La clonación de voz por inteligencia artificial ha alcanzado un nivel de realismo que hace apenas unos años parecía ciencia ficción. Hoy, cualquier persona con unos segundos de audio y acceso a herramientas de código abierto puede generar una copia convincente de la voz de un ser querido. Un informe de Hiya publicado en marzo de 2026 revela que uno de cada cuatro estadounidenses ha recibido una llamada con voz deepfake en los últimos doce meses. La misma encuesta muestra que un 24% adicional de los encuestados admite no ser capaz de distinguir entre una voz real y una sintética. Sin embargo, frente a esta amenaza creciente, existe una herramienta de defensa sorprendentemente rudimentaria: una palabra de seguridad acordada en familia. Este mecanismo, simple pero eficaz, está demostrando ser un muro infranqueable para los estafadores que intentan explotar la tecnología deepfake en timos como el falso secuestro virtual.
El fenómeno no es marginal. Según el mismo estudio de Hiya, el doble de estadounidenses opina que los estafadores están ganando la partida a los operadores de telefonía móvil en la lucha contra las llamadas con voz clonada. La percepción pública refleja una realidad incómoda: las defensas tecnológicas, aunque avanzan, corren detrás de una industria fraudulenta que se adapta con rapidez. Pero la partida no está perdida. La tecnología deepfake puede ser impresionante, pero la vulnerabilidad humana que explota —la confianza en la voz de un familiar— puede contrarrestarse con un protocolo igualmente humano: una palabra o frase secreta que solo el círculo íntimo conoce.
Cómo operan los estafadores con la clonación de voz por IA
La mayoría de las personas asume que reconocería sin problemas la voz de un hijo, un padre o una pareja. Esa confianza es precisamente la que los delincuentes buscan quebrantar. La tecnología de clonación avanza a un ritmo vertiginoso: un estafador solo necesita unos pocos segundos de audio para generar una imitación convincente. ¿De dónde obtienen ese material? Con frecuencia, de publicaciones en redes sociales cuyas opciones de privacidad no están bien configuradas. Un vídeo de cumpleaños, una entrevista laboral subida a LinkedIn o un mensaje de voz compartido en un grupo de WhatsApp pueden ser suficientes.
Una vez que el estafador dispone de la voz clonada, el patrón del timo suele ser siempre el mismo. La modalidad más extendida es la llamada en frío a un familiar, durante la cual se reproduce el audio deepfake para hacer creer a la víctima que su ser querido ha sido secuestrado. Estos secuestros virtuales ganan en credibilidad cuando el estafador incorpora datos personales obtenidos de las mismas cuentas de redes sociales. No es raro que los delincuentes monitoricen los perfiles de la víctima o de sus familiares para elegir el momento más oportuno para atacar. La situación se vuelve particularmente peligrosa si la persona supuestamente secuestrada se encuentra en el extranjero, ya que es más difícil que la familia pueda verificar su paradero de inmediato.
La estrategia de los fraudes se basa en mantener a los familiares en un estado de confusión y angustia. Para lograrlo, los estafadores utilizan la voz clonada solo durante breves segundos, la mezclan con sonidos de llanto y, a menudo, introducen ruido de fondo para que la llamada suene caótica y verosímil. La idea es impedir que la víctima piense con claridad y la empujar a tomar una decisión impulsiva, como transferir un rescate de forma inmediata.
Qué es una palabra de seguridad y por qué funciona contra los deepfakes
En este contexto, la palabra de seguridad se presenta como un antídoto de una eficacia difícil de discutir. Se trata de una palabra o frase fácil de recordar, acordada previamente entre los miembros de una familia. El protocolo es sencillo: si un familiar recibe una llamada angustiosa en la que alguien que suena como un ser querido pide ayuda, dinero o información, puede solicitar la palabra de seguridad. El estafador, por definición, no tiene forma de conocerla, lo que desenmascara el engaño al instante.
La efectividad del método reside en su simplicidad y en el hecho de que la información secreta no está almacenada en ningún servidor, base de datos ni registro digital al que un ciberdelincuente pueda acceder. No se puede interceptar, no se puede hackear y no se puede adivinar mediante técnicas de inteligencia artificial si se elige correctamente. La palabra de seguridad actúa como un cortafuegos social que la tecnología deepfake, por sí sola, no puede sortear.
Eso sí, su elección debe hacerse con cuidado. Debe ser una palabra o frase inusual, pero que todos los miembros del círculo familiar puedan recordar sin esfuerzo. Es fundamental que no sea algo que pueda deducirse a partir de la información disponible en redes sociales o en otras fuentes de inteligencia de fuente abierta (OSINT, por sus siglas en inglés). Esto descarta, de entrada, opciones como el nombre del perro de la familia, el equipo deportivo favorito, el apodo del colegio o la dirección de la casa. Cuanto más aleatoria y carente de significado público sea la palabra, más segura será.
Cómo introducir la palabra de seguridad sin alarmar a la familia
Plantear la necesidad de una palabra de seguridad en el seno familiar puede ser un asunto delicado. Nadie quiere infundir miedo en sus seres queridos, pero al mismo tiempo es una responsabilidad compartida asegurarse de que están preparados para un tipo de estafa que, según los datos, es cada vez más frecuente. La clave está en el enfoque y en el tono con el que se aborda la conversación.
Una estrategia útil es comenzar explicando que la probabilidad de tener que usar la palabra de seguridad es muy baja. No se trata de vivir con paranoia, sino de tener un seguro. Se puede explicar que, de la misma manera que se tiene un plan de evacuación en caso de incendio sin esperar que la casa se queme, tener una palabra de seguridad es una precaución razonable en un mundo donde la tecnología deepfake avanza más rápido que las defensas.
Puede ser útil plantear escenarios concretos. Por ejemplo: «Si algún día recibes una llamada de alguien que suena como yo, que está llorando y dice que está en peligro y necesita dinero, no cuelgues, pero tampoco hagas nada. Pídele la palabra de seguridad. Si no la dice, es una estafa. Cuelga y llámame a mi número de siempre para confirmar». Este tipo de ejemplos concretos ayudan a internalizar el protocolo sin generar una sensación de amenaza inminente.
Es recomendable involucrar a todos los miembros de la familia, incluidos los adolescentes y los mayores, ya que ambos grupos son especialmente vulnerables: los primeros por su exposición digital y los segundos por su menor familiaridad con este tipo de fraudes. La palabra de seguridad debe ser conocida por todos y, si es necesario, puede adaptarse para que los más pequeños tengan una versión simplificada.
Qué hacer si alguien olvida la palabra de seguridad
El olvido es humano, y en una situación de estrés extremo como una llamada de secuestro simulado, es probable que incluso la palabra más familiar se borre de la mente. Por eso, es esencial contar con un plan de respaldo. El procedimiento más eficaz y sencillo es colgar la llamada inmediatamente y devolver la llamada al número de teléfono que se tiene guardado en la agenda para la persona que supuestamente está en peligro.
Este gesto simple cortocircuita la estrategia del estafador. Si la persona está bien, contestará con normalidad y la familia sabrá que todo es un engaño. Si no contesta, al menos se confirma que hay un problema real y se puede actuar en consecuencia, pero contactando con las autoridades en lugar de con un estafador anónimo. Otra alternativa es enviar un mensaje de texto o un audio a través del grupo de mensajería familiar ya existente. La clave es utilizar siempre un canal de comunicación que no haya sido iniciado por la llamada sospechosa.
Si el familiar que recibe la llamada no puede recordar la palabra de seguridad y no se atreve a colgar, puede intentar hacer una pregunta que solo un miembro auténtico de la familia podría responder. De nuevo, esta pregunta debe basarse en información que no sea investigable en línea: algo sobre una conversación privada reciente, un detalle de una comida familiar o el nombre de un profesor del colegio que nunca se haya mencionado en redes sociales. Como regla general, cualquier familiar debe saber que jamás debe enviar dinero, compartir códigos de verificación o proporcionar información personal si algo en la llamada le parece fuera de lugar.
Pasos a seguir si usted o un familiar ha sido víctima de un timo deepfake
La tecnología deepfake es cada vez más convincente y, a pesar de todas las precauciones, es posible caer en la trampa. En ese caso, lo primero que hay que hacer es no avergonzarse. Los estafadores invierten tiempo y recursos en perfeccionar sus métodos, y las víctimas no tienen por qué sentirse culpables. Lo importante es actuar con rapidez y método.
El primer paso es interrumpir inmediatamente toda comunicación con el estafador. No se debe negociar, amenazar ni intentar razonar. Una vez cortada la comunicación, el siguiente paso es contactar con el banco o la entidad financiera lo antes posible. Explicar la situación y preguntar si existe algún recurso para bloquear la transacción o recuperar los fondos defraudados. En muchos casos, la rapidez en la notificación es determinante para que la entidad pueda actuar.
Es fundamental cambiar cualquier contraseña que pudiera haber sido revelada durante la interacción con el estafador. Este es también un buen momento para activar la autenticación en dos factores (2FA) en todas las cuentas importantes y para actualizar las contraseñas, asegurándose de que sean únicas, largas y complejas para cada servicio. Un gestor de contraseñas puede ser de gran ayuda en este proceso.
La preservación de pruebas es otro paso clave. Se deben guardar todos los registros de la llamada: el número de teléfono del estafador, las grabaciones de audio que se hayan podido conservar, las capturas de pantalla de los mensajes y cualquier otro elemento que pueda servir como evidencia. Con toda esta documentación, se debe presentar una denuncia ante las autoridades competentes. En Estados Unidos, por ejemplo, se puede reportar ante la Federal Trade Commission (FTC) o el centro de quejas de ciberdelitos del FBI (IC3). En España, la denuncia se presenta ante la Policía Nacional, la Guardia Civil o la Brigada de Investigación Tecnológica. En América Latina, cada país tiene sus propios canales, como la Fiscalía Especializada en Delitos Informáticos en Chile o la Unidad de Delitos Informáticos de la Policía Federal en Argentina.
Hay una advertencia adicional que merece la pena destacar: los estafadores no tienen escrúpulos. Es muy posible que, tras el primer timo, la víctima reciba una segunda llamada o un mensaje de alguien que se ofrece a recuperar el dinero perdido a cambio de una tarifa, o a asegurar las cuentas comprometidas. Es una mentira. Pagar a estos estafadores secundarios solo agravará las pérdidas. La recuperación de fondos en casos de fraude debe hacerse siempre a través de los cauces legales y bancarios, nunca a través de terceros no verificados.
Preguntas frecuentes sobre deepfakes y palabras de seguridad
¿Cómo pueden los estafadores obtener mi voz?
Los delincuentes solo necesitan unos pocos segundos de audio limpio para crear un clon de voz convincente. Esta muestra puede obtenerse de vídeos publicados en redes sociales, de entrevistas o presentaciones en el ámbito laboral que hayan sido subidas a internet, o incluso de mensajes de voz compartidos en aplicaciones de mensajería. Limitar los seguidores en redes sociales a personas conocidas y revisar periódicamente la configuración de privacidad reduce significativamente el riesgo de que la voz sea capturada y utilizada con fines fraudulentos.
¿Una palabra de seguridad realmente detiene los deepfakes?
Ningún método es infalible al cien por cien, pero una palabra de seguridad es una herramienta gratuita, sencilla y extremadamente eficaz para desenmascarar fraudes de audio deepfake, especialmente en casos de secuestro virtual o falso rescate. La palabra de seguridad no impide que se cree el deepfake, pero sí reduce drásticamente la tasa de éxito del timo que viene después. El estafador se queda sin argumentos en el momento en que la víctima solicita la palabra.
¿Qué pasa si los estafadores adivinan nuestra palabra de seguridad?
Es una posibilidad teórica, pero altamente improbable si la palabra se elige correctamente. Si se trata de una palabra o frase aleatoria, inusual y sin relación con la información pública disponible sobre la familia, las probabilidades de que un estafador la acierte son prácticamente nulas. Dicho esto, disponer de un plan de respaldo —como colgar y devolver la llamada al número de siempre— es una garantía adicional que cubre cualquier contingencia.
¿Qué debo hacer si ya he sido estafado?
Lo primero es detener toda comunicación con los estafadores. A continuación, contactar con el banco para notificar el fraude y explorar las opciones de recuperación. Conservar todas las pruebas posibles (números de teléfono, grabaciones, capturas de pantalla). Cambiar las contraseñas de todas las cuentas relevantes, activar la autenticación en dos factores y, finalmente, presentar una denuncia ante las autoridades competentes en materia de ciberdelincuencia.
La clonación de voz por inteligencia artificial no es una amenaza lejana, sino una realidad que ya afecta a millones de personas. La palabra de seguridad no resuelve el problema técnico de fondo, pero ofrece a las familias un mecanismo de defensa inmediato, comprensible y, sobre todo, controlable. En un entorno donde la tecnología deepfake avanza a un ritmo que supera la capacidad de respuesta de los operadores de telecomunicaciones y las fuerzas de seguridad, la responsabilidad de protegerse recae cada vez más en la prevención ciudadana. Acordar una palabra de seguridad con la familia no es una excentricidad, sino una medida de sentido común para el mundo hiperconectado y, en ocasiones, engañoso en el que ya vivimos.
