Estafas con clonación de voz por IA en llamadas: cómo verificarlas

Qué es una estafa con clonación de voz

La clonación de voz utiliza sistemas de IA para imitar la forma de hablar de una persona a partir de muestras de audio. El Banco de España advierte de que puede emplearse para hacerse pasar por familiares, amistades o responsables de una empresa.

La llamada puede presentarse como una emergencia: un accidente, un problema con una cuenta, una supuesta operación fraudulenta o una petición de ayuda inmediata. También puede combinar una voz simulada con datos personales conocidos, un número aparentemente legítimo o instrucciones para transferir dinero, facilitar códigos, abrir enlaces o instalar software.

Señales que justifican detener la conversación

No hay una prueba auditiva universal que permita saber en tiempo real si una voz ha sido clonada. No es prudente basarse solo en el tono, las pausas o posibles defectos del audio. En cambio, conviene tratar la llamada con cautela si concurren una o varias de estas situaciones:

• Se exige actuar de inmediato o se intenta que no hables con nadie antes.
• Se pide una transferencia, datos personales, datos de tarjeta, contraseñas o códigos de verificación.
• La petición es inusual para esa persona o entidad.
• Quien llama da respuestas vagas, evita detalles comprobables o se resiste a que verifiques el asunto por otra vía.
• Te dirige a un enlace, una aplicación, un programa de acceso remoto o un teléfono distinto del que usas habitualmente.

Que la persona que llama conozca tu nombre, tu banco o información sobre tu familia tampoco confirma que sea quien dice ser. Esos datos pueden haberse obtenido por distintas vías y utilizarse para generar confianza.

Qué hacer durante una llamada sospechosa

1. Interrumpe la decisión. No envíes dinero, no facilites datos, no pulses enlaces y no instales aplicaciones o programas mientras sigues en la llamada.
2. No compartas secretos de acceso. No comuniques contraseñas, PIN, códigos de un solo uso, códigos recibidos por SMS o aplicación, credenciales ni datos completos de tarjeta. En particular, un banco no necesita que le dictes una contraseña completa ni una clave temporal para anular una supuesta operación.
3. Cuelga si hay presión o dudas. No es necesario discutir ni demostrar que sospechas de un fraude.
4. Comprueba por tu cuenta. Inicia una nueva comunicación mediante un contacto que ya tengas guardado, la aplicación o la web oficial de la entidad, o un canal oficial localizado de forma independiente.
5. Actúa solo después de confirmar. Si no puedes confirmar la petición fuera de la llamada original, no sigas sus instrucciones.

Cómo verificar una petición de un supuesto familiar

Si una persona con una voz conocida pide ayuda urgente, llama al número habitual que ya tengas guardado. No devuelvas la llamada al número desde el que te han contactado ni uses un teléfono que te dicten durante esa conversación. Si no responde, intenta contactar por otros medios conocidos o con alguien de confianza que pueda confirmar la situación.

Como medida preventiva, algunas familias acuerdan una palabra o pregunta clave para situaciones urgentes. Puede ayudar a detectar una petición incoherente, pero no es un sistema infalible: no reveles la respuesta correcta durante la llamada y sustitúyela si crees que ha podido quedar expuesta.

Si quien llama dice ser tu banco, una empresa o una administración

Cuelga y abre tú mismo la aplicación o la web oficial, o utiliza un teléfono oficial que ya figure en la documentación de la entidad. No uses enlaces, números ni instrucciones proporcionados por la persona que llama. Comprueba directamente si existe la incidencia, operación o trámite que te han comunicado.

Esta precaución es especialmente importante cuando la llamada pide códigos de seguridad, datos bancarios, una transferencia, instalar software o permitir acceso al dispositivo. Para llamadas que aparentan proceder de una entidad financiera, consulta también esta guía sobre cómo comprobar una falsa llamada de banco.

Por qué el identificador de llamada tampoco prueba la identidad

El spoofing es la falsificación del identificador que aparece en pantalla. Puede hacer que una llamada muestre un número que coincide con el de un banco u otra entidad, aunque la comunicación no proceda de allí. Por eso, el número mostrado no debe ser el único método de autenticación.

España cuenta con medidas regulatorias contra determinadas suplantaciones por llamadas y SMS, previstas en la Orden TDF/149/2025 y sus modificaciones. Estas medidas buscan reducir ciertos vectores de fraude, pero no convierten cada número que llegue al teléfono en una prueba de identidad. La verificación independiente sigue siendo necesaria ante una petición inesperada.

Si ya has dado datos o realizado una operación

1. Contacta con el banco por un canal oficial si hay información bancaria comprometida, una transferencia realizada o movimientos que no reconoces. Solicita las actuaciones que correspondan, incluido el bloqueo de tarjetas u operaciones cuando proceda.
2. Cambia las contraseñas afectadas y revisa la seguridad de las cuentas. Si instalaste software a petición de quien llamó, analiza el dispositivo antes de volver a utilizarlo para gestiones sensibles.
3. Conserva las pruebas disponibles: número mostrado, fecha y hora, mensajes, capturas, instrucciones recibidas, justificantes y datos de la cuenta de destino. No difundas ni reenvíes códigos o credenciales.
4. Pide orientación y denuncia si procede. INCIBE atiende en el 017 y recomienda acudir a las Fuerzas y Cuerpos de Seguridad cuando ha habido fraude, perjuicio económico, acceso a cuentas o entrega de datos relevantes.

Si el problema afecta específicamente a información financiera, puedes ampliar los pasos en qué hacer si has dado datos bancarios o códigos por teléfono. Para otros datos identificativos, consulta qué hacer si has dado datos personales en una llamada sospechosa.