¿Seguro que es tu hijo el que te pide dinero por WhatsApp? El salto a los deepfakes de voz por IA

La historia casi siempre empezaba igual. Un mensaje de un número desconocido en WhatsApp: "Mamá, se me rompió el móvil y este es mi número provisional, no me llames que no me van las llamadas". Tres mensajes de texto después, apelando a la prisa y al instinto de protección, llegaba el hachazo: un Bizum o una transferencia urgente de 2.000 euros para pagar una supuesta matrícula, una grúa o una factura médica.

Durante los últimos años, este fraude (conocido en el sector de la ciberseguridad como el timo del "hijo en apuros") ha llenado las comisarías de denuncias. Sin embargo, la receta para no caer era relativamente simple: mantener la cabeza fría, desconfiar del texto y, sobre todo, exigir una nota de voz. Si no había audio, no había dinero.

Pero las reglas del juego han cambiado de golpe. La Inteligencia Artificial generativa ha entrado en la ecuación y ha roto la última barrera de contención: la verdad auditiva.

Tres segundos de Instagram son suficientes

Imagínate la escena. Estás en la oficina o saliendo de trabajar por Oviedo y te llega ese fatídico mensaje de WhatsApp de un número extraño. Sospechas. Aplicas el manual de supervivencia digital y respondes: "No te hago ningún ingreso hasta que no me mandes un audio".

A los pocos segundos, llega un archivo de voz. Le das al play. Al otro lado del altavoz no hay un robot, ni un texto leído con desgana. Es la voz exacta de tu hijo, con sus pausas, su tono, su acento asturiano y un deje de nerviosismo: "Mamá, de verdad, que se me cayó el teléfono al agua y estoy usando el de un amigo, por favor hazme el Bizum que no me da tiempo a pagar la matrícula".

¿Cómo es posible? Bien venido a la era del vishing respaldado por clonación de voz de nivel comercial.

Hoy en día, un ciberdelincuente no necesita un estudio de grabación ni un software militar para replicar la voz de cualquier persona. Le basta con un fragmento de audio de apenas tres segundos. ¿Y de dónde lo sacan? De ese vídeo que tu hijo subió a TikTok, de una historia de Instagram, de un mensaje de voz reenviado en un grupo público o de un vídeo de YouTube. Plataformas de IA como ElevenLabs o herramientas de código abierto permiten entrenar un modelo de voz hiperrealista en cuestión de minutos. El resto es tan fácil como escribir un texto en la pantalla y dejar que la IA lo "hable" con la voz clonada.

La paradoja de la seguridad actual: Cuanto más contenido multimedia compartimos en nuestras redes sociales, más material dejamos expuesto para que los algoritmos nos imiten a la perfección.

Cuando el enemigo "hackea" el cerebro, no el ordenador

Este tipo de fraude no se basa en romper el cifrado de extremo a extremo de WhatsApp ni en colar un troyano en tu teléfono. Es ingeniería social pura y dura, pero dopada con esteroides tecnológicos. Los estafadores atacan directamente al eslabón más débil de la cadena: nuestros sesgos cognitivos.

Ante una situación de urgencia extrema donde un ser querido supuestamente sufre o está en peligro, el cerebro humano activa la amígdala y desconecta la parte racional. Si a ese cóctel de pánico le sumas el sesgo de confirmación de escuchar la voz real de tu hijo, la capacidad de análisis se reduce a cero. No estás pensando en algoritmos de redes neuronales recurrentes; estás pensando en sacar la tarjeta de crédito.

Ya no ocurre solo en el ámbito familiar. En el entorno empresarial, este fraude está evolucionando hacia el "Fraude del CEO 2.0": directores financieros de PYMEs que reciben llamadas de audio (e incluso videollamadas deepfake) de sus jefes ordenando transferencias internacionales urgentes para cerrar una supuesta adquisición confidencial.

Cómo protegerse en un mundo donde el oído ya no es de fiar

Si la tecnología es capaz de engañar a nuestros sentidos, la solución paradójicamente no es más software, sino volver a lo analógico. Desde MundoPC, como especialistas en garantizar la seguridad informática de empresas y particulares en Asturias, os recomendamos cambiar el chip con estas pautas:

• Estableced una "contraseña familiar": Puede sonar a película de espías, pero funciona. Acordad en casa una palabra clave, una pregunta absurda o una respuesta que solo vosotros sepáis (por ejemplo: "¿cómo se llamaba el perro que tuvimos hace diez años?" o "¿cuál es tu comida favorita de los martes?"). Si te piden dinero de urgencia por canales no habituales, exige esa palabra. La IA no la conoce.
• Rompe el canal de comunicación: Si te escriben desde un número desconocido alegando que el original se ha roto, no sigas la conversación por ahí. Llama directamente al número "antiguo" de tu hijo, o contacta con algún amigo, compañero de trabajo o familiar que pueda estar con él en ese momento para verificar la situación.
• Ojo con lo que subes (y suben): Concienciar a los más jóvenes de la casa de que los audios y vídeos en perfiles públicos de redes sociales no son inocuos. Configurar las cuentas como privadas reduce drásticamente la exposición al rastreo de los bots de los estafadores.

La ciberseguridad ya no va solo de instalar un buen antivirus en el ordenador de la oficina o de tener copias de seguridad en la nube (que también, para evitar que un despiste bloquee tu negocio). Ahora va de entender que la información es el activo más valioso y que, en la era de la Inteligencia Artificial, verificar antes de actuar es la única línea de defensa que nos queda.