Una voz ya no es prueba de identidad
Durante casi toda la historia, oír la voz de alguien por teléfono era una forma razonable de confirmar que estabas hablando con esa persona. Ya no lo es. Las herramientas de IA disponibles comercialmente pueden clonar una voz a partir de apenas tres a cinco segundos de audio, y ese audio de origen no tiene que salir de ningún sitio privado. Un mensaje de contestador, la grabación de un webinar, un vídeo publicado en la web de una empresa: cualquiera de esas cosas basta.
Por qué esto cambia el manual del fraude en transferencias
El compromiso del correo empresarial siempre se ha apoyado en que un mensaje escrito parezca legítimo. El fraude por voz deepfake añade un segundo canal: una llamada que suena exactamente como la persona a la que se está suplantando, usada para confirmar las instrucciones que acababan de llegar por correo. Un comprador o un coordinador de cierre cauteloso que sepa que hay que confirmar por teléfono unas instrucciones "actualizadas" también puede caer si la propia llamada es la falsa.
Cómo es un ataque real
El patrón se repite en los casos denunciados: las instrucciones llegan por correo haciendo referencia a datos reales de la operación, después llega una llamada de lo que suena a la persona correcta confirmando el cambio, y la petición se completa bajo presión de tiempo. En un caso muy comentado, un empleado de finanzas autorizó más de una docena de transferencias tras una videollamada en la que todos los demás participantes, incluido un aparente alto ejecutivo, estaban generados por IA. El fraude no se detectó hasta que se hizo una verificación aparte, cuando el dinero ya se había ido.
Por qué "¿esto suena bien?" ya no es una prueba segura
La formación clásica contra el fraude en transferencias se centraba en detectar detalles descuadrados: un tono raro, un giro extraño, un correo con la dirección casi correcta. Esas señales están desapareciendo. Una voz clonada puede tener la cadencia adecuada, la familiaridad adecuada e incluso la urgencia emocional adecuada, porque se ha construido a partir de una grabación real de la persona real. Comprobar si una llamada suena auténtica ya no es una prueba significativa.
La verificación tiene que ocurrir fuera del canal comprometido
La única defensa que aguanta frente a la clonación de voz es verificar identidad y datos de cuenta a través de un canal al que el atacante no tenga acceso, independiente de la cadena de correos e independiente de cualquier número de teléfono que aparezca en el mensaje sospechoso. Esa es la premisa de la capa de identidad de WireVault: confirmar quién es alguien de verdad, biométricamente, en lugar de fiarse de cómo suena o de cómo escribe.
- ¿Cuánto audio hace falta para clonar una voz de forma convincente?
- Las herramientas de IA actuales pueden producir un clon usable a partir de tan solo tres a cinco segundos de audio de origen, a menudo tomado de material que ya es público.
- ¿Realmente ya no se puede confiar en una llamada telefónica para verificar?
- No se puede confiar en una llamada a un número que aparece en un mensaje sospechoso. Una llamada a un número que ya tenías en el expediente, combinada con verificación de identidad aparte, sí sigue funcionando.