo engaño
Tú mismo ordenas la transferencia porque el delincuente te ha engañado.
Son situaciones jurídicamente diferentes.
El Banco de España recuerda que las transferencias son, con carácter general, irrevocables una vez ejecutadas. Si una transferencia se realizó por error del ordenante, la entidad beneficiaria normalmente no puede simplemente retirar el dinero de la cuenta receptora sin consentimiento del beneficiario o mandato legal.
Por eso hay que avisar inmediatamente.
El banco puede intentar contactar con la entidad receptora y realizar actuaciones para recuperar los fondos, pero no debe prometerse que todo dinero enviado a consecuencia de una estafa será automáticamente reembolsado.
Si existe conflicto sobre la actuación de la entidad, puede presentarse primero reclamación ante su Servicio de Atención al Cliente y, cuando proceda, posteriormente ante el Banco de España.
¿Qué dice el AI Act sobre los deepfakes?
La regulación europea también está empezando a intervenir.
Desde el 2 de agosto de 2026 se aplican las obligaciones de transparencia del artículo 50 del AI Act.
Entre ellas existen obligaciones relacionadas con contenido generado o manipulado mediante inteligencia artificial.
Los proveedores de determinados sistemas generativos deben facilitar mecanismos para que el contenido sintético pueda detectarse mediante marcas legibles por máquina.
Además, quienes despliegan sistemas para generar o manipular deepfakes deben informar de que el contenido ha sido generado o manipulado artificialmente cuando resulte aplicable la obligación.
Y el concepto europeo de deepfake no se limita al vídeo.
Puede abarcar:
imagen, audio o vídeo generado o manipulado mediante IA que se asemeje a personas, objetos, lugares, entidades o acontecimientos existentes y que pueda parecer falsamente auténtico.
Una voz clonada puede, por tanto, entrar de lleno en este problema regulatorio.
Pero el AI Act no hará desaparecer las llamadas fraudulentas
Este matiz es esencial.
El AI Act exige transparencia a los operadores sujetos a sus obligaciones.
Un delincuente que utiliza una voz clonada para estafarte no va a añadir voluntariamente un aviso diciendo “este audio ha sido generado mediante IA” porque el AI Act lo ordene.
La estafa ya busca precisamente engañar.
Por tanto, el etiquetado y las marcas técnicas pueden ayudar a crear un ecosistema más transparente y facilitar la detección de contenido legítimamente generado.
Pero no sustituyen la prevención del fraude, la ciberseguridad ni la investigación policial.
Además, utilizar IA no convierte una estafa en un delito completamente nuevo
En España ya existe el delito de estafa.
Desde la reforma de abril de 2026, el artículo 248 del Código Penal mantiene como núcleo de la estafa el uso de engaño bastante con ánimo de lucro para provocar un error que lleve a la víctima a realizar un acto de disposición patrimonial.
La IA puede simplemente convertirse en el instrumento utilizado para conseguir ese engaño.
Según los hechos también pueden entrar en juego otros delitos.
Por ejemplo:
- estafa informática;
- falsedad;
- acceso ilícito;
- delitos relacionados con instrumentos de pago;
- usurpación de estado civil;
- otros delitos patrimoniales o contra la intimidad.
El artículo 401 del Código Penal continúa castigando además la usurpación del estado civil de otra persona.
La calificación concreta dependerá de cada caso.
¿La clonación de voz es ilegal por sí misma?
No puede afirmarse que toda síntesis de una voz sea automáticamente delictiva.
Existen usos legítimos:
- doblaje;
- accesibilidad;
- entretenimiento;
- producción audiovisual;
- asistentes;
- restauración de voz;
- creación artística.
Lo que cambia radicalmente el análisis es:
consentimiento + finalidad + contexto + uso posterior.
Clonar una voz para engañar a una persona y conseguir una transferencia no es comparable con utilizar una voz sintética autorizada dentro de una película.
También pueden entrar en juego:
- protección de datos;
- derecho a la propia imagen;
- derechos de personalidad;
- propiedad intelectual;
- normas de consumidores;
- legislación penal.
¿Por qué estas estafas pueden crecer tanto?
Porque la inteligencia artificial reduce varias barreras al mismo tiempo.
Antes, realizar una campaña sofisticada podía exigir:
- dominar un idioma;
- escribir buenos textos;
- editar vídeo;
- manipular imágenes;
- imitar voces;
- investigar a la víctima.
Ahora muchas de esas tareas pueden automatizarse o simplificarse.
ENISA señaló en septiembre de 2026 que el audio sintético, el vídeo y los textos generados mediante IA se están convirtiendo en herramientas habituales dentro del arsenal de determinados actores maliciosos.
En su análisis de acontecimientos de 2025, el fraude y la suplantación representaron el 19 % de las actividades con motivación financiera analizadas.
La consecuencia no es solamente que aparezcan nuevas estafas.
También pueden multiplicarse las antiguas.
La mejor defensa no será aprender a identificar deepfakes a simple vista
Durante unos años hemos buscado señales como:
“Mira si parpadea raro.”
“Fíjate en las manos.”
“Escucha si la voz parece robótica.”
Ese tipo de pistas todavía puede ser útil.
Pero tiene una limitación estructural:
la tecnología mejora.
Una estrategia de seguridad que dependa de que el deepfake sea técnicamente malo se vuelve más débil a medida que mejora la IA.
Una estrategia basada en:
“ninguna petición extraordinaria de dinero se ejecuta sin una segunda verificación independiente”
funciona aunque la voz sea perfecta.
Funciona aunque el vídeo sea perfecto.
Y seguirá funcionando aunque dentro de cinco años los deepfakes sean prácticamente indistinguibles de una grabación real.
Protocolo familiar antiestafa de IA
Una familia puede reducir enormemente el riesgo con cinco reglas.
Regla 1
Nunca enviar dinero exclusivamente por una llamada urgente.
Regla 2
Colgar y llamar al número habitual de la persona.
Regla 3
Tener una palabra familiar secreta para emergencias.
Regla 4
No facilitar información durante una llamada sospechosa.
Regla 5
Si alguien parece estar realmente en peligro y no puedes verificarlo, contactar con las autoridades.
Es sencillo.
Pero precisamente las medidas sencillas suelen funcionar cuando el ataque se basa en provocar miedo.
Protocolo anti-deepfake para empresas
Las organizaciones deberían añadir al menos estas reglas a sus procedimientos:
| Situación | Control |
|---|---|
| Transferencia extraordinaria | Doble autorización |
| Cambio de IBAN de proveedor | Verificación mediante contacto previamente registrado |
| Petición urgente del CEO | Segundo canal corporativo |
| Solicitud de credenciales | Nunca mediante llamada |
| Cambio de nómina | Verificación reforzada |
| Operación “confidencial” | Los controles siguen aplicándose |
| Videollamada inesperada | No utilizar rostro/voz como único factor |
| Nuevo proveedor | Verificación independiente |
En el contexto actual, un procedimiento que pueda saltarse porque:
“he reconocido la voz del director”
es un procedimiento vulnerable.
¿Qué señales deberían hacerme sospechar inmediatamente?
No existe una señal única.
Pero la combinación es muy reveladora:
Te meten prisa
“Ahora.”
“En cinco minutos.”
“No cuelgues.”
Quieren aislarte
“No llames a nadie.”
“No se lo digas a mamá.”
“Es confidencial.”
Hay dinero
Transferencia, Bizum, criptomoneda, tarjeta regalo.
La historia es emocional
Accidente, secuestro, bloqueo bancario, detención.
Existe una explicación para cualquier anomalía
“No puedo usar mi móvil.”
“No tengo batería.”
“La cámara falla.”
“Estoy llamando desde otro número.”
Intentan impedir una verificación normal
Ese último elemento es especialmente importante.
Una persona real con una emergencia normalmente quiere que la ayudes.
El estafador quiere que no compruebes la historia.
“Pero sabía cosas que solo conocíamos nosotros”
También puede ocurrir.
No descartes un fraude únicamente por eso.
La información puede proceder de:
- una filtración;
- correo comprometido;
- redes sociales;
- familiares;
- documentos;
- mensajes robados;
- conversaciones anteriores;
- bases de datos.
Además, las estafas más sofisticadas no son necesariamente aleatorias.
Pueden dirigirse a una víctima concreta después de una fase previa de investigación.
“Apareció el número real de mi hijo”
Tampoco es prueba definitiva.
La identificación de llamada puede ser falsificada mediante técnicas de caller ID spoofing.
Por eso no debes confiar únicamente en lo que aparece en la pantalla.
Cuelga.
Y llama tú al contacto que tienes guardado.
“Me hizo una videollamada”
Tampoco elimina completamente el riesgo.
La Policía Nacional ya ha investigado en España casos en los que el rostro era manipulado mediante IA en tiempo real durante una videoconferencia.
Si la operación es sensible:
usa un segundo factor humano o técnico de comprobación.
Preguntas frecuentes sobre estafas con voz clonada
¿Se puede clonar realmente la voz de una persona con IA?
Sí.
Actualmente existen sistemas capaces de generar voces sintéticas muy similares a voces reales.
Su utilización puede ser legítima o fraudulenta dependiendo del contexto.
¿Necesitan llamarme antes para grabar mi voz?
No necesariamente.
Pueden existir grabaciones públicas en:
- vídeos;
- redes sociales;
- podcasts;
- entrevistas;
- otras fuentes.
Por eso una persona con presencia pública puede tener abundante material de voz accesible.
¿Puedo detectar una voz clonada escuchándola?
A veces existen anomalías.
Pero no deberías confiar únicamente en ellas.
Las voces sintéticas pueden sonar muy naturales y seguirán mejorando.
La mejor defensa es verificar la identidad por otra vía.
¿Qué hago si escucho a mi hijo pidiendo dinero?
No envíes nada inmediatamente.
Cuelga y llama tú a su número habitual.
Si no responde, contacta con otras personas que puedan localizarlo.
Si existe una posible emergencia real, contacta con los servicios correspondientes.
¿Y si me dicen que no puedo colgar?
Eso es precisamente una señal de alarma.
La presión para evitar que verifiques la historia es característica de numerosas técnicas de ingeniería social.
¿Puede aparecer en pantalla el teléfono real?
Sí.
El número mostrado no constituye por sí solo una prueba de identidad.
¿Una videollamada confirma que es esa persona?
Ya no necesariamente.
La IA permite manipulación facial y generación de vídeo cada vez más sofisticadas, incluso en tiempo real.
¿Puede mi banco llamarme realmente?
Sí.
Pero una llamada legítima no significa que debas facilitar contraseñas o códigos de seguridad.
Ante cualquier duda, cuelga y contacta tú mismo con la entidad mediante su aplicación o teléfono oficial.
¿Qué hago si ya hice un Bizum?
Contacta inmediatamente con tu entidad y denuncia.
Los pagos instantáneos pueden ser difíciles de recuperar precisamente por su rapidez.
El Banco de España recomienda reaccionar inmediatamente y conservar las pruebas.
¿Y si ya hice una transferencia?
Contacta con el banco inmediatamente.
Las transferencias son generalmente irrevocables una vez ejecutadas, pero actuar pronto puede permitir intentar bloquear o recuperar fondos en determinadas circunstancias.
¿Dónde puedo pedir ayuda en España?
Además de tu entidad bancaria y las Fuerzas y Cuerpos de Seguridad, puedes contactar con INCIBE a través del 017, servicio gratuito y confidencial de ayuda en ciberseguridad.
La regla que tendremos que aprender: ver no es creer, y escuchar tampoco
Durante décadas hemos utilizado nuestros sentidos como mecanismo de autenticación.
Lo vi.
Lo escuché.
Reconocí su voz.
La inteligencia artificial está rompiendo esa relación.
Esto no significa que debamos desconfiar de todo lo que vemos y escuchamos.
Significa que, cuando existe una consecuencia importante —dinero, acceso a una cuenta, identidad, documentación o una decisión empresarial—, necesitamos un segundo mecanismo.
El futuro de la seguridad frente a los deepfakes probablemente no consistirá en desarrollar una capacidad humana extraordinaria para distinguir lo falso.
Consistirá en establecer procedimientos donde:
una imagen o una voz nunca sean la única prueba de identidad.
Conclusión: ante una petición urgente, verifica a la persona, no la voz
Las estafas con inteligencia artificial no funcionan porque la tecnología sea mágica.
Funcionan porque atacan algo profundamente humano:
confiamos en las personas que queremos.
Si escuchas llorar a tu hijo, tu primera reacción no será analizar espectrogramas.
Será ayudarlo.
Eso es exactamente lo que aprovecha el delincuente.
Por eso la solución no consiste en convertirse en experto en deepfakes.
Consiste en introducir una pausa.
Cuelga.
Llama tú.
Utiliza otro canal.
Haz una pregunta de verificación o utiliza la clave familiar.
No envíes dinero hasta comprobar la identidad.
Para una empresa:
doble autorización.
Segundo canal.
Nunca saltarse el procedimiento por una llamada urgente.
Y recuerda la regla que probablemente tendremos que interiorizar durante la era de la inteligencia artificial:
Una voz conocida puede ser falsa. Una cara conocida puede ser falsa. La urgencia también puede ser falsa. La verificación independiente es lo que importa.
Última actualización: 4 de octubre de 2026.
Este artículo tiene finalidad informativa y preventiva. No sustituye asesoramiento jurídico, financiero ni la actuación de las Fuerzas y Cuerpos de Seguridad en un caso concreto.