Los ciberdelincuentes imitan a familiares y directivos con inteligencia artificial para obtener transferencias urgentes. Dos casos en España revelan el alcance del problema.
Una llamada de un hijo pidiendo ayuda. Una orden urgente del consejero delegado. Una voz que parece auténtica, pero que nunca ha pronunciado esas palabras. La clonación de voz mediante inteligencia artificial está convirtiendo la confianza en una nueva puerta de entrada al fraude financiero.
Los delincuentes ya no necesitan limitarse a falsificar correos electrónicos o enviar mensajes sospechosos. Pueden combinar grabaciones reales, voces sintéticas y técnicas de ingeniería social para suplantar a personas conocidas y presionar a sus víctimas para que transfieran dinero sin comprobar la identidad del interlocutor.
Según la información publicada por Digital Inside el 13 de octubre de 2026, España ha registrado recientemente casos que afectan tanto a particulares como a empresas. Entre ellos figuran una estafa de cerca de 10 000 euros en La Rioja, cuyo importe fue recuperado, y un fraude empresarial de 900 000 euros en Cataluña.
La principal lección es clara: reconocer una voz ya no basta para confirmar quién está al otro lado del teléfono. Los especialistas recomiendan verificar las solicitudes económicas por un segundo canal, establecer dobles autorizaciones y acordar palabras de seguridad en el ámbito familiar.
Cómo funciona la clonación de voz con inteligencia artificial
La tecnología de generación de audio permite crear imitaciones cada vez más convincentes de una voz humana. Para ello, los atacantes pueden utilizar fragmentos de audio obtenidos de vídeos públicos, redes sociales, entrevistas o llamadas telefónicas diseñadas para grabar a la víctima.
Los responsables de investigación de la empresa de ciberseguridad ESET, citados por Digital Inside, advierten de que algunas herramientas actuales pueden generar frases completas a partir de muestras de voz muy breves.
El resultado es una grabación sintética que puede reproducir características reconocibles de la persona suplantada, aunque esta nunca haya pronunciado el mensaje que escucha la víctima.
El peligro aumenta cuando la voz falsa se combina con otros elementos que refuerzan la credibilidad del engaño:
- Información personal real, como nombres, relaciones familiares o datos profesionales.
- Mensajes de texto o correos electrónicos falsos que respaldan la historia inventada.
- Urgencia y presión emocional, para impedir que la víctima compruebe lo ocurrido.
- Solicitudes de dinero o cambios bancarios que parecen proceder de una persona autorizada.
La inteligencia artificial no necesita engañar durante una conversación larga. En ocasiones, basta con que la víctima reconozca una voz familiar y actúe antes de detenerse a verificar la petición.
La estafa de La Rioja: una voz falsa que imitaba a una hija
Uno de los casos descritos por Digital Inside ocurrió en La Rioja durante agosto de 2026. Una persona transfirió cerca de 10 000 euros después de recibir mensajes de texto y escuchar, durante una llamada de comprobación, una imitación sintética de la voz de su hija.
El caso muestra por qué las comprobaciones tradicionales pueden resultar insuficientes cuando los delincuentes controlan varios canales de comunicación y preparan un relato convincente.
La víctima no se enfrentó únicamente a un mensaje escrito: también escuchó una voz que asociaba con alguien de su entorno familiar. Esa combinación pudo reforzar la sensación de autenticidad de la petición.
Según la información publicada, la rápida intervención policial y de las entidades bancarias permitió recuperar íntegramente el dinero.
La recuperación demuestra la importancia de reaccionar con rapidez, aunque no debe interpretarse como una garantía de que las entidades financieras puedan revertir todas las transferencias fraudulentas. Las posibilidades dependen de las circunstancias del caso y del momento en que se comunique el incidente.
Cataluña: 900 000 euros mediante la suplantación de directivos
El segundo caso descrito afectó en septiembre a una empresa catalana de matriz alemana, que sufrió una pérdida de 900 000 euros.
Según la publicación, los atacantes simularon las voces del consejero delegado y de otros directivos para conseguir la autorización de un pago confidencial. Al mismo tiempo, utilizaron correos electrónicos falsos para reforzar la apariencia de legitimidad de la operación.
El caso refleja un riesgo particular para las compañías: los delincuentes pueden intentar aprovechar la jerarquía interna, la confianza en los responsables de la organización y los procedimientos de pago sometidos a presión.
Una orden aparentemente procedente de la dirección puede parecer legítima, especialmente si incluye referencias a una operación reservada o a una fecha límite. Sin embargo, la urgencia y la confidencialidad no deben servir para saltarse los controles financieros.
Las empresas necesitan procedimientos que no dependan exclusivamente de la voz, el nombre o el cargo de quien solicita una transferencia. La identidad debe comprobarse mediante mecanismos independientes y las operaciones sensibles deben respetar las autorizaciones internas, incluso cuando la petición parezca proceder del máximo responsable.
La información aportada no identifica a la empresa afectada ni detalla si se recuperó alguna parte del dinero. Por tanto, no es posible precisar el desenlace financiero del caso a partir de estos datos.
La ingeniería social: el factor que convierte una voz falsa en dinero real
La clonación de voz es una parte de la estafa, pero no explica por sí sola su eficacia. El objetivo de los atacantes es manipular la decisión de la víctima y conseguir que actúe sin aplicar las comprobaciones habituales.
Esta práctica se conoce como ingeniería social: el uso de engaños psicológicos para obtener dinero, información confidencial o acceso a sistemas.
Los delincuentes pueden inventar situaciones diseñadas para provocar miedo, preocupación o sensación de responsabilidad. En el ámbito personal, pueden alegar un accidente, una emergencia médica o una deuda urgente. En una empresa, pueden presentar la transferencia como una operación confidencial que debe completarse de inmediato.
La presión temporal cumple una función concreta: reducir el tiempo disponible para pensar y dificultar que la víctima consulte con otra persona.
Ante una solicitud inesperada, conviene detenerse y plantearse tres preguntas:
- ¿Puedo verificar la identidad por una vía independiente?
- ¿La petición me exige actuar de inmediato o mantenerla en secreto?
- ¿Estoy siguiendo el procedimiento habitual para autorizar el pago?
Si la respuesta revela alguna anomalía, lo prudente es no transferir el dinero hasta completar la verificación.
Palabras de seguridad: una defensa sencilla para las familias
Entre las medidas recomendadas por los especialistas figura acordar una palabra o frase de seguridad familiar para situaciones en las que alguien solicite dinero de forma inesperada.
El término debe ser fácil de recordar para las personas autorizadas, pero difícil de deducir a partir de información pública. Por ello, conviene evitar nombres de mascotas, fechas de cumpleaños, equipos deportivos o aficiones que aparezcan en perfiles sociales.
Esta clave debe cumplir varias condiciones:
- Compartirse previamente solo con las personas de confianza que vayan a utilizarla.
- No publicarse en redes sociales ni enviarse por canales inseguros.
- No utilizarse como contraseña de correo, banca electrónica u otros servicios digitales.
- Cambiarse si existe sospecha de que un tercero ha podido conocerla.
Si una llamada genera dudas, se puede pedir la palabra acordada y, además, colgar y devolver la llamada al número habitual de la persona. Es preferible iniciar una comunicación nueva que continuar una conversación bajo la presión del supuesto familiar.
La palabra de seguridad no es infalible: puede filtrarse o ser utilizada en un engaño más elaborado. Por eso debe formar parte de un sistema de comprobación, no sustituir todas las demás precauciones.
Empresas: doble autorización y verificación por otro canal
En el entorno corporativo, la prevención requiere normas claras que se apliquen incluso cuando la orden parezca proceder de un directivo de alto nivel.
La recomendación central es establecer un segundo canal de verificación y una doble aprobación para las operaciones sensibles. Si un empleado recibe una solicitud de transferencia inesperada, debe confirmar la orden mediante un contacto independiente y previamente conocido.
Por ejemplo, puede llamar al número corporativo habitual del responsable, en lugar de utilizar el teléfono facilitado en el mensaje sospechoso. Si se solicita modificar la cuenta bancaria de un proveedor, la confirmación debe realizarse mediante datos de contacto ya registrados y no mediante los incluidos en el correo que comunica el cambio.
Las empresas también deberían:
- Separar la solicitud de la autorización del pago, evitando que una sola persona controle todo el proceso.
- Establecer límites y aprobaciones adicionales para transferencias de importe elevado.
- Prohibir que las peticiones de urgencia o confidencialidad anulen los controles establecidos.
- Formar a los empleados para reconocer las técnicas de suplantación y manipulación.
- Disponer de un procedimiento interno para notificar y gestionar posibles incidentes.
Estas medidas no impiden todos los intentos de fraude, pero reducen la dependencia de una única señal de identidad y dificultan que una voz sintética sea suficiente para autorizar una operación.
Qué hacer si sospechas que has sido víctima de una estafa con voz clonada
La rapidez es importante cuando se ha realizado una transferencia o se han compartido datos sensibles. Los pasos concretos dependerán de lo sucedido, pero las recomendaciones recogidas por Digital Inside incluyen actuar sin demora.
Si ya has enviado dinero:
- Contacta inmediatamente con tu banco y comunica que puedes haber sido víctima de un fraude. Solicita que intente detener o recuperar la transferencia.
- Conserva las pruebas, incluidos mensajes, correos electrónicos, números de teléfono, grabaciones disponibles y justificantes de pago.
- Denuncia los hechos ante las autoridades competentes y aporta toda la documentación que tengas.
- Si has facilitado credenciales o datos de acceso, cambia las contraseñas afectadas y sigue las instrucciones de seguridad de los servicios implicados.
- Si el incidente afecta a una empresa, activa el protocolo interno de respuesta y avisa a los responsables de seguridad y finanzas.
Si todavía no has transferido dinero, interrumpe la comunicación sospechosa y verifica la petición mediante un canal independiente. No utilices exclusivamente los datos de contacto que te haya proporcionado el interlocutor dudoso.
Cuidado con las falsas empresas que prometen recuperar el dinero
Tras una estafa puede aparecer un segundo riesgo: los delincuentes pueden volver a contactar con la víctima haciéndose pasar por investigadores, abogados, especialistas informáticos o empresas de recuperación de fondos.
La oferta suele presentarse como una solución rápida, pero exige pagar por adelantado una comisión, una tasa o un supuesto coste de gestión.
Pagar por adelantado a un desconocido que promete recuperar el dinero puede provocar una segunda pérdida económica. Antes de contratar cualquier servicio, hay que comprobar la identidad y la legitimidad de quien lo ofrece, desconfiar de las garantías de recuperación y consultar con el banco o las autoridades.
Las personas que ya han sufrido un fraude pueden ser especialmente vulnerables a este tipo de engaños porque buscan recuperar sus ahorros y desean cerrar cuanto antes una situación angustiosa.
Una nueva amenaza para la confianza digital
La clonación de voz obliga a revisar una costumbre cotidiana: dar por auténtica una llamada porque reconocemos a quien parece hablar. La tecnología puede imitar una voz, pero no demuestra por sí misma la identidad del interlocutor ni la legitimidad de una operación económica.
Los casos descritos en La Rioja y Cataluña muestran dos escenarios distintos, desde una transferencia familiar de cerca de 10 000 euros hasta un fraude empresarial de 900 000 euros. En ambos, el riesgo está en que una apariencia convincente sustituya a una comprobación independiente.
La respuesta pasa por combinar tecnología, procedimientos y prudencia. En casa, una palabra de seguridad y una llamada de retorno pueden ayudar a detectar el engaño. En las empresas, las dobles autorizaciones y la verificación por un segundo canal deben mantenerse incluso ante órdenes aparentemente urgentes de la dirección.
La regla esencial es sencilla: ninguna voz, por familiar o convincente que parezca, debe bastar por sí sola para autorizar una transferencia.
Toqueteo
Toqueteo
Toqueteo