Imagina que suena el teléfono de la persona que lleva los pagos en tu empresa. Es el jefe. Se le reconoce la voz —el mismo tono, la misma forma de hablar, hasta la misma muletilla de siempre— y va con prisa: «Estoy en una reunión, no puedo hablar mucho. Hay que pagar hoy a este proveedor o perdemos el pedido. Te paso la cuenta por mensaje, hazlo ya y no lo comentes con nadie que esto es delicado». Todo encaja. La voz es la de siempre. Y esa persona hace la transferencia. Solo que al otro lado no estaba el jefe: era una voz clonada por una inteligencia artificial.
Esto tiene nombre y ya no es una hipótesis de laboratorio. Se le llama fraude del CEO con voz clonada (en la jerga de ciberseguridad, deepvoice: una voz sintética generada por IA que imita a una persona concreta). El Instituto Nacional de Ciberseguridad, la INCIBE, ha documentado durante 2026 varios casos reales en España, incluido el intento de desviar pagos de una empresa suplantando por teléfono la voz de su responsable. No es una moda de titular: es un tipo de estafa que ha aterrizado en negocios normales.
Qué ha cambiado (y por qué ahora sí te toca)
El «fraude del CEO» existe desde hace años, pero antes viajaba por correo electrónico: un email falso, imitando al jefe, pidiendo una transferencia. Ese truco tenía un punto débil evidente —un correo se puede mirar dos veces, comprobar el remitente, dudar de la redacción—. Lo que ha cambiado, y cambia todo, es que ahora el fraude entra por el oído. Y de una voz conocida nos fiamos mucho más que de un correo.
La barrera técnica se ha desplomado. Hasta hace poco, clonar una voz de forma convincente requería tiempo y medios. Hoy basta con unos segundos de audio —los que hay de sobra en un vídeo de redes, una nota de voz de WhatsApp reenviada o una entrevista en la web de la empresa— para generar una imitación que engaña a alguien que conoce esa voz. Lo que antes protegía a una pyme, «¿quién va a molestarse en imitar a mi jefe?», ya no protege, porque molestarse cuesta muy poco.
Conviene decirlo sin alarmismo, que de eso ya hay bastante: no todas las pymes son un objetivo, y la mayoría de las llamadas que recibes seguirán siendo de gente normal. Pero el coste de intentarlo ha bajado tanto que los intentos se han multiplicado. Y a una pyme le basta con caer una vez.
Por qué funciona: no ataca tu tecnología, ataca tu confianza
Aquí está la clave para entenderlo, y para defenderse. Este fraude no revienta ninguna contraseña ni entra en ningún sistema. No necesita hackear nada. Se cuela por la puerta que ninguna empresa cierra con llave: la confianza entre personas. Junta tres ingredientes que, combinados, desactivan el sentido común de cualquiera. Autoridad: llama alguien a quien no le dices que no. Urgencia: hay que hacerlo ya, no hay tiempo de pensar. Y secreto: «no lo comentes con nadie», que es justo lo que impide la comprobación que lo pararía.
La voz clonada es lo que hace saltar por los aires la última defensa. Ante un correo raro, dudamos. Ante la voz de nuestro jefe, obedecemos. Por eso las pymes son un blanco cómodo: no porque tengan peor tecnología, sino porque en un equipo pequeño las cosas se resuelven con una llamada y un «hazlo, que ya lo cuadro luego». Esa agilidad, que es una virtud el resto del año, es exactamente el hueco por el que entra el fraude.
El caso típico, paso a paso
Aunque cada estafa cambia en los detalles, casi todas siguen el mismo guion. Reconocerlo es media defensa:
- Preparación: los atacantes reúnen unos segundos de la voz del directivo (redes, vídeos corporativos, un audio filtrado) y averiguan quién gestiona los pagos y a qué proveedores paga la empresa.
- Primer contacto: a veces llega antes un SMS o un mensaje que «avisa» de una llamada importante, para que la víctima no se extrañe de un número desconocido.
- La llamada: la voz clonada, con prisa y en tono de confianza, ordena una transferencia urgente a una cuenta «nueva» y pide discreción absoluta.
- El cierre: si la víctima duda, aprietan con la urgencia («se cae la operación», «el banco cierra»). Nunca dan margen para colgar y comprobar.
Las señales de alarma, vistas en frío, son siempre las mismas: prisa desmedida, una cuenta bancaria que cambia o que no habías visto nunca, la petición de no consultarlo con nadie y un canal único —solo esa llamada, sin nada por escrito que puedas contrastar—. Cuando aparecen tres de esas cuatro a la vez, no es tu jefe con un mal día: es una estafa.
El protocolo que lo para (y no cuesta dinero)
La buena noticia es que la defensa contra este fraude no es un programa caro ni un antivirus especial. Es un acuerdo interno de sentido común, escrito y conocido por todos. La tecnología del atacante es sofisticada; lo que la desmonta es aburridamente simple:
- Segundo canal, siempre. Ninguna orden de pago urgente se ejecuta sin confirmarla por una vía distinta a la que llegó. Si te llaman, cuelgas y llamas tú al número de siempre. Una voz clonada no sobrevive a una llamada de vuelta.
- Una palabra clave interna. Un código que solo conoce el equipo y que hay que decir para validar una petición sensible por teléfono. La IA imita la voz; no conoce el secreto.
- Regla de oro con las cuentas: un cambio de número de cuenta de un proveedor no se hace nunca solo por teléfono o por email. Se verifica con un contacto conocido de ese proveedor, por un canal ya establecido.
- La prisa es la alarma, no la excusa. Enseña al equipo que la urgencia extrema y el secreto no son razones para saltarse el protocolo: son precisamente la señal de que hay que aplicarlo.
Fíjate en que nada de esto va de desconfiar de tu jefe ni de frenar el negocio. Va de que exista una respuesta automática —«esto se verifica siempre»— para que nadie tenga que decidir bajo presión si una voz es real o no. La decisión ya está tomada de antemano, por escrito, en calma. Ese es todo el truco.
La defensa de verdad es un equipo que lo ha visto venir
Se puede tener el mejor protocolo del mundo colgado en un cajón y no servir de nada. El fraude no lo para el papel: lo para la persona que descuelga el teléfono y reconoce el patrón a tiempo. Por eso el eslabón que de verdad sostiene todo esto no es la tecnología, es el hábito del equipo. Un equipo que sabe que esto existe, que ha visto cómo suena una voz clonada y que tiene interiorizado el «cuelgo y confirmo» es mucho más difícil de engañar que cualquier filtro.
Es justo el tipo de cosa que trabajamos en nuestra formación en IA para equipos: no un curso teórico, sino enseñar a la gente de negocio qué puede hacer hoy la IA —lo bueno y lo peligroso— y cómo protegerse sin volverse paranoico. Y no es un riesgo abstracto para sectores exóticos: uno de los casos que documentó INCIBE en 2026 fue el de una empresa del sector comercio, gente que atiende pedidos y proveedores como cualquier comercio o tienda de barrio.
El criterio, en una frase
La voz de tu jefe ha dejado de ser una prueba de identidad. No porque tu negocio haga nada mal, sino porque la herramienta que imita esa voz se ha vuelto barata y accesible para cualquiera. La respuesta sensata no es vivir con miedo al teléfono: es acordar, hoy y por escrito, que ninguna orden de pago urgente se ejecuta sin una segunda comprobación. Es un cambio de hábito de diez minutos que te ahorra el disgusto de tu vida.
Si quieres montar ese protocolo y formar a tu equipo sin convertirlo en un proyecto interminable, es exactamente lo que aterrizamos en una sesión de consultoría: miramos por dónde te podrían entrar, dejamos las reglas claras y en una mañana el equipo sabe qué hacer cuando suene esa llamada. Si lo prefieres directo, cuéntanos tu caso y lo vemos juntos.
