Estafa del CEO con deepfake de voz

Suena el teléfono en mitad de una reunión. El número no lo conoces, pero la voz sí. «Estoy en el coche, no puedo hablar mucho. El anticipo tiene que salir hoy, los datos los tienes en el correo. Y esto no lo comentes todavía con nadie, la operación no está anunciada.» Es el timbre de tu director general. El ritmo encaja. Hasta las frases cortas suenan como las suyas.

Salvo que el director general no sabe nada de esto.

Así funciona hoy una estafa del CEO —INCIBE la llama también fraude del CEO— cuando se apoya en un deepfake de voz. El canal tiene su propio nombre: vishing, es decir, phishing entregado por teléfono.

No es una historia de tecnología. Es una historia de confianza, de estrés y de decisiones rápidas. Quien llama no quiere que pienses. Quiere que reacciones.

Nada de esto justifica la paranoia. Justifica una regla: cuando hay dinero, accesos, datos personales o información sensible de por medio, una voz no basta. Hace falta comprobar. El resto del artículo explica cómo, y cómo saber si tu comprobación funciona de verdad.

Para el contexto amplio de lo que la IA ha cambiado en el lado atacante, lee la IA como herramienta de ataque; para su versión escrita, qué es el phishing con IA y cómo detectarlo.

Qué se esconde bajo el nombre de estafa del CEO

La familia es más ancha de lo que sugiere el nombre. Bajo la etiqueta «estafa del CEO» conviven en la práctica cuatro montajes con la misma mecánica:

• El directivo ilocalizable. Una transferencia excepcional, urgente y confidencial que pide alguien a quien no se le dice que no.
• El falso proveedor. Un cambio de cuenta bancaria comunicado sobre una factura en curso. Es la variante más frecuente y la más silenciosa: nada es urgente, nada es secreto, y el desfase no aparece hasta la reclamación del impago.
• El falso soporte informático. Una llamada del «departamento de sistemas» que pide validar una notificación de doble factor o instalar una herramienta de acceso remoto.
• El falso asesor externo. Un abogado, un auditor de cuentas o un gestor de banca de empresas que acompaña una operación de la que no puedes hablar con nadie.

Los tres ingredientes se repiten siempre: una identidad que la víctima respeta, una urgencia y una consigna de confidencialidad que aísla a quien recibe la llamada de sus compañeros. La clonación de voz no cambia ese guion. Le quita su última debilidad, que era la necesidad de escribir.

Esto es una técnica de ingeniería social como cualquier otra, y se prepara como cualquier otra: recopilando información pública sobre la organización antes del primer contacto.

Hasta dónde ha llegado la clonación de voz

Hace dos años, producir una voz sintética convincente exigía decenas de minutos de grabación limpia y un tiempo de cálculo nada trivial. Ya no. Los modelos actuales aprenden el timbre de una persona a partir de una muestra corta y lo superponen sobre un texto escrito o sobre la voz de quien habla en directo. La conversión va en flujo, con una latencia lo bastante baja como para sostener una conversación.

El material de partida casi nunca es difícil de encontrar:

• un pódcast o un webinar en el que ha participado alguien de dirección,
• un vídeo corporativo o un mensaje de felicitación publicado en la web,
• una intervención grabada en una feria del sector,
• una entrevista en prensa especializada,
• la locución de bienvenida de la centralita o un mensaje del buzón de voz,
• un vídeo breve publicado en una red social.

Por eso la huella digital es un asunto de seguridad operativa y no de comunicación. Las mismas fuentes públicas sirven para escribir el pretexto —quién firma los pagos, quién está de viaje, qué proveedor acaba de renovar contrato— y para fabricar la voz que lo va a sostener. Es exactamente el trabajo previo que describimos en OSINT e IA: cómo los atacantes usan la información pública.

El riesgo, por tanto, no se limita a las personas conocidas. Una dirección financiera, la gerencia de una pyme, un responsable de compras, un despacho de abogados, una asesoría: cualquiera cuya voz esté accesible en internet y cuya autoridad dispare pagos es material aprovechable.

Lo que estos modelos todavía hacen mal

Quedan defectos audibles: un retardo antes de las respuestas, una entonación que no encaja con la emoción anunciada, una respiración que no está, cifras mal articuladas, una gestión torpe de las interrupciones. Una calidad de llamada deliberadamente mala sirve muchas veces para tapar todo eso.

Conviene ser claro sobre lo que valen esas pistas: se reducen con cada generación de modelo y desaparecen del todo en cuanto la persona está nerviosa. Una defensa que descansa en el oído de tu equipo tiene fecha de caducidad. Una defensa que descansa en un procedimiento, no.

Un detalle práctico que se pasa por alto: el número que aparece en la pantalla no es una prueba de identidad. Se falsifica. Desde 2025, en aplicación de las medidas antisuplantación aprobadas por la CNMC, los operadores españoles bloquean llamadas que exhiben numeración española no asignada y llamadas llegadas del extranjero que muestran un móvil español. Es una mejora real y ha bajado el ruido, pero no es un control en el que apoyarte: no alcanza a la numeración extranjera ni a una línea española legítimamente contratada por quien te llama.

Qué busca quien llama

El vishing es muy anterior a la IA generativa. Los objetivos no se han movido:

• disparar una transferencia, un anticipo o una regularización,
• hacer que se modifique la cuenta bancaria de un proveedor,
• obtener un código recibido por SMS o la validación de una notificación de doble factor,
• conseguir que se instale una herramienta de acceso remoto,
• obtener una contraseña o el restablecimiento de un acceso,
• hacer que se abra un enlace enviado en paralelo por SMS,
• recoger información interna que hará más creíble la siguiente llamada.

Este último punto merece un subrayado. Muchas llamadas no piden nada: escuchan. Una llamada «inocente» a la centralita para confirmar un nombre, un departamento o unas fechas de vacaciones es a menudo el primer paso de una secuencia que termina tres días después con una orden de pago.

Los escenarios que más repetimos

Sobre el último escenario: hay casos públicos de empleados que ejecutaron transferencias muy altas después de una videollamada en la que varios «directivos» eran sintéticos. La conclusión operativa es la misma que en el teléfono. Una reunión con imagen no es un canal de verificación: es un canal de convicción.

Las señales de alerta

Las señales fiables no son técnicas. Son de comportamiento y se detectan sin saber nada de ciberseguridad:

• quien llama instala una presión de tiempo fuerte,
• te desanima a contrastarlo con nadie,
• pide un pago inhabitual o un cambio de cuenta,
• invoca la confidencialidad de la operación,
• se niega a pasar al canal que propones tú,
• sabe muchas cosas de ti y ninguna comprobable de sí mismo,
• la respuesta llega con un ligero retraso, o la emoción no encaja con lo que dice,
• la calidad de la llamada es mala, y sigue siéndolo muy oportunamente,
• una pregunta inesperada le hace desviarse en lugar de contestarla.

La señal determinante es la combinación: una identidad familiar más una petición urgente y excepcional. Cuando alguien que crees conocer te pide algo importante muy deprisa, frena. Frenar es la contramedida.

Devuelve la llamada a un número que ya conocías

La mejor defensa frente a un deepfake de voz es comprobar por un segundo canal, elegido por ti y no por quien llama.

La regla cabe en una frase: cuelgas y llamas tú, a un número que ya conocías antes de esta llamada. El directorio interno, la ficha de proveedor de tu contabilidad, el número que figura en un contrato firmado. Nunca el número que aparecía durante la llamada. Nunca el que te dicta la persona que llama. Nunca el que venía en el mensaje que preparó la llamada.

Una precisión que importa: volver a marcar de inmediato por la misma línea no demuestra nada si quien llamó ha mantenido la comunicación abierta. Usa otro aparato, o espera unos segundos antes de marcar.

En una organización, esta regla no puede quedarse en lo oral. Se escribe: qué importes disparan una segunda validación, quién valida, en qué plazo y, sobre todo, quién tiene derecho a decirle que no a un directivo sin tener que justificarse. Este último punto es el que falta casi siempre. Un procedimiento que deja expuesta a la persona que lo aplica no se va a aplicar.

El cambio de cuenta bancaria: el control que más dinero ahorra

Si de todo el artículo te quedas con un solo control, que sea este. El falso cambio de IBAN es la variante más rentable para quien ataca y la más difícil de recuperar para ti, porque no dispara ninguna alarma: la transferencia sale hacia un proveedor legítimo, a una cuenta que no lo es.

Con cuatro reglas basta:

1. Ningún cambio de cuenta se hace desde un mensaje. Ni correo, ni llamada, ni carta. La petición se registra; no se ejecuta.
2. La comprobación parte de tus datos, no de los que te dan. Llamas al contacto que figura en tu ficha de proveedor, a un número anterior a la petición.
3. Validan dos personas. Quien introduce el cambio no es quien lo aprueba, y la aprobación deja traza fechada.
4. La primera transferencia a una cuenta nueva se trata aparte. Importe limitado, plazo de observación y confirmación de recepción por parte del proveedor antes de las siguientes.

Añade un reflejo de seguimiento: los cambios de cuenta agrupados a final de mes, las peticiones que llegan durante las vacaciones de la persona responsable y los remitentes cuyo dominio se diferencia del auténtico en un solo carácter merecen una comprobación sistemática.

Lo que ya hace tu banco, y lo que no

Desde octubre de 2025, el Reglamento (UE) 2024/886 obliga a los proveedores de servicios de pago de la zona euro a ofrecer la verificación del beneficiario antes de que confirmes una transferencia en euros: el banco contrasta el nombre que has escrito con el titular del IBAN y te avisa si no coincide o si coincide solo en parte.

Es un control excelente y hay que usarlo. Pero tiene bordes que conviene conocer:

• cubre transferencias en euros dentro de la UE; una transferencia en divisa o hacia fuera de la Unión no lleva ese aviso,
• no detecta nada si quien ataca ha abierto la cuenta a nombre de una sociedad con una denominación casi idéntica a la de tu proveedor,
• el aviso aparece en el momento de confirmar, que es justo el momento de máxima prisa, y se ignora con un clic.

Y un punto mal conocido sobre lo que viene después: una transferencia que has autorizado tú es, en derecho, una operación autorizada. El régimen de devolución del Real Decreto-ley 19/2018 de servicios de pago está pensado para las operaciones no autorizadas; cuando el consentimiento se ha arrancado con engaño, la devolución no es automática. Por eso el control previo vale infinitamente más que el trámite posterior.

Cómo se prepara una simulación de vishing en España

Una regla de verificación que solo existe en un procedimiento no aguanta una voz que suena como la del director general. Lo que la vuelve real es haberla usado una vez, bajo presión y sin consecuencias. Eso es exactamente lo que produce una simulación de vishing bien hecha.

La construimos en seis tiempos:

1. El encuadre. Qué departamentos, qué escenarios, qué objetivos de medición y qué límites absolutos. Un alcance de simulación no incluye jamás una transferencia realmente ejecutada: la medición se detiene en el instante en que se toma la decisión.
2. El mandato escrito. El acceso no autorizado a un sistema de información está tipificado en el art. 197 bis del Código Penal, y el daño a sistemas y datos, en el art. 264. Lo que hace lícito el ejercicio es el mandato: alcance, periodo, técnicas autorizadas e interlocutores, fijados antes de la primera llamada. No es una formalidad; es la única diferencia jurídica entre un ejercicio y un delito.
3. La información previa a la plantilla. La existencia del dispositivo se comunica antes de ponerlo en marcha: política de uso de medios digitales, comunicado interno, intranet. Se anuncia el principio; la fecha y el contenido de las llamadas, no. El art. 87.3 de la LOPDGDD pide además que la representación de las personas trabajadoras participe en la elaboración de esos criterios de uso.
4. El informe del comité de empresa. El art. 64.5.f) del Estatuto de los Trabajadores reconoce al comité el derecho a emitir informe, con carácter previo a la ejecución, sobre la implantación y revisión de sistemas de organización y control del trabajo. Una simulación de vishing entra ahí de lleno. El detalle, en simulación de phishing y derechos de los trabajadores.
5. La ejecución de las llamadas. Dos interlocutores identificados en tu organización pueden detener el ejercicio en cualquier momento. Las llamadas no se graban; se anota solo la marca de tiempo, el escenario, el desenlace y el departamento afectado. Quien pida explícitamente comprobar recibe la verdad al instante: es la persona que ha aplicado la regla y no tiene por qué quedarse en la duda.
6. La devolución de resultados. Agregados por departamento, nunca nominales. Medimos la proporción de llamadas que alcanzan a la persona objetivo, la proporción que obtiene la información o la conformidad pedida, la proporción que dispara una llamada de comprobación y el tiempo hasta el primer aviso interno. Esta última cifra es la más útil: dice si tu organización sabría reaccionar durante el ataque, y no solo después.

El ejercicio evalúa controles de la organización, no a personas. En el informe no figura ningún nombre y de él no se deriva ninguna consecuencia disciplinaria; eso es lo que garantiza que la próxima persona engañada lo cuente en lugar de callarlo. Una organización en la que el error se esconde durante dos días pierde exactamente los dos días en los que aún se podía recuperar el dinero.

Somos una empresa establecida en la Unión Europea, así que los datos del ejercicio —marcas de tiempo, escenarios, resultados por departamento— se tratan bajo el RGPD directamente, sin transferencia internacional del capítulo V ni cláusulas contractuales tipo.

En la práctica, este trabajo se desarrolla dentro de un test de ingeniería social, y los hallazgos alimentan después sesiones de concienciación en ciberseguridad montadas sobre lo que ha pasado de verdad en tu organización, y no sobre ejemplos genéricos. Cuando el objetivo es comprobar una cadena entera, desde la información pública hasta el acceso efectivo, el ejercicio es un Red Team y se combina con pentesting técnico.

Qué te exige ya la normativa

Ninguna norma española trata específicamente del «deepfake de voz». El asunto, sin embargo, cruza varias obligaciones que ya están en vigor.

En lo penal. Conseguir una transferencia haciéndose pasar por un directivo o por un proveedor es estafa (arts. 248 y 249 del Código Penal), y la tentativa se castiga igualmente. La denuncia cabe aunque la transferencia se haya frenado a tiempo, y conviene presentarla: condiciona buena parte de lo que viene después, también frente a la aseguradora.

En protección de datos. El art. 32.1.d) del RGPD es la única disposición europea que menciona de forma expresa la prueba periódica: exige «un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas». Un procedimiento de verificación de identidad por teléfono y de doble validación de pagos es una medida organizativa. Probarlo es literalmente lo que el texto describe. Y si una llamada de vishing acaba exponiendo datos personales, hay que valorar la notificación a la AEPD dentro de las 72 horas del art. 33.

En el sector público y su cadena de suministro. El Esquema Nacional de Seguridad (RD 311/2022) sitúa la concienciación del personal entre las medidas de protección de su Anexo II, en el control [mp.per.3]. Si prestas servicios a una entidad del sector público, ese requisito baja hasta tu contrato por la vía del pliego.

En NIS2. La Directiva (UE) 2022/2555 no está transpuesta en España a 12 de septiembre de 2026, de modo que hoy no nace de ella ninguna obligación directa para las empresas en España; el detalle, en NIS2 en España: qué obliga hoy y qué no. Sí es directamente aplicable el Reglamento de Ejecución (UE) 2024/2690, que concreta las medidas del art. 21 para determinadas categorías de entidades digitales y dedica un apartado de su anexo a la ciberhigiene básica y a la concienciación del personal. Aunque por ámbito no te alcance, describe con bastante precisión qué se entiende hoy por diligencia razonable.

Si el dinero ya ha salido

Las primeras horas lo deciden casi todo. En orden:

1. Llama al banco de inmediato y pide que inicie la recuperación de fondos. Si la transferencia aún no se ha liquidado en destino, hay margen real.
2. Conserva las pruebas: registro de llamadas, mensajes, correos, la orden de pago y las capturas de todo lo anterior.
3. Denuncia ante la Policía Nacional o la Guardia Civil. La denuncia suele ser condición para todo lo demás, incluida la vía civil frente a la entidad de pago.
4. Avisa a la aseguradora si tienes cobertura de fraude o de ciberriesgo: los plazos de comunicación del siniestro son cortos.
5. Valora la notificación a la AEPD si han quedado expuestos datos personales.
6. Llama al 017, la línea gratuita de ayuda en ciberseguridad de INCIBE, que atiende también a empresas y orienta sobre los pasos anteriores.
7. Cuéntalo hacia dentro. El resto de la organización necesita saber que la campaña está en marcha, porque la segunda llamada suele llegar el mismo día.

Y en el plano personal

La clonación de voz no apunta solo a las empresas. El escenario de la urgencia familiar —alguien cercano que llama con pánico, que ha perdido el móvil, que necesita dinero ya— usa exactamente los mismos resortes con personas que no tienen ningún procedimiento detrás.

Unas cuantas reglas sencillas, mejor acordadas antes que después:

• una palabra clave familiar, conocida por todos, que se pide en caso de urgencia,
• el principio de que el dinero nunca sale bajo presión, nunca,
• la comprobación devolviendo la llamada al número guardado en la agenda,
• una pregunta cuya respuesta solo conoce alguien de la familia,
• ningún código ni dato personal por mensaje.

Las personas mayores están especialmente expuestas a las llamadas que juegan con el miedo. Vale más hablar de estos escenarios un domingo, con calma, que después de un incidente. INCIBE publica en su portal para la ciudadanía, OSI, material divulgativo sobre estos fraudes que se puede compartir en casa sin un solo tecnicismo.

En resumen

El deepfake de voz es peligroso porque ataca la confianza, no la técnica. Una voz y una cara son cosas que creemos de forma espontánea, y la IA sabe reproducirlas ya a un coste ridículo.

La regla de fondo es sencilla: para dinero, accesos, cuentas bancarias o datos sensibles, una voz no es una prueba de identidad. Hace falta devolver la llamada por un canal que controlas tú y una segunda validación.

Y no hay nada embarazoso en decir: «Lo compruebo y te llamo.» Esa frase protege una tesorería, un proveedor y, muchas veces, a la persona que la pronuncia.

Estafa del CEO y deepfake de voz: preguntas frecuentes

Nuestros servicios relacionados: test de ingeniería social y campañas de phishing simulado · concienciación en ciberseguridad para tu plantilla