Las estafas por voz con IA que simulan ser alguien que conoces
Ya lo has visto en películas, pero ahora es una realidad cotidiana: llamadas fraudulentas que utilizan inteligencia artificial para clonar voces de personas que conoces. Y no, no estoy exagerando. En 2025, este tipo de estafas se ha convertido en uno de los métodos preferidos por los ciberdelincuentes para engañar a víctimas desprevenidas. El escenario suele ser siempre el mismo: recibes una llamada urgente de lo que parece ser tu nieto, tu jefe o un compañero de trabajo, pidiéndote que transfieras dinero, compartas credenciales o visites una web maliciosa.
Cómo funcionan realmente estas estafas con voces clonadas
Las alarmas llevan sonando desde hace tiempo. La Agencia de Ciberseguridad e Infraestructura de Estados Unidos (CISA) ya advertía en 2023 que las amenazas relacionadas con deepfakes y otros contenidos sintéticos habían aumentado «exponencialmente». Y la división de seguridad Mandiant de Google confirmó que estos ataques se están ejecutando con una «precisión inquietante», creando esquemas de phishing mucho más realistas.
Lo preocupante es que montar una de estas estafas no requiere un doctorado en informática ni pertenecer a ninguna agencia de inteligencia. La barrera de entrada es sorprendentemente baja.
Anatomía de una llamada fraudulenta con voz sintética
El proceso para crear estas estafas se puede resumir en cuatro pasos sencillos pero devastadoramente efectivos:
-
Recolección de muestras de voz: Los atacantes solo necesitan unos segundos de audio de la persona que quieren suplantar. Y no, no hace falta tener acceso a su teléfono. Estas muestras pueden obtenerse de videos en redes sociales, reuniones online o grabaciones de llamadas anteriores. Con tres segundos de tu voz, un sistema de IA moderno ya tiene suficiente.
-
Procesamiento mediante motores de síntesis: Estas muestras se introducen en herramientas de síntesis de voz basadas en IA como Tacotron 2 de Google, Vall-E de Microsoft, o servicios como ElevenLabs. Aunque estas plataformas prohíben expresamente este tipo de uso, un informe de Consumer Reports demostró en marzo que las protecciones implementadas pueden sortearse con un esfuerzo mínimo.
-
Falsificación del número llamante: No es un paso nuevo ni exclusivo de las estafas con IA, pero complementa perfectamente el ataque. Ver en la pantalla de tu móvil el nombre o número de tu jefe mientras escuchas su voz clonada hace que la estafa sea mucho más convincente.
-
Ejecución de la llamada fraudulenta: Aquí es donde todo se junta. La voz clonada puede seguir un guion predeterminado o, en ataques más sofisticados, generarse en tiempo real. Estos últimos son más efectivos porque permiten al estafador responder a preguntas inesperadas del receptor, algo que incrementa dramáticamente la credibilidad del engaño.
«Aunque la suplantación en tiempo real ya ha sido demostrada por proyectos de código abierto y APIs comerciales, su uso sistemático en estafas reales sigue siendo limitado», explicaba Group-IB en un informe reciente. «Sin embargo, dados los avances continuos en velocidad de procesamiento y eficiencia de los modelos, se espera que el uso en tiempo real se vuelva más común en un futuro cercano.»
El guion perfecto: urgencia y presión psicológica
El componente psicológico de estas estafas es tan importante como el tecnológico. Los atacantes crean escenarios que generan angustia y urgencia: una nieta que necesita dinero para salir de la cárcel, un CEO que exige una transferencia inmediata para cubrir un gasto vencido, o un técnico informático que te pide restablecer contraseñas tras una supuesta brecha de seguridad.
Lo más inquietante es que estas situaciones explotan algo fundamental: la confianza. Cuando escuchas la voz de alguien que conoces bien, tus defensas naturales bajan automáticamente.
Cómo se bypasean todas las defensas
Un ejercicio de simulación realizado por el equipo de Mandiant demostró lo alarmantemente fácil que resulta ejecutar este tipo de ataques. El equipo recopiló muestras disponibles públicamente de la voz de un directivo dentro de la organización objetivo, identificó a los empleados que probablemente trabajaban bajo su supervisión y los llamó.
Para hacer la llamada más creíble, aprovecharon una interrupción real del servicio VPN como pretexto para que el empleado tomara medidas inmediatas.
«Debido a la confianza en la voz al otro lado del teléfono, la víctima ignoró las advertencias de seguridad tanto de Microsoft Edge como de Windows Defender SmartScreen, descargando y ejecutando inadvertidamente una carga maliciosa en su estación de trabajo», explicó Mandiant. «La detonación exitosa del payload marcó la finalización del ejercicio, mostrando la alarmante facilidad con la que la suplantación de voz mediante IA puede facilitar la brecha de una organización».
Detector de IA: el eslabón más débil somos nosotros
Aunque existen herramientas para detectar audio generado por IA, el verdadero detector de fraudes debería ser nuestro sentido común. Las precauciones para prevenir estas estafas pueden ser tan simples como acordar una palabra o frase aleatoria que el llamante debe proporcionar antes de que el receptor cumpla con cualquier solicitud. También puedes finalizar la llamada y devolvérsela a un número que sepas que pertenece al supuesto interlocutor.
Pero siendo realistas, ambas medidas requieren que el receptor mantenga la calma y esté alerta, a pesar de la legítima sensación de urgencia que surgiría si el escenario fingido fuera real. Y esto puede ser aún más difícil cuando el receptor está cansado, sobrecargado o simplemente no en su mejor momento.
La amenaza va más allá de las llamadas
No quisiera ser alarmista, pero la tecnología tras estas estafas va evolucionando rápidamente. Los generadores de imágenes con IA ya son capaces de crear fotos indistinguibles de la realidad, y los videos deepfake mejoran cada día. Esto significa que las estafas también están evolucionando.
Imagina recibir no solo una llamada con la voz clonada de tu jefe, sino también un video donde aparentemente te pide hacer una transferencia. O una foto convincente de un familiar en problemas. Las posibilidades son inquietantes.
Por eso, desarrollar un escepticismo saludable es crucial. No se trata de desconfiar de todo el mundo, pero sí de verificar siempre las solicitudes inusuales, especialmente si implican dinero, datos personales o acciones urgentes.
El futuro de la autenticación de voz
La ironía es que mientras los estafadores utilizan la IA para clonar voces, también podríamos usar tecnologías similares para protegernos. Algunas empresas ya están desarrollando sistemas de verificación de voz resistentes a la suplantación, que analizan patrones más profundos que los que actualmente pueden clonar los sistemas de IA.
También empiezan a surgir soluciones de autenticación multifactor específicas para llamadas, donde una app en tu móvil podría verificar la identidad real del llamante.
Sin embargo, mientras estas tecnologías maduran, nuestra mejor defensa sigue siendo la concienciación y un protocolo claro para verificar solicitudes importantes. Las estafas por voz, potenciadas o no
