Clonación de voz y vishing ultrarrealista

Los modelos modernos de síntesis de voz (Text-to-Speech) necesitan menos de 10 segundos de audio claro para extraer los parámetros acústicos de una persona y generar cualquier discurso arbitrario con su voz. En figuras públicas, directores generales o portavoces de empresas, ese material abunda en conferencias de YouTube, podcasts y entrevistas de medios. El coste y la barrera técnica para crear un mensaje de voz indistinguible del original han caído a cero.

Los incidentes reales demuestran que los atacantes rara vez intentan mantener una conversación telefónica larga y fluida en tiempo real: en su lugar, combinan un mensaje de voz sintético urgente por WhatsApp o buzón («Estoy en una reunión con los auditores, transfiere el depósito urgente antes de las 12:00») seguido de mensajes de texto apresurados. La familiaridad de la voz desactiva el sentido de alerta del empleado de finanzas.

En un ejercicio de simulación de ingeniería social acordado con la empresa, simular la voz de un directivo exige un protocolo de autorización excepcional. Nunca se utiliza para humillar a un empleado, ni se simulan emergencias familiares, médicas o catástrofes personales. La prueba se realiza bajo escenarios estrictamente profesionales y coordinada con el departamento de recursos humanos y auditoría.

Ningún software o antivirus puede detectar una llamada de voz humana creíble en el móvil de un empleado. La única defensa efectiva contra el fraude por clonación de voz es procedimental: canales de verificación fuera de banda. Si el director pide una transferencia extraordinaria por voz, el procedimiento de la empresa debe exigir confirmación por un canal alternativo acordado (videollamada interna, presencia física o clave de autorización de un segundo apoderado).