El esquema es tan simple que asusta: el atacante descarga una intervención pública de tu CEO — un webinar, una entrevista, un saludo en LinkedIn — y con herramientas de IA generativa accesibles por menos de 20 euros al mes clona su voz con una fidelidad que engaña a la mayoría de los empleados. No hace falta ser un grupo criminal sofisticado; hace falta una tarde libre.
El 78% de los empleados no distingue una voz clonada de la real en una llamada de menos de dos minutos. Con ruido de fondo de "aeropuerto" o "coche", la cifra sube al 89%.
— Datos agregados de simulaciones de vishing, sector europeo, 2025–2026
Anatomía del ataque, paso a paso
- Reconocimiento: el atacante identifica en LinkedIn quién autoriza pagos y quién los ejecuta. Esta información suele ser pública.
- Recolección de voz: 30–60 segundos de audio del directivo bastan. Webinars, podcasts y vídeos corporativos son la fuente habitual.
- El pretexto: una "operación confidencial" — una adquisición, un pago a un proveedor estratégico — que exige discreción y urgencia.
- La llamada: viernes por la tarde, fin de trimestre o vísperas de festivo. Cuanta menos gente haya para consultar, mejor para el atacante.
- El refuerzo: cada vez más, la llamada va precedida de un correo o un SMS "del CEO" anunciando que llamará. La coherencia entre canales dispara la credibilidad: es el mismo mecanismo que hace funcionar al phishing por código QR, donde el canal inesperado desarma la desconfianza.
Las señales que deben encender la alarma
- Urgencia + secretismo: "tiene que salir hoy" y "no lo comentes con nadie" en la misma conversación. Ninguna operación legítima exige ambas cosas.
- Cambio de circuito: se pide saltarse el procedimiento habitual de pagos "solo por esta vez".
- Canal inusual: el CEO nunca llama para esto, pero hoy sí. Y casualmente desde un número oculto o desconocido.
- Resistencia a la verificación: cualquier intento de confirmar por otro canal genera presión o irritación. Un directivo real entiende la prudencia; un atacante no puede permitírsela.
Las tres defensas que funcionan
1. Protocolo de doble verificación. Ninguna transferencia fuera del circuito habitual se ejecuta sin confirmación por un segundo canal — mensaje directo al número conocido, videollamada o en persona. Sin excepciones, ni siquiera "del CEO". La regla protege precisamente porque no admite jerarquías.
2. Palabra clave interna. Para operaciones sensibles, una palabra de verificación acordada que jamás se comunica por escrito. De coste cero y eficacia total contra la clonación de voz: la IA imita el timbre, no el conocimiento compartido.
3. Entrenamiento con simulaciones. Igual que simulamos correos de phishing, simulamos llamadas de vishing. Quien ha vivido el ataque una vez en un simulacro — con el corazón acelerado y la "voz del jefe" al otro lado — no cae en el real.
Documenta el protocolo de doble verificación en una página, fírmalo desde dirección y entrénalo con un simulacro trimestral. El día que llegue la llamada real, tu equipo no tendrá que decidir bajo presión: solo seguir el procedimiento.
En LegiLearn hemos incorporado módulos específicos de fraude por voz e ingeniería social telefónica a los itinerarios de formación, con simulaciones de vishing incluidas. Si tu plan de concienciación solo cubre el correo, tiene un agujero del tamaño de una llamada.
