¿Videollamada deepfake? Cómo funciona la estafa y cómo detectarla

Una estafa con videollamada deepfake utiliza inteligencia artificial para que el delincuente parezca otra persona durante una llamada: un familiar, un compañero de trabajo, el director de una empresa, un cliente o incluso alguien conocido públicamente. Puede alterar el rostro, clonar la voz y sincronizar los movimientos casi en tiempo real. Después llega lo que de verdad importa al estafador: una transferencia, unas credenciales, un código de verificación o el acceso a un dispositivo.

Detectarla ya no consiste simplemente en buscar una cara que parpadea raro. La tecnología ha mejorado. Conviene observar fallos de sincronización entre voz y labios, cambios extraños alrededor del rostro, iluminación incoherente, movimientos poco naturales o retrasos en el audio, pero la señal más fiable suele estar en otro sitio: una petición inesperada de dinero o información sensible acompañada de urgencia y de algún pretexto para impedir que comprobemos la identidad por otra vía. El contenido generado con IA puede llegar a ser muy difícil de reconocer únicamente por su aspecto.

Cómo funciona una estafa con videollamada deepfake

El término deepfake mezcla deep learning, aprendizaje profundo, y fake, falso. En la práctica describe técnicas capaces de fabricar o manipular imagen, vídeo y voz hasta hacer que una persona parezca decir o hacer algo que nunca ocurrió.

En una videollamada el procedimiento puede ser especialmente convincente porque desaparece una de nuestras defensas intuitivas. Antes, ante un mensaje sospechoso del supuesto jefe, bastaba con pensar: «que me llame». Ante una voz dudosa: «que hagamos una videollamada». Ese último muro ya tiene grietas.

Los sistemas actuales pueden modificar una cara mientras la persona que está detrás de la cámara habla y mueve la cabeza. También pueden combinar ese rostro sintético con clonación de voz, animar imágenes estáticas o utilizar vídeos previamente preparados y hacerlos pasar por una conversación auténtica. La suplantación audiovisual en tiempo real ya es técnicamente posible con equipos comerciales y puede trasladarse a programas habituales de videollamada.

No hace falta, además, recrear cada segundo de una reunión mediante una especie de Hollywood clandestino. A veces basta con preparar fragmentos de vídeo, controlar quién habla, mantener intervenciones cortas y llevar rápidamente la conversación hacia el objetivo económico. La tecnología pone la máscara; la ingeniería social escribe el guion.

El engaño empieza antes de encender la cámara

Una videollamada falsa suele ser la culminación, no el principio. El atacante puede haber investigado previamente las redes sociales de la víctima, la web de su empresa, vídeos públicos, entrevistas o fotografías. De ahí obtiene nombres, relaciones profesionales, jerarquías, gestos y muestras de voz. Cuanto más material existe públicamente de una persona, más elementos tiene para construir una suplantación creíble.

Después llega el contacto. Un correo aparentemente corporativo. Un mensaje desde un número nuevo. Una llamada. Una supuesta operación confidencial. Quizá alguien afirma que la empresa está cerrando una adquisición y que no debe comentarse con nadie. O un familiar asegura estar metido en un problema urgente.

La videollamada funciona entonces como certificado emocional de autenticidad. Vemos la cara conocida, reconocemos la voz y bajamos la guardia. Ahí está el verdadero salto cualitativo: el vídeo deja de ser una prueba suficiente de identidad.

La inteligencia artificial generativa permite, además, personalizar cada vez mejor las técnicas de ingeniería social. Una grabación pública, unas fotografías y algunos datos personales pueden alimentar una puesta en escena mucho más convincente que el viejo correo lleno de errores ortográficos. El fraude cambia de traje, pero persigue lo mismo: que la víctima actúe antes de comprobar.

Señales que pueden delatar una videollamada falsa

Todavía existen pistas visuales. En algunos montajes aparecen bordes extraños entre la cara y el cabello, cambios repentinos en el tono de piel, dientes demasiado uniformes, sombras que no corresponden con la iluminación de la habitación o pequeños saltos cuando la persona gira rápidamente la cabeza.

Las gafas, los pendientes y otros elementos que cruzan los límites del rostro también pueden dar problemas. Lo mismo ocurre cuando una mano pasa delante de la cara o alguien se coloca parcialmente de perfil: son situaciones más difíciles de reconstruir que una cabeza mirando tranquilamente hacia la cámara.

El sonido merece atención aparte. Una voz clonada puede tener una pronunciación casi perfecta y, aun así, resultar ligeramente plana; otras veces aparecen pausas artificiales, una entonación impropia de esa persona o un pequeño desfase entre el movimiento de los labios y lo que escuchamos. Las inconsistencias entre iluminación, rostro, cuerpo, audio y movimiento continúan siendo indicios útiles.

Pero hay una advertencia importante. Ninguno de estos defectos tiene por qué aparecer. Un vídeo borroso puede ser simplemente una mala conexión y una llamada perfectamente nítida puede ser fraudulenta. Buscar exclusivamente «errores de IA» puede convertirse, paradójicamente, en otra trampa.

La pista decisiva suele estar fuera de la imagen

Una señal mucho más útil es observar qué pretende conseguir la persona situada al otro lado de la pantalla. Cuando una llamada inesperada desemboca en una petición para transferir dinero inmediatamente, compartir una contraseña, revelar un código de autenticación, instalar un programa de control remoto, comprar criptomonedas o saltarse un procedimiento habitual, el riesgo se dispara.

También debe levantar sospechas la insistencia en mantener el secreto. El supuesto directivo que afirma que nadie más puede saber nada; el familiar que suplica que no llames a otra persona; el técnico que asegura que perderás tu cuenta si cuelgas. Es el viejo fraude de toda la vida vestido con una máscara nueva.

La urgencia es fundamental porque reduce el tiempo disponible para pensar. El delincuente necesita que la víctima reaccione antes de verificar. Por eso una frase tan sencilla como «te llamo yo dentro de un minuto» puede romper una operación que técnicamente parecía impecable.

Para una persona conocida, lo razonable es terminar la comunicación y contactar mediante un número que ya tuviéramos guardado o por otro canal previamente conocido. En una empresa, una orden extraordinaria de pago debería comprobarse mediante los procedimientos internos habituales, no utilizando el teléfono, enlace o dirección que facilita quien está haciendo la petición.

También puede pedirse durante la conversación una acción inesperada: girar la cabeza, cambiar de posición o responder a algo que solamente ambas personas conozcan. Es una comprobación adicional frente a deepfakes, aunque no debe considerarse una prueba infalible. La generación en directo continúa avanzando y algunas manipulaciones pueden responder cada vez mejor a movimientos espontáneos.

Qué hacer si durante la llamada piden dinero o datos

La reacción más segura es bastante poco tecnológica: no ejecutar la operación durante la propia llamada. Una cara conocida en la pantalla no convierte una transferencia inesperada en legítima.

Si alguien pide una transferencia excepcional, conviene cortar la comunicación y verificarla independientemente. Lo mismo vale para claves bancarias, contraseñas y códigos de un solo uso. Que la cara de la pantalla pertenezca aparentemente a alguien conocido no cambia esa regla.

Tampoco debe instalarse una aplicación porque un supuesto empleado de un banco, soporte técnico o compañero lo solicite durante la conversación. El acceso remoto puede permitir al delincuente manejar el dispositivo prácticamente como si estuviera sentado delante de él.

Este tipo de fraude puede mezclarse con técnicas de vishing, es decir, llamadas utilizadas para conseguir información, inducir pagos o lograr que la víctima instale programas. El vídeo puede ser simplemente una capa adicional diseñada para dar credibilidad a la historia.

Si el dinero ya ha salido, el tiempo sí cuenta. Hay que contactar inmediatamente con la entidad bancaria para comunicar el fraude y averiguar si la transferencia puede bloquearse o recuperarse. Conviene conservar mensajes, capturas, teléfonos, correos, nombres de usuario, justificantes de pago y cualquier otro rastro, en lugar de borrar la conversación por vergüenza o enfado.

Si se facilitaron credenciales, deben cambiarse las contraseñas comprometidas y activarse la autenticación de dos factores donde sea posible. Cuando se instaló software siguiendo instrucciones del supuesto interlocutor, el dispositivo también puede necesitar una revisión de seguridad. En España, el 017 de INCIBE ofrece ayuda especializada en ciberseguridad y el fraude también puede denunciarse ante las Fuerzas y Cuerpos de Seguridad.

El fraude que ya ha engañado a empresas

La videollamada deepfake dejó hace tiempo de ser una hipótesis de laboratorio. Uno de los casos más conocidos ocurrió en Hong Kong. Un empleado del área financiera de una multinacional participó en una videoconferencia en la que creyó reconocer al director financiero y a otros compañeros. Los participantes eran recreaciones deepfake. Terminó autorizando transferencias por unos 25 millones de dólares antes de descubrir que la reunión no era lo que parecía.

El detalle resulta incómodo porque desmonta una idea bastante arraigada: que una estafa de estas características solo funciona con personas poco acostumbradas a la tecnología. Aquí la víctima trabajaba precisamente en finanzas y tuvo dudas iniciales. La presencia simultánea de varios rostros supuestamente conocidos terminó inclinando la balanza.

El fenómeno tampoco quedó congelado en aquel episodio. Se han documentado intentos posteriores en los que responsables financieros fueron convocados a reuniones virtuales con imitaciones de altos ejecutivos para inducir transferencias de cientos de miles de dólares. La técnica resulta especialmente peligrosa en entornos donde una orden urgente del superior puede mover grandes cantidades de dinero en pocos minutos.

Para las empresas la consecuencia es bastante clara. Un proceso de autorización basado únicamente en «hablé con el jefe y lo vi por videollamada» se ha quedado corto. Las transferencias relevantes necesitan doble validación, procedimientos conocidos de antemano y una segunda comprobación independiente cuando la operación se salga de lo habitual.

Esto no es burocracia por amor al formulario. Es aceptar que la cara y la voz, dos credenciales humanas que durante siglos parecieron bastante fiables, ahora pueden copiarse.

Ver ya no equivale a comprobar

Durante años Internet nos enseñó a desconfiar de un correo mal escrito, de un enlace extraño o de aquel príncipe remoto empeñado generosamente en compartir su fortuna. El deepfake complica el paisaje porque invade precisamente la zona donde solíamos buscar tranquilidad: la conversación cara a cara.

Por eso la defensa más sólida no consiste en convertirse en experto forense y estudiar cada pestañeo de la pantalla. Los defectos visuales siguen siendo útiles, sí, pero pueden desaparecer conforme mejora la tecnología. Lo verdaderamente resistente es separar identidad y autorización: una persona puede parecer auténtica durante una videollamada y, aun así, cualquier petición extraordinaria de dinero o información debe comprobarse por otra vía.

La paradoja tiene algo de vieja escuela. Cuanto más sofisticada se vuelve la inteligencia artificial, más valor adquieren procedimientos muy simples: colgar, llamar al número conocido, consultar con otra persona, respetar los controles de pago y desconfiar de quien exige actuar antes de pensar.

Una imagen podía valer más que mil palabras. En plena era del deepfake, a veces necesita también una segunda llamada.