Estafas con deepfakes y clonación de voz: defensas para el hogar

Trate la identidad y las instrucciones como preguntas separadas

Una voz que suena como la de su hijo es evidencia de que alguien puede producir esa voz; no es prueba de que su hijo hizo la llamada. La misma regla se aplica a un rostro conocido en una ventana de video, un mensaje de una cuenta conocida, o un identificador de llamadas que muestra el número de un familiar. La FTC advierte que los estafadores de emergencias familiares pueden usar un breve clip de audio en línea y software de clonación de voz, mientras que el identificador de llamadas puede ser falsificado. La tarea defensiva, por tanto, no es convertirse en un experto detector de deepfakes. Es verificar a la persona y la acción solicitada a través de una vía independiente.

Cómo se desarrolla una suplantación de emergencia

Los detalles varían, pero el patrón de presión es reconocible. Una persona que llama o envía mensajes afirma que un familiar ha sido arrestado, secuestrado, herido, varado, o puesto de alguna otra forma en peligro urgente. Una segunda persona puede hacerse pasar por abogado, oficial de policía, médico, mensajero o empleado del gobierno. A la víctima se le dice que mantenga el asunto en secreto y que pague de inmediato por transferencia bancaria, criptomoneda, aplicación de pago, efectivo o tarjeta de regalo. Esos métodos resultan atractivos porque la recuperación puede ser difícil.

El delincuente puede conocer detalles reales obtenidos de publicaciones públicas, datos filtrados, servicios de búsqueda de personas, o una conversación previa. Ese conocimiento puede hacer que una historia falsa se sienta autenticada. Una voz sintética o una imagen alterada añaden fuerza emocional, pero muchas estafas tienen éxito mediante actuación, falsificación del identificador de llamadas, o el simple compromiso de una cuenta. Diseñe un protocolo que funcione contra todas ellas.

No confíe en una afirmación fija sobre exactamente cuántos segundos de audio necesita cada sistema de clonación. La duración de muestra requerida y la calidad del resultado varían según la herramienta, el hablante, el ruido, el idioma y el realismo deseado. La conclusión precisa para el hogar es más simple: el audio público puede bastar para sustentar una suplantación, y una voz convincente ya no debería aceptarse como prueba de identidad.

Construya una frase de verificación, pero no la convierta en una llave maestra

El FBI recomienda a las familias crear una palabra o frase secreta. Elíjala en persona cuando sea posible. No debe ser el nombre de una mascota, un cumpleaños, la mascota escolar, un equipo favorito, u otro dato que aparezca en línea. Los niños y los adultos deben poder recordarla bajo estrés sin guardarla bajo una etiqueta obvia en una nota compartida en la nube.

Use la frase como una señal más, no como autoridad para liberar dinero o credenciales. Puede ser escuchada por accidente, revelada sin querer, obtenida mediante phishing en un contacto anterior, o encontrada en un dispositivo comprometido. Nunca la revele a quien llama y dice: “Dime la palabra para que pueda demostrar que esto es real”. La persona que afirma tener la identidad debe proporcionarla en respuesta a una pregunta neutral.

Agregue una segunda capa: termine la llamada y contacte al familiar por un número o aplicación ya guardados antes del incidente. Si no puede contactar al familiar, llame a alguien físicamente cerca de esa persona —un cónyuge, compañero de casa, la escuela, el trabajo, un cuidador o un vecino— usando información de contacto almacenada de forma independiente. Para una solicitud financiera grande o inusual, exija la confirmación de un segundo adulto. La frase responde “¿podría ser nuestra persona?”; la devolución de llamada y la segunda revisión responden “¿deberíamos realizar esta acción?”.

Los hogares con niños pequeños pueden usar una regla simple: un adulto que pide que alguien más recoja al niño debe conocer la palabra de recogida, pero las políticas de la escuela y el cuidador siguen teniendo la última palabra. Rote la palabra después de usarla, ante una sospecha de divulgación, o tras un cambio en el hogar. No le pida a un niño asustado que investigue a quien llama con una amenaza.

Use un guion tranquilo bajo presión

El estrés estrecha la atención. Coloque este guion cerca del teléfono de casa y en el plan familiar impreso:

1. Pause. “No hago pagos de emergencia durante una llamada entrante.”
2. Pregunte. Solicite la frase de verificación sin ofrecer pistas. Haga una pregunta personal solo si la respuesta no es pública, pero no confíe únicamente en eso.
3. Termine el contacto. No presione enlaces, no transfiera la llamada, ni marque un número que le proporcione quien llama.
4. Verifique de forma independiente. Llame a la persona y a contactos cercanos usando información ya conocida.
5. Escale con seguridad. Si el peligro podría ser real, contacte a los servicios de emergencia o a la institución correspondiente directamente.
6. Documente y denuncie. Guarde el número, los mensajes, las instrucciones de pago y la hora, sin continuar el intercambio.

Un estafador puede prohibir colgar, afirmar que la policía está monitoreando la línea, amenazar con consecuencias por contactar a la familia, o reproducir llanto y ruido de fondo. El secreto sumado a la urgencia es una razón para detenerse, no para cumplir. La FTC identifica ambos como tácticas recurrentes en las estafas de emergencia.

No haga de la detección su defensa principal

Artefactos como parpadeo extraño, errores de sincronización labial, detalles distorsionados, cadencia poco natural, o iluminación inconsistente pueden generar sospecha. No son una prueba de descarte confiable. Un video real puede estar comprimido o retrasado; los medios sintéticos pueden ser limpios. Quien llama en vivo también puede reproducir una grabación robada real, o mostrar brevemente medios auténticos. “Se veía normal” nunca debería anular la regla de verificación independiente.

Pruebe una solicitud física en vivo durante una videollamada sospechosa —girar la cabeza, moverse a otra habitación, mostrar un gesto de mano cambiante— pero trate el resultado solo como evidencia adicional. Una configuración sofisticada o una persona real coaccionada pueden pasar la prueba. Termine la sesión e inicie usted mismo el contacto.

Reduzca el material de origen útil sin culpar a las víctimas

Revise qué cuentas exponen grabaciones largas y claras de familiares, nombres de relaciones, escuelas, ubicaciones rutinarias, viajes y listas de contactos. Restrinja las audiencias cuando sea práctico, elimine campos de perfil público innecesarios, y pida a los familiares que no publiquen las voces y ubicaciones de los niños sin consentimiento. Cambie los saludos públicos del buzón de voz que revelen un nombre completo o una muestra de voz extensa y limpia.

Esto reduce el material conveniente; no garantiza la seguridad. Otras personas pueden ya tener grabaciones, y la información personal puede provenir de filtraciones o registros públicos. Una persona atacada a pesar de una privacidad cuidadosa no causó el delito. Dedique más esfuerzo a las reglas de transacción y a la recuperación que a intentar borrar cada imagen de internet.

Casos especiales: secuestro, autoridad y solicitudes empresariales

En una llamada de secuestro virtual, no viaje para encontrarse con quien llama ni envíe dinero mientras permanece en la línea. Use en silencio otro dispositivo, si está disponible, para contactar a la supuesta víctima y a las autoridades. El FBI ha documentado a delincuentes que usan imágenes públicas alteradas como falsa prueba de vida, y recomienda una palabra clave, contacto independiente, y preservar las comunicaciones e información de pago. Su alerta sobre secuestro virtual ofrece orientación de denuncia vigente.

Un número de placa, un número de caso, o un documento de apariencia oficial no son verificación. Encuentre usted mismo el número público de la agencia y pida que lo comuniquen. Los tribunales, la policía, las agencias tributarias y las empresas de servicios públicos no deben ser confiables solo porque una llamada entrante diga que son ellos. Nunca instale software de acceso remoto por instrucción de quien llama sin haberlo solicitado.

Para una solicitud que parezca venir de un empleador o negocio familiar, verifique de forma independiente cualquier instrucción bancaria nueva. Trate un beneficiario cambiado, un nuevo destino de pago, o una solicitud de saltarse el proceso de aprobación habitual como una condición de alto. Use el número conocido del proveedor o colega, no el que aparece en la firma del mensaje sospechoso.

Si se envió dinero o información

Para la secuencia completa de recuperación de la primera hora, vea Qué hacer después de una estafa habilitada por IA. La velocidad importa, pero ningún resultado de recuperación está garantizado. Contacte de inmediato al banco, al emisor de la tarjeta, a la aplicación de pago, al servicio de transferencias, al emisor de la tarjeta de regalo, o a la plataforma de criptomonedas. Diga que la transacción resultó de un fraude y pregunte si puede detenerse, recuperarse, congelarse o revertirse. La página de recuperación de la FTC según el tipo de pago explica a quién contactar. Si se reveló información de inicio de sesión o de identidad, cambie las credenciales afectadas desde un dispositivo confiable y siga un plan de recuperación de IdentityTheft.gov.

Denuncie el intento en ReportFraud.ftc.gov y, para delitos habilitados por internet o pérdidas sustanciales, en IC3.gov. Las autoridades locales también pueden ser apropiadas. Conserve el audio original, el correo de voz, los encabezados de correo electrónico, los registros de chat, las direcciones de billetera, los números de cuenta, los recibos y los identificadores de transacción. No edite la única copia.

Tenga cuidado con una segunda oleada: los delincuentes pueden contactar a las víctimas haciéndose pasar por investigadores, abogados o especialistas en recuperación de activos. Un pago por adelantado, una exigencia de criptomoneda, una solicitud de código de recuperación, o una promesa de recuperación garantizada son otra señal de alerta.

Ensaye sin asustar a las personas

Realice un simulacro de cinco minutos dos veces al año: un adulto hace una solicitud urgente simulada, quien la recibe hace una pausa, solicita la frase, cuelga, y llama a un número conocido. Incluya a los abuelos, cuidadores y adolescentes que podrían recibir el primer contacto. Explique que el protocolo no es desconfianza hacia la familia; es cómo la familia se protege mutuamente cuando las voces, las imágenes, los números y las cuentas pueden imitarse.

La mejor medida de preparación no es si todos pueden identificar un deepfake. Es si alguien en el hogar puede frenar una solicitud urgente, verificarla de forma independiente, y negarse a realizar una acción irreversible hasta que otra persona de confianza la confirme.