Estafas con voz clonada: cómo los deepfakes usan lo que publicas

Recurso complementario de la lección “Deepfakes y clonación de voz: cómo funcionan las nuevas estafas” — curso Privacidad online

Las estafas con voz clonada usan la copia de una voz conocida para pedir dinero o datos, y esa copia puede salir de grabaciones que ya están en internet. Este recurso explica cómo se crean los deepfakes y las voces clonadas (en inglés, voice cloning), cómo suenan las estafas más habituales y por qué la pregunta más útil no es «¿esta voz parece real?», sino «¿quién puede escuchar mi voz en línea?»

A. Por qué importa

Hasta hace poco, la llamada de una persona querida se explicaba sola: reconocías la voz y, por tanto, a la persona. La clonación de voz cambia ese hábito, porque un programa puede imitar una voz con la soltura suficiente para sostener una petición breve y cargada de emoción.

Las estafas con voz clonada son una cuestión de privacidad, además de seguridad. Para copiar una voz hace falta una muestra y, para que la petición resulte creíble, unos pocos datos personales: un nombre, un parentesco, un lugar. Ambas cosas pueden salir de lo que se comparte en abierto.

Nada de esto significa que dejes de publicar vídeos o de enviar notas de voz. Significa tratar un vídeo público en el que hablas como un dato personal, igual que una foto, y decidir a quién va dirigido.

Qué dicen las fuentes

El Instituto Nacional de Ciberseguridad (INCIBE) explica, en un artículo de su blog actualizado el 27 de noviembre de 2024, que la clonación de voz permite a una herramienta de inteligencia artificial reproducir la voz de alguien concreto, y que se usa en llamadas en las que una voz clonada, de un directivo o de un familiar, pide transferencias o información sensible.

La Línea de Ayuda en Ciberseguridad de INCIBE (017) publica casos reales. En uno de junio de 2024, una mujer recibió la llamada de un número desconocido con una voz que sonaba a la de su marido; sospechó, lo llamó y comprobó que no había sido él. Según el caso, él había recibido antes llamadas sin nadie al otro lado o con peticiones de datos personales, que pudieron servir para captar su voz, y los asesores explicaron que pueden bastar unos segundos de audio.

La Agencia Española de Protección de Datos (AEPD), la autoridad que vela en España por los datos personales, describe los deepfakes como contenidos de inteligencia artificial que «pueden replicar con gran realismo la voz, el rostro o los gestos de una persona» (nota de prensa del 17 de marzo de 2026). Recomienda contrastar la información antes de difundir contenidos que puedan ser falsos o manipulados.

Maldita.es, un medio de verificación, explicó en julio de 2024 que estas herramientas son accesibles y normalmente de pago: se sube un audio, se escribe un texto y se descarga el resultado. Según el artículo, hacen falta unos minutos de grabación o, según el servicio, segundos, y las muestras salen de vídeos publicados en internet.

B. Conceptos clave

Seis ideas sobre cómo funcionan estas estafas y dónde entran tus decisiones.

Deepfake

Un deepfake es un contenido falso, ya sea un vídeo, una imagen o un audio, creado con inteligencia artificial para que parezca real. Puede imitar un rostro, unos gestos o una voz; en este último caso INCIBE habla también de «deepfake de voz» o de deepvoice.

Por qué te importa: Los deepfakes no afectan solo a personajes famosos: las mismas herramientas pueden poner una voz o una cara familiares en un mensaje o una llamada pensados para ti.

Voz clonada (voice cloning)

La clonación de voz obtiene, a partir de una grabación, una copia de la voz de una persona con la que luego se puede decir cualquier texto. Cuánto audio hace falta depende de la herramienta y Maldita.es recoge la opinión de una experta según la cual, para estafar, vale cualquier calidad: puede servir un audio de TikTok o de YouTube. Las cifras pueden cambiar con la tecnología; el principio, no.

Por qué te importa: En las estafas con voz clonada, la materia prima es una grabación tuya hablando. Cada vídeo público, directo o nota de voz en un grupo abierto puede acabar siendo una muestra, y tú decides quién llega hasta ella.

Los detalles que rodean a la voz

La voz sola no basta. Para que la petición cuele hacen falta un nombre, una relación y una situación verosímil, y muchos de esos datos están a la vista en un perfil público.

Por qué te importa: Una muestra de tu voz, una lista pública de tus familiares y una publicación en la que cuentas que estás de viaje encajan en un guion convincente. Cada pieza parece inofensiva; lo que aprovecha quien estafa es la combinación.

El guion: prisa, pretexto y una petición

Los casos de INCIBE y de Maldita.es siguen un patrón: una voz que reconoces, un pretexto y una petición de dinero, de una transferencia o de datos personales. En un caso de suplantación de un directivo publicado por INCIBE en enero de 2024, alguien de la empresa recibió una llamada que parecía de él. Se habló de una auditoría inminente y se dieron instrucciones para una transferencia, que se hizo enseguida; días después, al hablar con el directivo real, se descubrió el engaño. INCIBE sospecha que se usó clonación de voz.

Por qué te importa: El deepfake renueva la voz, pero la historia se parece a las de siempre: prisa, un pretexto y una petición que se sale de lo habitual. No necesitas reconocer la tecnología; te basta con reconocer la forma de la petición.

Las señales no bastan; comprobar sí

Maldita.es recoge la opinión de expertos según la cual es difícil detectar una voz clonada en un audio corto; en audios más largos pueden notarse un tono algo robótico o pronunciaciones extrañas. INCIBE aconseja verificar quién llama con la persona que supuestamente lo hace, por un canal que ya conoces, y no dar datos personales ni bancarios ni seguir instrucciones como abrir enlaces o descargar apps.

Por qué te importa: Detectar un falso depende de lo bien hecho que esté; comprobar por un canal que ya conoces, no. El siguiente recurso de esta sección, sobre el canal aparte y la palabra clave familiar, convierte esa comprobación en un hábito.

Lo que identifican tu imagen y tu voz

La AEPD, en su guía sobre el uso de imágenes de terceros en sistemas de inteligencia artificial, cita la voz entre los rasgos por los que una persona puede resultar identificable, junto al rostro, el cuerpo y los gestos, y menciona los derechos de acceso, supresión y oposición. Si otra persona ha publicado un contenido en el que apareces, su página sobre eliminar fotos y vídeos propone pedirle primero que lo retire, después pedírselo a la plataforma, con prueba de tu identidad y los enlaces, y reclamar ante la AEPD si no hay respuesta. Según esa página, la plataforma debe decidir en el plazo de un mes.

Por qué te importa: Esto no impide que alguien use mal un vídeo tuyo, pero te da un camino concreto para retirarlo. Guarda pruebas de cada petición: la AEPD las pide para una reclamación.

C. Un ejemplo concreto: Lucía y la nota de voz de una amiga

Lucía tiene 48 años y usa servicios en línea a diario. Publica vídeos de cocina en un perfil abierto, explicando cada receta a cámara. Ana, una amiga del colegio a la que ve una o dos veces al año, comparte en abierto clips de los conciertos de su coro, a menudo con unas palabras dirigidas a la cámara.

Un sábado por la mañana llega una nota de voz desde un número que Lucía no tiene guardado. Es la voz de Ana: le han robado el bolso en la estación, habla desde un móvil prestado y necesita dinero para el billete de vuelta, que debe enviar por Bizum en media hora. Le pide que no se lo cuente a las demás amigas, porque ya se siente bastante tonta.

La voz es la de Ana, y también el mote que usa desde el colegio. Lo que hace que Lucía se detenga es la forma del mensaje: prisa, un pago difícil de deshacer y un motivo para no comentarlo. No responde. Llama a Ana al número que tiene desde hace años, y Ana contesta desde su cocina, con el bolso a su lado.

Qué cambió cuando Lucía miró su voz pública

Días después, Lucía hizo el ejercicio de más abajo, con más curiosidad que miedo.

• Los clips de Ana tenían mucha voz de Ana, y una publicación nombraba el colegio donde se conocieron.
• El perfil de Lucía acumulaba minutos de ella hablando a cámara, y un vídeo de un cumpleaños familiar nombraba a varios parientes.
• Cualquiera podía ver sus contactos, Ana incluida: una persona desconocida podía deducir qué voz la convencería antes.

Mantuvo públicos los vídeos de cocina: le gusta compartirlos y decidió que compensaba. Pasó el vídeo del cumpleaños y su lista de contactos a «solo amistades», quitó a algunas personas que no conocía y avisó a Ana para que decidiera sobre sus clips.

No borró nada con prisas. Ahora Lucía sabía qué parte de su voz y de su vida familiar estaba a la vista, y lo había elegido.

D. Pruébalo tú: encuentra tu voz y tu cara en público (15 minutos)

Cuatro pasos breves, mejor desde un ordenador. Lo que encuentres no significa que hayas hecho algo mal.

Paso 1 — Búscate como lo haría una persona desconocida (4 minutos)

• En una ventana privada del navegador, busca tu nombre y apellidos y, después, tu nombre junto a las plataformas que usas. Esta búsqueda se llama egosurfing, y INCIBE la recomienda tras un intento de fraude con voz clonada.
• Abre tus perfiles sin iniciar sesión, donde la plataforma lo permita.
• Anota cada lugar público en el que pueden oírte o verte: vídeos, directos, notas de voz en grupos públicos, charlas grabadas o pódcast.

Paso 2 — Anota lo que revela cada elemento (4 minutos)

• Junto a cada elemento, escribe V si tu voz se oye con claridad, C si tu cara se ve con claridad y D si además da detalles: nombres de familiares, dónde vives, cuándo viajas.
• Un elemento con V y D a la vez es el más parecido a un guion ya escrito.
• Es una fotografía, no una puntuación: de algunos elementos querrás dejarlo todo como está.

Paso 3 — Comprueba quién puede ver cada uno (4 minutos)

• Para cada elemento, localiza su público: todo el mundo, solo amistades o seguidores, o cualquiera que tenga el enlace. En las redes sociales suele cambiarse desde el menú de la propia publicación o desde los ajustes de privacidad de la cuenta.

• En YouTube Studio, según su página de ayuda, eliges Contenido en el menú de la izquierda, buscas el vídeo, despliegas la flecha junto a Visibilidad y escoges Público, Oculto o Privado. Los ocultos los ve quien tenga el enlace; los privados, solo tú y las personas que elijas.

Paso 4 — Toma una decisión (3 minutos)

Para un elemento con una V, elige una de estas tres opciones:

• Dejarlo público: te importa y ahora sabes que está ahí.
• Reducir el público: pásalo a amistades, seguidores o un enlace privado.
• Retirarlo: quítalo si ya no te sirve.

E. Vídeos, artículos y otros recursos

Primero las fuentes institucionales, luego el periodismo de verificación y, por último, la documentación de una plataforma.

Fuentes institucionales

INCIBE — ¿Qué es el voice hacking?
Qué es la manipulación de la voz con IA y qué consejos da INCIBE.
https://www.incibe.es/ciudadania/blog/que-es-el-voice-hacking

INCIBE, Línea de Ayuda en Ciberseguridad — Nuevo método de fraude usando la voz de un familiar creada con inteligencia artificial
Un caso real de 2024 y las medidas que recomienda INCIBE.
https://www.incibe.es/linea-de-ayuda-en-ciberseguridad/casos-reales/nuevo-metodo-de-fraude-usando-la-voz-de-un-familiar-creada-con-inteligencia-artificial

INCIBE, Línea de Ayuda en Ciberseguridad — Suplantación del CEO utilizando la técnica de inteligencia artificial deepvoice
La versión de empresa: la voz de un directivo, una transferencia y cómo reaccionar.
https://www.incibe.es/linea-de-ayuda-en-ciberseguridad/casos-reales/suplantacion-del-ceo-utilizando-la-tecnica-de-inteligencia-artificial-deepvoice

AEPD — La AEPD promueve el uso responsable de la IA con una iniciativa sobre deepfakes
Nota de prensa de marzo de 2026: qué son los deepfakes y qué recomienda la AEPD.
https://www.aepd.es/prensa-y-comunicacion/notas-de-prensa/aepd-promueve-uso-responsable-de-la-ia-con-iniciativa-sobre-deepfakes

AEPD — El uso de imágenes de terceros en sistemas de inteligencia artificial y sus riesgos visibles e invisibles
Rasgos identificables, como la voz, y derechos de supresión y oposición.
https://www.aepd.es/guias/guia-aepd-uso-de-imagenes-de-terceros-en-sistemas-ia.pdf

AEPD — Eliminar fotos y vídeos de internet
Cómo pedir que se retire un contenido y qué hacer si no hay respuesta.
https://www.aepd.es/en/activities/delete-photos-and-videos-from-internet

Periodismo de verificación

Maldita.es — Cómo los timadores están clonando voces de nuestros seres queridos con herramientas sencillas y usando sólo unos minutos de audio como muestra
Cómo funcionan las herramientas y de dónde salen las muestras.
https://maldita.es/malditatecnologia/20240717/voz-clonada-inteligencia-artificial-llamada-audio/

Documentación de las plataformas

Ayuda de YouTube — Cambiar la configuración de privacidad de un vídeo
Diferencia entre vídeos públicos, ocultos y privados y dónde se cambia la visibilidad.
https://support.google.com/youtube/answer/157177?hl=es&co=GENIE.Platform%3DDesktop

Enlaces comprobados en octubre de 2026. Si una dirección cambia, buscar el título en el sitio del organismo suele ayudar a encontrarla.

F. El Framework Cyber Welfare: Competencias, Conciencia, Comportamiento Seguro

Este recurso se apoya en el pilar Conciencia, en el nivel FL2 – Iniciado: entender cómo el contenido público de cada día puede convertirse en material para una estafa.

Competencias

• Encontrar dónde están tu voz y tu cara a la vista del público.
• Cambiar el público de un vídeo o de una publicación.
• Reconocer la forma de una petición urgente de dinero o de datos.

Conciencia

• Entender que las estafas con voz clonada se construyen con muestras públicas y detalles personales.
• Saber que una voz conocida, por sí sola, ya no prueba quién habla.
• Tratar tu voz como un dato personal sin renunciar a compartir lo que te gusta.

Comportamiento Seguro

• Elegir el público de cada vídeo en el que hablas, sin dejar el predeterminado.
• Llamar a un número que ya conoces antes de actuar ante una petición urgente.
• Aceptar contactos solo de personas que conoces de verdad.

G. Preguntas para detenerte a pensar

• Si una persona desconocida escuchara todo lo que has publicado en abierto, ¿cuánto de tu voz y de tu vida familiar podría reconstruir?
• ¿Cuáles de tus vídeos públicos dejarías así aunque ahora conozcas esto, y por qué?
• Si esta noche la voz de una amiga te pidiera dinero desde un número que no conoces, ¿a cuál de sus números llamarías?

H. Qué hacer ahora

Las recomendaciones (R) y las medidas de seguridad (MS) de la base de datos de Cyber Welfare que se aplican más directamente a este tema.

1. Tu voz y tu cara en público

• MS6 — Haz privadas tus cuentas de redes sociales, para que tus vídeos y tus notas de voz lleguen a las personas que has elegido y no a cualquiera que te busque.
• MS7 — Limita quién puede ver tu cuenta, tus fotos y tus publicaciones cambiando los ajustes de privacidad, empezando por los contenidos en los que se te oye hablar.

Compromiso mínimo: hoy, elige un vídeo público en el que hables y reduce su público, o decide con conocimiento de causa dejarlo público.

2. Quién puede llegar hasta ti y tu familia

• R23 — Seguir solo a personas conocidas en redes sociales: tu círculo decide quién te ve: cada persona desconocida que aceptas puede ver lo que compartes con tus amistades, incluida tu voz.

Compromiso mínimo: cuéntale a una persona cercana que una voz conocida, por sí sola, no prueba nada, y acuerda con ella llamar al número de siempre antes de enviar dinero.

En breve

• Las estafas con voz clonada copian una voz conocida a partir de grabaciones breves, a menudo sacadas de contenidos públicos.
• La voz es nueva, pero el guion se reconoce: prisa, un pretexto y una petición de dinero o de datos.
• El oído no siempre basta como prueba. Llamar a un número que ya conoces es más fiable.
• Tú decides quién puede oír tu voz en línea: dejarla, reducir el público o retirarla, un vídeo cada vez.

Recursos relacionados en este curso

• Palabra clave familiar: cómo frenar estafas con voz clonada
• Spear phishing: por qué un mensaje falso sabe tanto de ti
• Llamadas spam: de dónde sale tu número y cómo reducirlas

Descubre más recursos complementarios de los cursos en línea del Programa Protege tu Privacidad Digital.