Durante décadas, reconocer una voz al otro lado del teléfono era suficiente para saber con quién hablábamos. La inteligencia artificial ha roto esa certeza.
Hoy, un delincuente puede reproducir el tono, el acento y las pausas de otra persona para hacerse pasar por un familiar, un responsable financiero o un directivo. Si esa llamada llega después de un mensaje alarmante y plantea una decisión urgente, el engaño puede completarse antes de que la víctima tenga tiempo de comprobar qué está ocurriendo.
El Instituto Nacional de Ciberseguridad (INCIBE) ha documentado en España varios fraudes de este tipo durante los primeros meses de 2026. En uno de los casos, los atacantes clonaron la voz del responsable de una empresa del sector comercio para desviar pagos a cuentas bajo su control. En otro, utilizaron la voz de un familiar para dar credibilidad a la estafa.
No se trata solo de una nueva modalidad de suplantación. Es una señal de que la voz ha dejado de ser una prueba fiable de identidad.
Qué es una estafa híbrida y por qué resulta tan convincente
INCIBE utiliza la expresión estafa híbrida para describir fraudes que encadenan varios recursos en una misma operación. El patrón puede desarrollarse así:
- La víctima recibe un SMS que aparenta proceder de su banco, de una empresa conocida o de una persona de confianza.
- Segundos o minutos después recibe una llamada que confirma el supuesto problema.
- La voz al otro lado parece pertenecer a un familiar, un compañero o un directivo.
- Durante la conversación se solicitan datos bancarios, códigos de verificación o la autorización inmediata de una transferencia.
Todo puede suceder en menos de diez minutos.
La eficacia del método no depende únicamente de la calidad de la voz sintética, sino del orden en el que aparecen los estímulos. Un SMS aislado puede despertar sospechas. Una llamada inesperada también. Sin embargo, cuando ambos canales se refuerzan entre sí, el mensaje justifica la llamada y la llamada hace que el mensaje parezca auténtico.
El fraude, por tanto, no elimina el proceso de verificación de la víctima: lo imita y lo manipula.
Qué ha cambiado con el bloqueo de los SMS fraudulentos
Desde el 7 de junio de 2026 están en vigor las obligaciones de bloqueo previstas en la Orden TDF/149/2025. A ellas se suma la circular aprobada por la Comisión Nacional de los Mercados y la Competencia para regular el registro de alias utilizados como remitentes de SMS.
Estas medidas dificultan que un mensaje fraudulento llegue al teléfono mostrando el nombre de una entidad legítima, como un banco. Es un avance relevante contra el smishing, pero no resuelve por sí solo el fraude con voz clonada.
Las llamadas funcionan por un canal diferente y no quedan cubiertas del mismo modo por esa regulación. Cuando una vía se vuelve menos accesible, los delincuentes adaptan sus métodos y trasladan la presión a otros canales. En este caso, explotan uno en el que el usuario dispone de pocas señales para distinguir una identidad real de una imitación.
¿Pueden clonar tu voz solo por decir «hola»?
Uno de los mensajes más difundidos en redes sociales asegura que basta con responder una llamada y pronunciar una palabra para que los delincuentes capturen la voz y creen una copia convincente. Esa afirmación no está acreditada y mezcla el fraude con voz sintética con advertencias antiguas sobre el llamado timo del «sí».
El riesgo real es distinto. Los atacantes pueden conseguir muestras de voz a partir de materiales que ya están disponibles o que circulan entre terceros:
- Vídeos publicados en redes sociales.
- Entrevistas y pódcast.
- Seminarios, reuniones o actos grabados.
- Mensajes de audio reenviados.
- Presentaciones y apariciones públicas.
Por eso, las personas con mayor exposición y quienes tienen capacidad para autorizar pagos son objetivos especialmente atractivos. También lo son sus familiares y colaboradores más cercanos.
La diferencia no es menor: evitar decir «hola» no ofrece una protección efectiva. Cambiar los procedimientos de verificación, sí.
Cómo protegerse frente a una llamada con voz clonada
La primera regla es sencilla: una voz reconocible no debe considerarse una prueba de identidad. A partir de ahí, tanto las familias como las empresas pueden reducir el riesgo con medidas concretas.
En el ámbito personal
- Acordar una palabra o pregunta de seguridad que no aparezca en redes sociales.
- Colgar y devolver la llamada utilizando un número guardado previamente.
- Confirmar la situación por otro canal antes de enviar dinero o compartir datos.
- Desconfiar de cualquier petición que combine urgencia, secreto y presión emocional.
- Limitar la publicación indiscriminada de audios y vídeos, especialmente de menores y familiares.
En las empresas
- Prohibir que una transferencia se autorice únicamente mediante una llamada o una nota de voz.
- Aplicar doble aprobación a pagos sensibles o fuera de los patrones habituales.
- Verificar cualquier cambio de cuenta bancaria con un contacto ya validado.
- Establecer canales alternativos y conocidos para confirmar solicitudes urgentes.
- Formar a la plantilla con simulaciones que incluyan smishing, ingeniería social y voz sintética.
- Definir un procedimiento de respuesta que permita bloquear pagos, conservar evidencias y notificar el incidente con rapidez.
La clave es mantener el protocolo incluso cuando la persona que llama parezca ser exactamente quien dice ser. Un buen control no depende de la intuición del empleado, sino de un proceso que resiste la presión.
Qué consecuencias legales puede tener la suplantación de voz
Los fraudes con voz clonada pueden dar lugar a varias responsabilidades penales de forma simultánea. Según el penalista Juan Antonio Signes García, socio de Sanahuja Abogados Penalistas y miembro de la European Criminal Bar Association, en estos casos pueden concurrir la estafa del artículo 248 del Código Penal, la usurpación del estado civil del artículo 401 y el descubrimiento y revelación de secretos del artículo 197.
Cuando la cantidad defraudada supera los 50.000 euros, la pena puede alcanzar los seis años de prisión. Sin embargo, para una organización, la respuesta penal llega después del daño. La prioridad debe ser impedir que una suplantación se convierta en una orden válida dentro de sus procesos.
El otro riesgo: faltan profesionales capaces de anticiparse
Revisar controles de pago, analizar riesgos, adaptar procedimientos a la normativa y preparar una respuesta ante incidentes exige perfiles que combinen conocimientos técnicos, legales y organizativos. Ese talento escasea.
Durante la presentación del Estudio sobre la industria de la ciberseguridad en España 2025, elaborado por INCIBE y CONETIC, el presidente de esta última, José Luis Pancorbo, señaló que el 76 % de las vacantes ofertadas en ciberseguridad queda sin cubrir debido a la distancia entre las necesidades de las empresas y los profesionales disponibles. INCIBE aporta otro dato significativo: solo dos de cada diez posiciones se cubren con talento interno.
La demanda del sector crece, pero ya no basta con dominar herramientas defensivas. Las organizaciones necesitan especialistas capaces de entender cómo se combinan la tecnología, la ingeniería social, el cumplimiento normativo y los procesos internos.
Formarse para una ciberseguridad que ya ha cambiado
El fraude con voz clonada resume bien el reto actual: la amenaza utiliza inteligencia artificial, pero se aprovecha de decisiones humanas y fallos organizativos. Por eso, la respuesta requiere profesionales con una visión integral.
El Máster en Ciberseguridad de EIP International Business School aborda ámbitos como la prevención del fraude, la verificación de identidad, el cumplimiento normativo y la respuesta ante incidentes. Además, ofrece preparación orientada a certificaciones como OSCP y CCSP, valoradas en los procesos de selección del sector.
En un mercado en el que tres de cada cuatro vacantes siguen sin cubrirse, especializarse en ciberseguridad no solo permite acceder a un área con una demanda creciente. También prepara para resolver problemas que ya están afectando a empresas y particulares.
Consulta el programa del Máster en Ciberseguridad y descubre sus salidas profesionales.
Durante décadas, reconocer una voz al otro lado del teléfono era suficiente para saber con quién hablábamos. La inteligencia artificial ha roto esa certeza.
Hoy, un delincuente puede reproducir el tono, el acento y las pausas de otra persona para hacerse pasar por un familiar, un responsable financiero o un directivo. Si esa llamada llega después de un mensaje alarmante y plantea una decisión urgente, el engaño puede completarse antes de que la víctima tenga tiempo de comprobar qué está ocurriendo.
El Instituto Nacional de Ciberseguridad (INCIBE) ha documentado en España varios fraudes de este tipo durante los primeros meses de 2026. En uno de los casos, los atacantes clonaron la voz del responsable de una empresa del sector comercio para desviar pagos a cuentas bajo su control. En otro, utilizaron la voz de un familiar para dar credibilidad a la estafa.
No se trata solo de una nueva modalidad de suplantación. Es una señal de que la voz ha dejado de ser una prueba fiable de identidad.
Qué es una estafa híbrida y por qué resulta tan convincente
INCIBE utiliza la expresión estafa híbrida para describir fraudes que encadenan varios recursos en una misma operación. El patrón puede desarrollarse así:
- La víctima recibe un SMS que aparenta proceder de su banco, de una empresa conocida o de una persona de confianza.
- Segundos o minutos después recibe una llamada que confirma el supuesto problema.
- La voz al otro lado parece pertenecer a un familiar, un compañero o un directivo.
- Durante la conversación se solicitan datos bancarios, códigos de verificación o la autorización inmediata de una transferencia.
Todo puede suceder en menos de diez minutos.
La eficacia del método no depende únicamente de la calidad de la voz sintética, sino del orden en el que aparecen los estímulos. Un SMS aislado puede despertar sospechas. Una llamada inesperada también. Sin embargo, cuando ambos canales se refuerzan entre sí, el mensaje justifica la llamada y la llamada hace que el mensaje parezca auténtico.
El fraude, por tanto, no elimina el proceso de verificación de la víctima: lo imita y lo manipula.
Qué ha cambiado con el bloqueo de los SMS fraudulentos
Desde el 7 de junio de 2026 están en vigor las obligaciones de bloqueo previstas en la Orden TDF/149/2025. A ellas se suma la circular aprobada por la Comisión Nacional de los Mercados y la Competencia para regular el registro de alias utilizados como remitentes de SMS.
Estas medidas dificultan que un mensaje fraudulento llegue al teléfono mostrando el nombre de una entidad legítima, como un banco. Es un avance relevante contra el smishing, pero no resuelve por sí solo el fraude con voz clonada.
Las llamadas funcionan por un canal diferente y no quedan cubiertas del mismo modo por esa regulación. Cuando una vía se vuelve menos accesible, los delincuentes adaptan sus métodos y trasladan la presión a otros canales. En este caso, explotan uno en el que el usuario dispone de pocas señales para distinguir una identidad real de una imitación.
¿Pueden clonar tu voz solo por decir «hola»?
Uno de los mensajes más difundidos en redes sociales asegura que basta con responder una llamada y pronunciar una palabra para que los delincuentes capturen la voz y creen una copia convincente. Esa afirmación no está acreditada y mezcla el fraude con voz sintética con advertencias antiguas sobre el llamado timo del «sí».
El riesgo real es distinto. Los atacantes pueden conseguir muestras de voz a partir de materiales que ya están disponibles o que circulan entre terceros:
- Vídeos publicados en redes sociales.
- Entrevistas y pódcast.
- Seminarios, reuniones o actos grabados.
- Mensajes de audio reenviados.
- Presentaciones y apariciones públicas.
Por eso, las personas con mayor exposición y quienes tienen capacidad para autorizar pagos son objetivos especialmente atractivos. También lo son sus familiares y colaboradores más cercanos.
La diferencia no es menor: evitar decir «hola» no ofrece una protección efectiva. Cambiar los procedimientos de verificación, sí.
Cómo protegerse frente a una llamada con voz clonada
La primera regla es sencilla: una voz reconocible no debe considerarse una prueba de identidad. A partir de ahí, tanto las familias como las empresas pueden reducir el riesgo con medidas concretas.
En el ámbito personal
- Acordar una palabra o pregunta de seguridad que no aparezca en redes sociales.
- Colgar y devolver la llamada utilizando un número guardado previamente.
- Confirmar la situación por otro canal antes de enviar dinero o compartir datos.
- Desconfiar de cualquier petición que combine urgencia, secreto y presión emocional.
- Limitar la publicación indiscriminada de audios y vídeos, especialmente de menores y familiares.
En las empresas
- Prohibir que una transferencia se autorice únicamente mediante una llamada o una nota de voz.
- Aplicar doble aprobación a pagos sensibles o fuera de los patrones habituales.
- Verificar cualquier cambio de cuenta bancaria con un contacto ya validado.
- Establecer canales alternativos y conocidos para confirmar solicitudes urgentes.
- Formar a la plantilla con simulaciones que incluyan smishing, ingeniería social y voz sintética.
- Definir un procedimiento de respuesta que permita bloquear pagos, conservar evidencias y notificar el incidente con rapidez.
La clave es mantener el protocolo incluso cuando la persona que llama parezca ser exactamente quien dice ser. Un buen control no depende de la intuición del empleado, sino de un proceso que resiste la presión.
Qué consecuencias legales puede tener la suplantación de voz
Los fraudes con voz clonada pueden dar lugar a varias responsabilidades penales de forma simultánea. Según el penalista Juan Antonio Signes García, socio de Sanahuja Abogados Penalistas y miembro de la European Criminal Bar Association, en estos casos pueden concurrir la estafa del artículo 248 del Código Penal, la usurpación del estado civil del artículo 401 y el descubrimiento y revelación de secretos del artículo 197.
Cuando la cantidad defraudada supera los 50.000 euros, la pena puede alcanzar los seis años de prisión. Sin embargo, para una organización, la respuesta penal llega después del daño. La prioridad debe ser impedir que una suplantación se convierta en una orden válida dentro de sus procesos.
El otro riesgo: faltan profesionales capaces de anticiparse
Revisar controles de pago, analizar riesgos, adaptar procedimientos a la normativa y preparar una respuesta ante incidentes exige perfiles que combinen conocimientos técnicos, legales y organizativos. Ese talento escasea.
Durante la presentación del Estudio sobre la industria de la ciberseguridad en España 2025, elaborado por INCIBE y CONETIC, el presidente de esta última, José Luis Pancorbo, señaló que el 76 % de las vacantes ofertadas en ciberseguridad queda sin cubrir debido a la distancia entre las necesidades de las empresas y los profesionales disponibles. INCIBE aporta otro dato significativo: solo dos de cada diez posiciones se cubren con talento interno.
La demanda del sector crece, pero ya no basta con dominar herramientas defensivas. Las organizaciones necesitan especialistas capaces de entender cómo se combinan la tecnología, la ingeniería social, el cumplimiento normativo y los procesos internos.
Formarse para una ciberseguridad que ya ha cambiado
El fraude con voz clonada resume bien el reto actual: la amenaza utiliza inteligencia artificial, pero se aprovecha de decisiones humanas y fallos organizativos. Por eso, la respuesta requiere profesionales con una visión integral.
El Máster en Ciberseguridad de EIP International Business School aborda ámbitos como la prevención del fraude, la verificación de identidad, el cumplimiento normativo y la respuesta ante incidentes. Además, ofrece preparación orientada a certificaciones como OSCP y CCSP, valoradas en los procesos de selección del sector.
En un mercado en el que tres de cada cuatro vacantes siguen sin cubrirse, especializarse en ciberseguridad no solo permite acceder a un área con una demanda creciente. También prepara para resolver problemas que ya están afectando a empresas y particulares.
Consulta el programa del Máster en Ciberseguridad y descubre sus salidas profesionales.
