Vishing y deepfakes de voz: cómo funcionan las llamadas fraudulentas con IA y cómo frenarlas

Por Kike Gandia · Co-Fundador y CEO, OSCP

El vishing es phishing por teléfono: el atacante llama haciéndose pasar por soporte técnico, el banco, un proveedor o un directivo para conseguir credenciales, un pago o que el servicio de ayuda restablezca una contraseña o el MFA. La IA lo ha hecho más convincente: con unos segundos de audio público se puede clonar una voz, y en 2024 un empleado de Arup transfirió unos 25 millones de dólares tras una videollamada con deepfakes de su director financiero. Esta guía explica cómo funciona, por qué el helpdesk es el objetivo más rentable, qué señales vigilar y qué controles lo frenan sin depender de que alguien note que la voz es falsa.

Qué es el vishing y por qué sigue funcionando

El vishing (de voice phishing) es la ingeniería social por teléfono: el atacante llama, se presenta como alguien de confianza y pide algo que nunca debería conseguirse con una simple llamada. Los guiones habituales contra empresas son pocos y se repiten:

Falso soporte técnico: «Somos de Microsoft» o «del departamento de IT, hemos detectado un problema en tu equipo». El objetivo es que la víctima instale una herramienta de acceso remoto, dicte un código de verificación o escriba su contraseña en la web que le indican.
Falso banco: una supuesta alerta de fraude en la cuenta de la empresa que, para «bloquearla», exige confirmar claves, dictar códigos de firma de operaciones o mover el dinero a una cuenta «segura».
Falso proveedor o directivo: una llamada que acompaña o sustituye al correo de cambio de cuenta bancaria o de pago urgente, el terreno del fraude del CEO.
Llamada al helpdesk: el atacante se hace pasar por un empleado que ha perdido el móvil o no puede entrar y pide que le restablezcan la contraseña o el MFA. Es el vector más peligroso y tiene sección propia más abajo.

Funciona por tres motivos. La voz genera más confianza que un correo y deja menos tiempo para pensar. El identificador de llamada se puede falsificar (spoofing), así que ver en pantalla el número real del banco o de la oficina central no prueba nada. Y la llamada no pasa por ningún filtro: no hay pasarela de correo que la marque como sospechosa ni enlace que analizar. A menudo se combina con otros canales, como el correo que pide llamar a un número de «soporte» (callback phishing) o el SMS que prepara el terreno antes de la llamada.

Qué cambia con la IA: voz clonada, videollamadas falsas y llamadas a escala

Los guiones son los mismos de siempre. Lo que ha cambiado es lo poco que cuesta hacerlos creíbles:

Clonación de voz con muy poco audio. En 2023 Microsoft presentó VALL-E, un modelo de investigación que imita una voz a partir de una grabación de 3 segundos, y en 2024 OpenAI mostró Voice Engine, que trabaja con una muestra de 15 segundos y que solo abrió a un grupo reducido de socios por el riesgo de abuso. Hoy hay herramientas comerciales de clonación de voz al alcance de cualquiera, y un directivo con entrevistas, ponencias o vídeos corporativos publicados ha dejado material de sobra.
Deepfakes en videollamada. «Lo vi en la reunión de Teams» ya no es una prueba. Se puede montar una llamada con varias caras y voces sintéticas, o con vídeo real reutilizado de YouTube, como en los casos de Arup y WPP que se cuentan más abajo.
Escala y automatización. La IA generativa reduce el trabajo de preparar cada engaño: guiones adaptados a la víctima con datos de LinkedIn, un idioma fluido sin el acento que antes delataba al atacante y agentes de voz capaces de mantener una conversación y lanzar muchas llamadas a la vez.

	Vishing clásico	Vishing con IA
Quién habla	Un operador humano con un guion	Un humano con voz clonada o un agente de voz automatizado
A quién suplanta	A alguien genérico: «soporte», «el banco»	A una persona concreta que la víctima conoce: su jefe, el CFO, un compañero
Canal	Llamada telefónica	Llamada, nota de voz de WhatsApp o videollamada con varios participantes
Preparación	Investigación manual de cada objetivo	Automatizable: audio público, datos de LinkedIn y un guion generado
Idioma y acento	Con frecuencia delatan al atacante	Fluidos y con el acento de la persona suplantada
Cómo se frena	Verificando por otro canal	Exactamente igual: verificando por otro canal

La última fila es la importante. Los controles que funcionan contra el vishing con IA son los mismos que ya funcionaban contra el clásico. Lo que deja de funcionar es la intuición de «conozco esa voz».

Casos reales de deepfake de voz y vídeo: qué pasó y qué lo frenó

Estos son casos documentados públicamente. Se cuenta solo lo que confirman las fuentes:

Arup (Hong Kong, 2024). Un empleado de la oficina de Hong Kong de la ingeniería británica recibió un mensaje del supuesto director financiero pidiendo una operación confidencial. Sospechó, pero se convenció tras una videollamada en la que el CFO y otros compañeros eran deepfakes. Hizo 15 transferencias por 200 millones de dólares de Hong Kong, unos 25,6 millones de dólares. Arup confirmó que se usaron voces e imágenes falsas y que ninguno de sus sistemas internos fue comprometido.
Energética británica (2019). El director de la filial británica de un grupo energético alemán transfirió unos 220.000 € a un supuesto proveedor húngaro tras una llamada en la que reconoció el ligero acento alemán y la entonación de su jefe en la matriz. Lo contó la aseguradora Euler Hermes y es uno de los primeros fraudes conocidos con voz generada por IA.
WPP (2024). Los atacantes crearon una cuenta de WhatsApp con una foto pública del consejero delegado, Mark Read, y convocaron una reunión de Teams en la que usaron un clon de voz y vídeo de YouTube de un alto directivo, mientras el falso Read escribía por el chat. Pedían a un responsable de agencia montar un nuevo negocio para sacarle dinero y datos personales. No lo consiguieron.
Ferrari (julio de 2024). Un directivo recibió mensajes de WhatsApp y después una llamada con una imitación muy lograda del acento del consejero delegado, Benedetto Vigna, sobre una operación confidencial. Notó algo raro y le preguntó el título del libro que Vigna le había recomendado días antes. La llamada se cortó.
MGM Resorts y Caesars (septiembre de 2023). Los ataques atribuidos a Scattered Spider contra los dos grupos de casinos se asocian a la ingeniería social sobre el soporte de IT. Caesars declaró ante la SEC que el origen fue un ataque de ingeniería social a un proveedor externo de soporte de IT. En MGM, la llamada al helpdesk la describieron los atacantes y la prensa, pero la empresa no detalló cómo entraron; sí estimó ante la SEC un impacto de unos 100 millones de dólares en su resultado operativo ajustado.

Caso	Vector	Qué lo frenó o lo habría frenado
Arup	Mensaje + videollamada con deepfake del CFO	Confirmar la operación por un canal iniciado por la empresa y doble aprobación del pago
Energética británica	Llamada con la voz clonada del jefe	Devolver la llamada al número conocido del directivo antes de pagar
WPP	WhatsApp + Teams con voz clonada	La vigilancia del personal ante una petición fuera de lo habitual
Ferrari	WhatsApp + llamada con voz clonada	Una pregunta que solo el directivo real podía responder
MGM / Caesars	Ingeniería social sobre el soporte de IT	Verificación fuerte de identidad antes de restablecer credenciales o MFA

Por qué el helpdesk es el objetivo más rentable

Una transferencia fraudulenta le da al atacante dinero una vez. Un restablecimiento de contraseña y MFA le da una identidad corporativa completa: correo, VPN, inicio de sesión único y, desde ahí, todas las aplicaciones federadas. Por eso grupos como Scattered Spider han hecho de la llamada al servicio de ayuda una de sus técnicas de entrada. El aviso conjunto de CISA y el FBI sobre el grupo describe cómo primero llaman para averiguar qué pasos exige el helpdesk para un restablecimiento y después llaman haciéndose pasar por empleados para que les restablezcan la contraseña o les transfieran el MFA.

El helpdesk es vulnerable por diseño, no por descuido:

Su trabajo es ayudar, rápido y a alguien que dice estar bloqueado. Rechazar una petición legítima tiene un coste visible; aceptar una falsa, no hasta que es tarde.
Los datos que se piden para verificar suelen ser fáciles de conseguir: nombre completo, puesto, nombre del jefe, número de empleado, DNI o fecha de alta. LinkedIn, filtraciones antiguas y una llamada previa a otro departamento suelen bastar.
El restablecimiento anula el MFA. Si basta una llamada para registrar un dispositivo nuevo, el segundo factor deja de proteger.
Muchos helpdesks están externalizados, con procedimientos que la empresa no supervisa día a día. Caesars atribuyó su incidente a un proveedor externo de soporte, y Clorox demandó en 2025 a Cognizant, su proveedor de helpdesk, alegando que había entregado contraseñas a los atacantes sin verificar su identidad. Cognizant rechaza esas acusaciones.

La conclusión práctica: el procedimiento de restablecimiento de credenciales forma parte de tu perímetro. Hay que diseñarlo, documentarlo y probarlo con el mismo rigor que un firewall.

Señales de alerta en una llamada (y su límite)

Las señales que siguen siendo útiles tienen que ver con lo que se pide, no con cómo suena:

Urgencia y secreto: «tiene que salir hoy», «no lo comentes, es una operación confidencial».
Canal nuevo o inusual: un número distinto «porque es un asunto delicado», un WhatsApp personal, una reunión convocada desde una cuenta que no es la habitual.
Saltarse el proceso: pagar a una cuenta nueva, restablecer el MFA sin ticket, instalar una herramienta de acceso remoto «solo esta vez».
Presión jerárquica o emocional: el directivo que se impacienta, el cliente importante que se va a perder, el auditor que está esperando.
Petición de códigos: nadie legítimo necesita que le dictes un código de MFA o de firma de una operación.
Resistencia a la verificación: el interlocutor que pone excusas cuando le dices que le devuelves la llamada o que lo confirmas por otro canal.

Lo que no aparece en la lista son las señales de audio: pausas raras, voz metálica, entonación plana. A veces delatan al atacante, como en el caso de Ferrari, pero no hay que construir la defensa sobre ellas. La siguiente sección explica por qué.

Por qué no hay que fiarse del oído para detectar un deepfake

En un estudio de University College London publicado en PLOS ONE en 2023, 529 personas escucharon audios reales y sintéticos en inglés y en mandarín. Identificaron los deepfakes el 73 % de las veces, y familiarizarse antes con ejemplos solo mejoró ligeramente el resultado. Los autores advierten de que usaron algoritmos de síntesis relativamente antiguos y concluyen que intentar mejorar la capacidad humana de detección no es realista.

En una llamada real las condiciones son peores que en un laboratorio: mala cobertura, ruido de fondo, prisa y una persona que no espera ser engañada. En una videollamada, la imagen de mala calidad se justifica sola con un «estoy con mala conexión».

De ahí tres consecuencias para el diseño de controles:

La formación no debe prometer que la gente aprenderá a «oír» la voz falsa. Debe enseñar a verificar siempre que la petición encaje en un patrón de riesgo, suene como suene.
Las herramientas de detección automática pueden ser una capa más, por ejemplo en un centro de atención telefónica, pero no deben ser la que decide si se paga o se restablece una cuenta.
Reconocer una voz o una cara deja de ser prueba de identidad, tanto para el empleado que atiende la llamada como para los sistemas: la autenticación por voz de algunos bancos ya se ha burlado con voces clonadas.

Controles de proceso: lo que de verdad frena el vishing

Los controles eficaces comparten una idea: la identidad no se demuestra en la misma llamada en la que se pide algo.

Verificación por un canal distinto iniciado por la empresa. Ante cualquier petición sensible se cuelga y se llama al número que figura en el directorio corporativo o en el maestro de proveedores, nunca al que da el interlocutor ni al que aparece en pantalla. Si la petición llegó por videollamada, la verificación es una llamada aparte; si llegó por teléfono, un mensaje por el chat corporativo.
Ninguna transferencia ni restablecimiento por una sola llamada. Ningún pago, cambio de cuenta bancaria, alta de acceso privilegiado ni restablecimiento de MFA se ejecuta solo con lo dicho en una llamada o una reunión, por alto que sea el cargo de quien lo pide. Que la dirección lo comunique de forma explícita es lo que permite a un empleado decirle que no a «su jefe» sin miedo.
Palabra clave o pregunta de verificación. Para dirección y finanzas, una palabra acordada en persona o una pregunta sobre algo que no esté en internet, como hizo el directivo de Ferrari. Debe cambiarse de vez en cuando, no guardarse en el correo ni en el chat y no sustituir a la verificación por otro canal: es un complemento.
Doble aprobación de pagos. La segunda persona aprueba en el sistema, no por teléfono. Cómo diseñar los procesos de pago se explica en la guía sobre fraude del CEO.
Procedimiento de verificación de identidad en el helpdesk, por escrito, igual para todos y sin excepciones por urgencia ni por cargo. Una referencia orientativa:

Petición	Verificación mínima recomendada
Desbloqueo de cuenta con el MFA intacto	Autoservicio con el método de MFA ya registrado
Restablecimiento de contraseña	Autoservicio con MFA; si no es posible, devolución de llamada al número del directorio y confirmación del responsable directo
Nuevo dispositivo o método de MFA	Presencial con documento de identidad o, en remoto, aprobación del responsable directo por un canal independiente y un acceso temporal de un solo uso
Cuentas privilegiadas o de dirección	Presencial o con un segundo técnico que verifica por su cuenta, y aviso al equipo de seguridad

Y una regla para el propio helpdesk: si quien llama presiona, se enfada o invoca a un directivo para saltarse el procedimiento, eso es motivo para escalar, no para ceder.

Controles técnicos que reducen el impacto

Los procesos fallan alguna vez. Los controles técnicos hacen que un fallo no termine en una brecha completa:

MFA resistente a phishing: llaves FIDO2 o passkeys ligadas al dispositivo. No hay ningún código que un empleado engañado pueda dictar por teléfono, y el aviso de CISA sobre Scattered Spider lo recomienda porque resiste el phishing, el bombardeo de notificaciones push y el SIM swapping.
Que el helpdesk no pueda restablecer el MFA de cualquiera: limitar quién puede cambiar métodos de autenticación, exigir la aprobación de un segundo rol para cuentas privilegiadas y usar accesos temporales de un solo uso y corta duración en lugar de desactivar el MFA.
Alertas sobre cambios de identidad: un método de MFA nuevo seguido de un inicio de sesión desde una ubicación o un dispositivo nuevos es una de las señales más claras de toma de cuenta. La alerta tiene que llegar a alguien que la revise el mismo día.
Control de las herramientas de acceso remoto: si solo funcionan las aprobadas por la empresa, el falso técnico no puede pedir que instales la suya.
No usar la voz como factor de autenticación, ni en sistemas internos ni con proveedores. La propia OpenAI, al presentar Voice Engine, recomendó abandonar la autenticación por voz para acceder a cuentas bancarias.
Menos información útil para el atacante: organigramas, extensiones y procedimientos internos de soporte no deberían ser públicos ni facilitarse por teléfono a nadie sin verificar.

En entornos Microsoft 365 y Entra ID, buena parte de esto se configura con los métodos de autenticación, el acceso condicional y los roles de administración delegados, y conviene revisarlo en una auditoría específica.

Cómo se prueba: simulaciones de vishing controladas

La única forma de saber si el procedimiento aguanta es llamar. Una simulación de vishing bien planteada tiene estas piezas:

Autorización y alcance por escrito: quién encarga el ejercicio, qué departamentos y números entran, qué queda fuera (por ejemplo, pedir pagos reales o datos personales innecesarios) y quién puede pararlo en cualquier momento.
Guiones basados en escenarios reales: falso soporte técnico a empleados, falso empleado al helpdesk pidiendo un restablecimiento, falso directivo a finanzas. Cada guion fija hasta dónde se llega y qué cuenta como fallo.
El helpdesk dentro del alcance, también el externalizado, con el acuerdo del proveedor. Es donde más impacto tiene un fallo y donde menos se suele probar.
Voz clonada solo con consentimiento. Si el ejercicio incluye un deepfake de voz de un directivo, ese directivo tiene que autorizarlo de forma expresa.
Métricas del proceso: cuántas llamadas acabaron en una acción indebida, cuántas personas verificaron por otro canal, cuántas lo reportaron y en cuánto tiempo.
Sin escarmiento individual. El resultado sirve para corregir procedimientos y formación, no para señalar a empleados, un enfoque que además facilita encajar el ejercicio en el RGPD y en el derecho laboral.

El entregable útil no es un porcentaje de «caídos», sino la lista de puntos del proceso en los que una llamada bastó para obtener algo que no debía, cada uno con su corrección.

FAQ

¿Qué es el vishing?

Es phishing por teléfono: el atacante llama haciéndose pasar por soporte técnico, un banco, un proveedor o un directivo para obtener credenciales, un pago o acceso remoto a un equipo. En una empresa, la variante más peligrosa es la llamada al helpdesk para que restablezca la contraseña o el MFA de un empleado.

¿Cuánto audio hace falta para clonar una voz?

Muy poco. Modelos de investigación como VALL-E (Microsoft, 2023) trabajan con 3 segundos de grabación y Voice Engine (OpenAI, 2024) con 15. Un directivo con entrevistas, ponencias o vídeos publicados ya ha dejado material suficiente, así que la defensa no puede depender de que su voz sea difícil de conseguir.

¿Se puede detectar un deepfake de voz al oído?

No de forma fiable. En un estudio de UCL publicado en 2023, los participantes identificaron los audios sintéticos el 73 % de las veces y la formación previa apenas mejoró el resultado. La defensa tiene que basarse en verificar la petición por otro canal, no en reconocer la voz.

¿El MFA protege frente al vishing?

Depende del tipo. Los códigos por SMS o por aplicación se le pueden pedir por teléfono a la víctima, y un helpdesk engañado puede registrar un dispositivo nuevo para el atacante. Las llaves FIDO2 y las passkeys resisten mucho mejor porque no hay nada que dictar, siempre que el procedimiento para restablecerlas sea igual de exigente.

¿Qué diferencia hay entre vishing y fraude del CEO?

El fraude del CEO es un objetivo: conseguir un pago suplantando a un directivo o a un proveedor. El vishing es un canal: el teléfono. Se solapan cuando el fraude del CEO se hace por llamada o videollamada con voz clonada; los controles de los procesos de pago se tratan en la guía específica sobre fraude del CEO.

¿Sirve una palabra clave con la dirección?

Sí, como complemento. Funciona si se acuerda en persona, no se guarda en el correo ni en el chat, se cambia de vez en cuando y no puede deducirse de nada publicado. No sustituye a colgar y devolver la llamada por un canal conocido.

¿Es legal hacer simulaciones de vishing a los empleados?

Puede serlo si se plantea bien: autorización de la dirección, alcance definido, guiones que no pidan datos personales innecesarios y resultados que se usan para mejorar procesos, no para sancionar. Si se clona la voz de un directivo, hace falta su consentimiento expreso. El encaje con el RGPD y el derecho laboral se explica en nuestra guía específica sobre la legalidad de las simulaciones.