Su jefe no llamó: cómo frenar las estafas de clonación de voz con IA

Qué son las estafas de clonación de voz con IA

Una estafa de clonación de voz con IA usa software para copiar cómo suena una persona real. Un delincuente toma un fragmento corto de un seminario web, un saludo del buzón de voz, un pódcast, un video en redes sociales o una reunión grabada, y luego hace una llamada o envía una nota de voz que suena como esa persona.

En una empresa, la voz copiada suele ser de alguien con autoridad: el dueño, un gerente, el representante de un proveedor, un abogado o un contacto del banco. El FBI ha advertido que los delincuentes usan audio y video generados con IA (en inglés) para hacerse pasar por personas de confianza y hacer que el fraude sea más creíble.

El punto clave: la voz no es una prueba. Estas estafas funcionan cuando una voz conocida se toma como una aprobación en lugar de un motivo para seguir sus controles de siempre.

Por qué las pequeñas empresas son un blanco

Las pequeñas y medianas empresas mueven dinero, trabajan rápido y funcionan a base de relaciones. Un tenedor de libros conoce la voz del dueño; una encargada de oficina conoce al proveedor que llama cada mes. Las solicitudes urgentes cerca de la nómina, de un cierre o de una fecha de impuestos parecen normales.

Los delincuentes también investigan. Los nombres, los cargos, el formato de los correos, las relaciones con proveedores y los fragmentos de voz suelen ser públicos. Luego combinan la voz clonada con un número falsificado, un correo convincente o una invitación de calendario. Es el viejo método del fraude por correo electrónico empresarial, ahora con voz.

Cómo una voz falsa se convierte en un pago

1. Investigación: averiguan quién puede aprobar pagos o cambiar los datos de los proveedores.
2. Recolección de voz: reúnen audio de videos públicos, saludos del buzón de voz o reuniones en línea.
3. Historia: un negocio confidencial, una factura vencida, una corrección de nómina o una alerta de seguridad del banco.
4. Contacto: una llamada, un mensaje de voz o una videollamada, reforzados con un correo o un mensaje de texto.
5. Presión: rapidez, secreto y la petición de no consultarlo con nadie.
6. La petición: una transferencia bancaria, tarjetas de regalo, criptomonedas, una contraseña, un código de un solo uso o nuevos datos bancarios.

La mayoría de los casos reales no son de película. Una llamada falsa del jefe seguida de un correo breve basta cuando una empresa no tiene una regla de devolver la llamada ni un segundo aprobador.

Situaciones comunes de suplantación

• El dueño necesita una transferencia ya. Quien llama está "en una reunión" o "a punto de abordar un vuelo" y dice que el asunto es confidencial. Al personal con menos antigüedad le cuesta cuestionar al jefe, y eso es justamente lo que se busca.
• Un proveedor cambia sus datos bancarios. La llamada suena como el representante que usted conoce y dice que la facturación pasó a otro banco. Un solo número de ruta cambiado puede desviar los pagos durante semanas.
• Llama el equipo de fraudes de su banco. Quien llama pide las claves de la banca en línea, un código de un solo uso o una transferencia de "prueba". Una verificación real del banco nunca necesita sus contraseñas ni sus códigos.
• Una videollamada agrega presión. Tanto las caras como las voces se pueden generar. Si una reunión termina con la petición de mover dinero o compartir credenciales, se aplican los mismos controles.

Señales de alerta que su equipo debe reconocer

Las voces clonadas pueden sonar bien, así que las señales de alerta suelen estar en la petición, no en el audio:

• Urgencia: "Esto tiene que salir en diez minutos".
• Secreto: "No se lo comente a nadie".
• Presión de autoridad: "Soy el dueño, solo hágalo".
• Un pago inusual: tarjetas de regalo, criptomonedas, aplicaciones de pago o una transferencia a una cuenta nueva.
• Una petición de contraseñas, códigos de un solo uso, aprobaciones de autenticación multifactor o acceso remoto.
• Un número de teléfono nuevo, un correo personal o una aplicación de mensajería desconocida.
• Enojo o excusas cuando usted dice que necesita verificar.

Una rutina de verificación que funciona bajo presión

1. Devuelva la llamada a un número conocido. Cuelgue y llame a la persona o a la empresa a un número que ya esté en sus registros, no al que aparece en el identificador de llamadas, el buzón de voz, el correo o la factura.
2. Use una palabra clave para las solicitudes de pago. La dirección y el área de finanzas acuerdan una frase privada que debe incluir cualquier solicitud de dinero por teléfono. Cámbiela cuando alguien se vaya o después de un intento sospechoso.
3. Exija dos personas para los cambios de pago. Los nuevos beneficiarios, los cambios de datos bancarios, las transferencias urgentes y los pagos fuera de lo habitual necesitan un segundo aprobador que verifique por su cuenta y anote lo que comprobó.
4. Capacite con ejemplos realistas. Sesiones breves y repetidas para finanzas, nómina, recepción, asistentes de dirección y cualquier persona con acceso al banco, usando las situaciones de arriba.

Los dueños deben decirlo en voz alta: ningún pago es tan urgente como para saltarse la verificación. Agradezca a quienes frenan una solicitud sospechosa. Nuestra guía sobre los correos de phishing con IA cubre el lado escrito de estos mismos ataques.

Controles de pagos y cuentas que la respaldan

• Límites de aprobación por escrito para transferencias bancarias, lotes de ACH y pagos con tarjeta.
• Separar quién crea proveedores, quién modifica los datos bancarios y quién libera los fondos.
• Alertas del banco para transferencias salientes, nuevos beneficiarios, inicios de sesión fallidos y cambios de contraseña.
• Autenticación multifactor en el correo, la contabilidad, la nómina, el banco y los archivos compartidos.
• Una regla de que las solicitudes hechas por voz, texto o chat nunca se aprueban solas.
• Una revisión mensual de quién tiene permisos de pago o de administrador.

La primera hora después de una llamada fraudulenta o un pago perdido

1. Deténgase y llame al banco. Termine la llamada, no envíe nada más y pida al equipo de fraudes de su banco que recupere o congele la transferencia y se comunique con el banco receptor. Tenga a mano el monto, la hora, la cuenta y los números de referencia.
2. Conserve las pruebas. Guarde los registros de llamadas, los mensajes de voz, los correos, los mensajes de texto, los enlaces de reuniones, las facturas y las confirmaciones. Escriba una cronología mientras los recuerdos están frescos.
3. Denuncie ante el FBI. Presente una denuncia en IC3.gov (en inglés) lo antes posible, con los datos de la transacción; las denuncias rápidas ayudan al FBI a trabajar con los bancos para recuperar el dinero.
4. Denuncie ante la FTC. Presente también una denuncia en ReportFraud.ftc.gov (en inglés). Suma al registro, pero no reemplaza al banco ni a IC3.
5. Proteja las cuentas. Si se compartieron códigos o contraseñas, cámbielos, cierre las sesiones activas y revise los dispositivos de autenticación multifactor. Avise a la dirección, al área de informática, a su aseguradora y a la persona que fue suplantada.

Dónde encaja ASL

Si detrás de la solicitud hay un número desconocido o un mensaje sospechoso, Aya Scam & Privacy Lookup investiga el número o el mensaje y muestra lo que dicen sus fuentes, incluso cuando el resultado es incierto. Nuestras guías sobre cómo saber si un número es estafa y cómo bloquear llamadas de spam van más a fondo.

Para incorporar pasos de aprobación de pagos en sus propios sistemas, nuestro servicio de desarrollo de software a medida puede agregar controles de segundo aprobador y de devolución de llamada, o contáctenos para conversarlo.

Preguntas frecuentes

¿Qué es una estafa de clonación de voz con IA?

Un fraude en el que un software copia la voz de una persona real a partir de una grabación corta, para que un delincuente pueda llamar o dejar un mensaje que suene como ella, por lo general para obtener dinero, contraseñas o cambios en los datos de pago.

¿Cómo puedo saber si una voz en el teléfono está clonada?

Muchas veces no se puede. Mejor juzgue la petición: la urgencia, el secreto, los métodos de pago inusuales o las solicitudes de códigos son señales de alerta. Cuelgue y devuelva la llamada a un número que ya tenga.

¿Qué es una buena palabra clave para los pagos de la empresa?

Una frase privada que no sea pública ni fácil de adivinar, que solo conozcan las personas que solicitan o aprueban pagos, que se exija en cualquier solicitud de dinero por teléfono y que se cambie cada vez que alguien se vaya.

¿Qué hago si ya enviamos el dinero?

Llame de inmediato al equipo de fraudes de su banco para recuperar o congelar la transferencia, conserve todas las pruebas, presente una denuncia en IC3.gov y en ReportFraud.ftc.gov, y cambie cualquier credencial que se haya compartido.

¿Una videollamada demuestra que la persona es real?

No. Tanto las caras como las voces se pueden generar. Cualquier reunión que termine con la petición de mover dinero o compartir credenciales necesita la misma verificación independiente que una llamada telefónica.

Guías relacionadas

• Cómo saber si un número es estafa: revise llamadas y mensajes sin riesgo
• Cómo bloquear llamadas de spam en su celular y teléfono fijo
• Mensajes de texto fraudulentos: cómo reconocerlos y denunciarlos
• Política de uso aceptable de IA para una pequeña empresa

Conozca el producto completo

Consulte funciones, acceso actual y límites