La pantalla de nuestro teléfono móvil se ilumina con la llamada entrante de un número desconocido. Al otro lado de la línea, una voz irritada nos da indicaciones urgentes desde un teléfono corporativo que desconocemos para que la empresa realice una transferencia de dinero urgente que compense el retraso en los pagos a nuestro proveedor. La voz no es desconocida: pertenece a nuestro jefe. Y, para más inri, no está contento, porque la empresa se encuentra en serios apuros. Pero todo es mentira.
La tensión de la situación, la urgencia de la voz, e incluso el hecho de que estemos en mitad de una labor totalmente irrelevante ante un incidente de tal calibre nos hace actuar a toda velocidad y sin pensarlo: damos orden de transferencia inmediata de 1.000, 10.000 o 500.000 euros. Pero el dinero no acaba en la cuenta bancaria de nuestro proveedor, ni soluciona ningún incidente vital para la compañía, porque no es una situación real: hemos sido víctimas de una estafa de clonación de voz.
En España esta situación aún se da con poca frecuencia "porque todavía la tecnología no está madura", explica a EL MUNDO Alberto Redondo, comandante de la Guardia Civil y jefe del Grupo de Ciberinteligencia Criminal de la Unidad Técnica de Policía Judicial. Además, los casos notificados son rápidamente identificados, precisamente por esa inmadurez tecnológica (voz metálica, lentitud al hablar...). Sin embargo, todo apunta a que estas estafas irán en aumento,paralelas al desarrollo de las nuevas herramientas de inteligencia artificial (IA). Sus capacidades se expanden hasta sobrepasar límites que, hasta hace poco, pertenecían a la ciencia ficción: ahora es posible generar imágenes y audios de personas que confundirían a sus más allegados, y mejoran el modus operandi de los estafadores.
Cómo funciona la estafa
"Si tenemos una grabación de una persona hablando durante 15 minutos, a partir de ahí, con la inteligencia artificial, lo que puede hacer un atacante es modular esa voz para que diga lo que él quiere", explica Antonio Villalón, director de seguridad de S2 Grupo, compañía especializada en ciberseguridad. "Hoy en día muchísima gente está utilizando redes sociales, subiendo su imagen, su voz...", añade Villalón. Con ese material, los delincuentes obtienen toda la información necesaria para "la modulación de esa voz, de esa imagen".
Es decir, a partir de un vídeo de TikTok o de Instagram, cualquiera -según explican los expertos, cada vez es menos necesaria una verdadera habilidad tecnológica- tiene acceso a nuestra voz. Y a través de herramientas de inteligencia artificial, puede modificar nuestras palabras para transmitir el mensaje que deseen.
Hervé Lambert, gerente de operaciones de consumo global de la empresa especializada en seguridad informática Panda Security, explica cómo los modelos de inteligencia artificial pueden ser entrenados con audios robados para crear una réplica idéntica de nuestra voz. La similitud es tan exacta que la clonación es capaz de adaptarse, incluso, a pausas, patrones de respiración o fonemas característicos de la persona. O, incluso, cambiar de idioma.
Cualquiera es víctima potencial de un posible ataque, aunque según explica Lambert, hay un especial interés en aquellas personas con cargos de poder o influencia en las estrategias de la empresa. "El objetivo es ser lo suficientemente creíble para poder contarte una historia, que tú entres en la historia y que termines o dando tus credenciales, tus datos financieros, o haciendo directamente una transferencia a la cuenta del ciberdelincuente".
En el caso de los CEO de empresas, que a menudo deben pronunciar discursos en público o ser retransmitidos por medio de los canales multidireccionales propios, obtener una muestra de voz resulta más sencillo. En países como Estados Unidos, este tipo de estafa cuenta con años de vida, y han sido especialmente populares los casos de clonación de voz de Joe Biden, presidente de los Estados Unidos, durante la actual campaña electoral. Ello ha conducido a la regulación de este uso de la inteligencia artificial a través de leyes promulgadas por los principales órganos del gobierno americano. Asimismo, y según informa Lambert, la propia Comisión Federal de Comercio de Estados Unidos ha alertado sobre el aumento de estos fraudes mediante clonación de voz. El experto también enumera casos de uso fraudulento de la clonación de voz en Reino Unido y Perú.
Lo cierto es que ya es una evidencia que España tiene un problema en este ámbito, aunque no es fácil determinar la cantidad exacta de fraudes que se están dando en nuestro país, tal y como insiste el experto. Incluso se han producido intentos de engaño a directivos bancarios con el objetivo de llevar a cabo transferencias de fondos, detalla Lambert. No obstante, se trata de casos que, por ahora, las empresas están mostrando cierta resistencia a denunciar, si bien alguno ya ha pasado por manos de las autoridades, apunta el experto.
Para recalcar la importancia de esta amenaza, Lambert pone un ejemplo especialmente cercano: su propia empresa fue víctima de una estafa por clonación de voz cuando un empleado recibió un mensaje de voz, aparentemente de su jefe, en la que le urgía a realizar una transferencia bancaria a una cuenta determinada. "La voz era extremadamente creíble, todo estaba personalizado: sabían quién era el CEO, cuál era el contexto de la empresa, quién era el ejecutivo que iba a recibir el mensaje...". El experto insiste: "Hay un problema porque estas voces son algo nuevo. Y no estamos entrenados en detectar vídeos falsos, y menos voces clonadas que pueden ser utilizadas para cometer cibercrimen".
Formas de prevención
Ante este tipo de situaciones, los expertos recomiendan, esencialmente, "la desconfianza racional", y la verificación por medio de segundas vías. Villalón sugiere hacer una llamada a otro número de teléfono para cerciorarnos de es realmente nuestro jefe quien nos está pidiendo esa transacción.
Por otro lado, Lambert continúa esta lista de medidas: además de confirmación, hay que crear concienciación, educar en la empresa sobre este peligro cada vez más frecuente: "La formación es fundamental". Aboga por "verificar la identidad y las peticiones dentro del contexto de la empresa, más allá de explicar lo que lo que está pasando. Hay que sensibilizar. Es algo que nos puede pasar a todos". En su caso, reconoce que antes, cuando recibía una llamada urgente de su jefe, no dudaba de sus órdenes, pero ahora piensa mejor las consecuencias y verifica dichas indicaciones. "Yo lo tengo súperinteriorizado: compartir información en una llamada telefónica en mi empresa está prohibido, no lo hacemos", explica.
Desde la empresa proveedora de servicios informáticos NordVPN, que recientemente advirtió del peligro que puede suponer esta práctica en un comunicado, Adrianus Warmenhoven, experto en ciberseguridad, recomienda tener cuidado con lo que se publica en redes sociales, dado que considera a estas el principal banco de recursos de los ciberdelincuentes. Además, sugiere colgar la llamada en cuanto la identifiquemos como estafa, para no dar tiempo a recabar material de audio y, como los otros expertos, verificar que esta situación es real a través de otras vías, como un número de teléfono alternativo (y familiar).
Soy víctima, ¿ahora qué?
Los pasos a seguir cuando nos percatamos de que somos víctimas de un fraude telefónico, según el comandante Redondo, son los siguientes: ponernos en contacto con la entidad bancaria correspondiente para detener la transferencia de forma inmediata; y posteriormente acudir al cuartel de la Guardia Civil más cercano para denunciar la situación, aportando todas las pruebas relacionadas, como el número de teléfono desde el que se realizó la llamada, o el clip de voz utilizado. En estas evidencias digitales se encuentra la clave para localizar al atacante, pero también incluso a otras posibles víctimas de estas estafas. Pese a que en España son muy escasas las incidencias de este tipo, como explica Redondo, ello no implica la ausencia de peligro total. Como el resto de las herramientas que utilizan la IA, es cuestión de tiempo que la clonación de voz sea un artefacto recurrente, y por ello, es necesario crear concienciación en la población.
"Estas estafas se están volviendo cada vez más comunes y sofisticadas y representan realmente una amenaza significativa en el mundo digital", insiste Lambert. Y recalca: "La clonación de voz es una preocupación creciente en el ámbito de la seguridad cibernética. No es un cuento, no es ciencia ficción, está pasando ahora".