Vishing con voz clonada: por qué reconocer a quien llama ya no prueba nada
Tres segundos de audio bastan para clonar una voz. Eso convirtió al vishing en uno de los principales vectores de entrada, y dejó obsoleto el consejo de 'desconfía si la voz suena rara'.
El vishing — phishing por teléfono — llevaba años siendo la versión menos sofisticada del fraude: alguien se hacía pasar por tu banco y confiaba en que los nervios hicieran el resto. El consejo clásico era escuchar con atención, porque el impostor no sonaba como quien decía ser.
Ese consejo ya no sirve. Los modelos generativos de audio necesitan alrededor de tres segundos de voz para reproducirla con alta fidelidad, y las herramientas bajaron de precio hasta ser gratuitas. Reconocer la voz de quien llama dejó de ser evidencia de nada.
El cambio es de fondo, no de grado
Antes el vishing fallaba cuando la víctima prestaba atención. Ahora prestar atención no ayuda: la voz es correcta, el nombre es correcto, y el contexto también, porque se saca de tus redes.
Qué tan lejos llegó esto
En 2024, una multinacional perdió 25 millones de dólares tras una videollamada en la que varios de los supuestos participantes eran recreaciones sintéticas de sus directivos. No fue una llamada dudosa que alguien atendió con prisa: fue una reunión que parecía normal.
En agosto de 2026, Bloomberg reportó intentos de intrusión coordinados contra grandes gestoras de Wall Street usando llamadas con voces clonadas, buscando credenciales y acceso a sistemas internos.
Y el vector creció lo suficiente para desplazar parcialmente al correo como mecanismo de acceso inicial. Eso es lo que más debería llamar la atención de una empresa: el teléfono volvió a ser una puerta de entrada.
De dónde sale el audio
No hace falta que te graben. Basta con material que ya es público:
- Una historia en redes sociales donde hablas
- Un video corporativo o una charla grabada
- Un podcast, un webinar, una entrevista
- El saludo de tu buzón de voz
- Una llamada breve en la que el estafador solo necesita que digas "¿aló?" un par de veces
Mientras más expuesta está la voz de una persona, más fácil es clonarla — lo que pone a gerentes, socios y vocerías en el primer lugar de la lista, precisamente porque son quienes autorizan cosas.
Los tres guiones que funcionan
1. La emergencia familiar
Una llamada con la voz de un hijo, un hermano o un padre pidiendo dinero con urgencia. Funciona porque la urgencia apaga la verificación, y porque la voz elimina la duda que normalmente frenaría.
2. El fraude del CEO
Una llamada o videollamada de un directivo instruyendo una transferencia fuera del procedimiento habitual, casi siempre con una razón que justifica saltarse el proceso: una operación confidencial, un cierre que no puede esperar, un proveedor que hay que pagar hoy.
3. El soporte técnico o el banco
La versión clásica, pero ahora con la voz del ejecutivo que efectivamente te atiende, y con datos reales tuyos obtenidos de una filtración previa.
Lo que sí funciona
Todo lo que sirve tiene una cosa en común: no depende de reconocer la voz.
Una palabra clave compartida. Acuerda con tu familia y con tu equipo una frase que solo ustedes conozcan y que no esté publicada en ninguna parte. Si la llamada es urgente y pide dinero o accesos, se pide la frase. Es la contramedida más simple y la más efectiva, porque un modelo puede clonar la voz pero no sabe lo que nunca se escribió.
Cortar y devolver el llamado. No al número que llamó: al número que tú ya tenías guardado. Un estafador controla el canal que abrió, no el que abres tú.
Un procedimiento de pagos que no se pueda saltar por teléfono. Si una transferencia sobre cierto monto requiere dos aprobaciones por un canal distinto al telefónico, el fraude del CEO deja de funcionar — y esa regla no se negocia por urgente que suene la llamada. Vale la pena escribirla antes de necesitarla, justamente porque el ataque llega diseñado para que parezca razonable romperla.
Verificar por otro canal. Un mensaje al número conocido, un audio interno, una pregunta cuya respuesta no esté en internet.
Para una empresa, en concreto
Tres cosas que se pueden dejar listas esta semana:
- Definir quién puede autorizar qué, y por qué canal. Si no está escrito, cada llamada urgente es una decisión improvisada.
- Decirle al equipo que la política existe. La defensa falla cuando quien recibe la llamada no sabe que tiene permiso para decir "te devuelvo el llamado".
- Tratar la voz como un dato público. Si alguien de tu organización tiene voz grabada en internet — y casi todos la tienen —, asume que es clonable y diseña los procesos para que eso no importe.
En resumen
El vishing dejó de ser un ataque a la atención y pasó a ser un ataque a la confianza. La defensa ya no es escuchar mejor: es tener procedimientos que no dependan de quién parece estar hablando.
Este artículo se publicó originalmente en marzo de 2024 y se reescribió en septiembre de 2026, porque la clonación de voz cambió el ataque lo suficiente para que el texto anterior diera consejos que ya no protegen.
¿Te gustó este artículo?
Descubre cómo podemos ayudarte a implementar estas soluciones en tu negocio.