Suena el móvil y es la voz de tu jefa. Tiene prisa, está entrando en una reunión y necesita que hagas un pago hoy mismo. El tono es el suyo, las muletillas también. Hace unos años bastaba con reconocer la voz para quedarse tranquilo. Hoy ya no, porque la voz se puede clonar con inteligencia artificial, y el engaño se ha convertido en una variante del fraude del CEO que conviene tener muy presente.

En este artículo explico qué es un deepfake de voz, cómo se ha usado ya contra una empresa en España y, sobre todo, cómo comprobar una llamada sospechosa sin depender del oído.

◢¿Qué es un deepfake de voz?

Lo importante para una empresa es el uso que se le da. La voz clonada sirve para dar credibilidad a una petición que, por correo, ya levantaría sospechas: una transferencia urgente, un cambio de cuenta bancaria, unas credenciales.

◢¿Ha pasado ya en España?

Fíjate en que nadie hizo nada absurdo. Recibieron una orden de alguien con la voz de su jefe, con una explicación creíble, y la cumplieron. Es el mismo mecanismo que describo en fraude del CEO: cómo detectarlo, con una diferencia: la comprobación que muchos hacían, "le he oído y era él", ya no sirve.

◢¿Se puede distinguir una voz clonada de una real?

En ese mismo aviso, el FBI menciona señales como el retraso en la llamada o una voz que no acaba de encajar. Son pistas útiles, pero si el plan de tu empresa es que la persona de administración detecte la falsificación por el sonido, el plan depende de la suerte.

Por eso el enfoque correcto es otro: no intentar adivinar si la voz es real, sino comprobar la petición por un camino que el atacante no controle.

◢Cómo comprobar si una llamada del jefe es real

Estas son las comprobaciones que funcionan. Casi todas salen de las recomendaciones de INCIBE y del FBI:

• ▹Cuelga y llama tú. El FBI aconseja buscar por tu cuenta el número de la persona y llamarla para verificar. INCIBE pide contrastar siempre la información por otros medios que ya uses con esa persona. Nunca devuelvas la llamada al número que te ha llamado ni uses uno que te den durante la conversación.
• ▹Desconfía del cambio de canal. Si alguien a quien conoces te escribe o te llama desde un número o una aplicación nuevos, el FBI recomienda confirmar ese contacto a través de un canal que ya tuvieras verificado.
• ▹Pregunta algo que solo sepa la persona real. No hace falta que sea un interrogatorio: un detalle de la última reunión o de un proyecto interno basta para que un impostor se descoloque.
• ▹Fíjate en el contexto, no solo en la voz. El FBI insiste en valorar si la petición tiene sentido. Un pago urgente, confidencial y fuera del procedimiento habitual es sospechoso aunque la voz sea perfecta.
• ▹No des códigos ni contraseñas por teléfono. El FBI advierte de que pueden intentar convencerte para que les dictes un código de doble factor y quedarse con la cuenta.

Ninguna de estas comprobaciones requiere tecnología. Requieren que la persona que recibe la llamada tenga permiso para colgarle al jefe sin consecuencias.

◢Qué puede hacer tu empresa para que no funcione

La mejor defensa es que una llamada, por convincente que sea, no baste para mover dinero. INCIBE, en el caso del falso CEO, recomienda que los pagos se autoricen por correo electrónico o en persona, nunca por teléfono, y que los importes elevados los apruebe más de una persona.

A partir de ahí, yo añadiría:

Si quieres que el procedimiento aguante también los correos, te dejo cómo detectar si un correo es phishing.

◢¿Qué hacer si ya has hecho el pago?

INCIBE recomienda, en el caso real que he contado, contactar enseguida con el banco para intentar anular la transferencia y, si no responde, presentar el caso ante el Banco de España. También aconseja bloquear el número, avisar a todo el personal, guardar las pruebas (registro de llamadas, números, grabaciones) y denunciar ante la Policía o la Guardia Civil. El directivo suplantado también puede denunciar.

Para orientarte en el momento, la Línea de Ayuda en Ciberseguridad de INCIBE atiende en el 017, que es a donde acudió la empresa de ese caso.

Y un detalle humano: quien ha pagado suele tardar en contarlo por vergüenza. Cuanto antes se sepa, más opciones hay de frenar el dinero.

◢¿Se puede entrenar a la plantilla para esto?

Se puede, y es donde más se gana. Leer que existen las voces clonadas no cambia lo que haces cuando suena el teléfono y el jefe tiene prisa. Lo que cambia la reacción es haber practicado antes: cuelgo, llamo yo al número que tengo, y no pasa nada por hacerlo.

Es uno de los escenarios que trabajo en mis formaciones de ciberseguridad e IA para empresas, con ejemplos pensados para equipos que no son técnicos.