Audio-Deepfakes & Voice-Phishing: Wenn die Stimme am Telefon lügt

Tres segundos de grabación de voz son suficientes hoy en día para clonar una voz de manera engañosamente real. Las herramientas para ello son gratuitas, no requieren conocimientos especializados y mejoran semanalmente. Lo que comenzó como una curiosidad técnica se ha convertido en una herramienta de fraude: los proveedores especializados en la detección de fraudes telefónicos informan de un aumento de los ataques de deepfake de más del 1.300 % en un corto periodo de tiempo.

La estafa: la confianza a través de la voz

Los deepfakes de audio atacan el sistema de seguridad más antiguo del ser humano: el reconocimiento de una voz familiar. Los ataques típicos:

• Fraude del CEO por llamada telefónica: La « dirección » llama a contabilidad y ordena una transferencia urgente. El sonido, el tono, la forma de hablar: todo encaja.
• Estafa del nieto 2.0: Se presiona a los familiares utilizando voces clonadas de hijos o nietos: accidentes, emergencias, dinero inmediato.
• Ataque a la autenticación de voz: Donde los sistemas se desbloquean mediante la voz («Mi voz es mi contraseña»), el clon se convierte en una llave maestra.
• Grabaciones manipuladas: Mensajes de voz y grabaciones falsificadas están apareciendo en disputas, extorsiones y campañas de desinformación.

Por qué el oído ya no es suficiente

La síntesis de voz moderna no solo reproduce el timbre, sino también la respiración, el ritmo del habla y la emoción. En las pruebas, los seres humanos apenas pueden distinguir los clones actuales de las grabaciones reales, especialmente por teléfono, donde la calidad del audio ya es reducida. La consecuencia: El ser humano por sí solo se ve superado como instancia de verificación. Se requiere una detección técnica que identifique artefactos de los procesos de síntesis que son inaudibles para el oído humano.

Lo que exige el EU AI Act

Desde agosto de 2026, se aplica Artículo 50 del EU AI ActCualquier persona que cree o difunda contenidos de audio, imagen o vídeo generados o manipulados por IA debe etiquetarlos como tales. Para las empresas, esto significa dos cosas:

• Quien utilice IA de voz (asistentes, anuncios, avatares) debe garantizar el etiquetado tanto organizativa como técnicamente.
• Quienes procesan comunicaciones entrantes (centros de contacto, sistemas de voz, transcripción) se benefician de la tecnología de detección: esta proporciona la prueba de que los contenidos sintéticos han sido detectados y gestionados.

Además, ISO/IEC 30107-3, el marco de pruebas internacional para la detección de ataques de presentación en sistemas biométricos, con el cual se deben medir las soluciones profesionales.

¿Cómo se reconoce una protección eficaz?

El mercado de la «detección de deepfakes» crece rápidamente y, con él, el número de promesas. Tres criterios separan la sustancia del marketing:

• Benchmarks públicos en lugar de autopromoción. Los sistemas serios pueden medirse mediante conjuntos de datos de prueba independientes (como el benchmark Speech-DF-Arena, que compara sistemas de detección a través de más de una docena de conjuntos de datos). La métrica clave es la Tasa de error igual (EER): cuanto más bajo, mejor. Los sistemas punteros se encuentran en el rango de unos pocos porcentajes.
• Generalización a métodos desconocidos. Lo decisivo no es reconocer las falsificaciones conocidas, sino nuevas, que no estaban presentes en absoluto durante el entrenamiento. Los buenos proveedores demuestran precisamente eso.
• Principio Fail-Closed En caso de duda, rechazar; nunca dejar pasar. Un sistema de detección que permite el acceso ante la incertidumbre es mera decoración.

Lo que las empresas deben hacer ahora

• Endurecimiento de procesos: Las autorizaciones de pago y las instrucciones críticas nunca deben aceptarse únicamente mediante una solicitud verbal, sino que deben confirmarse siempre a través de un segundo canal independiente (llamada de retorno a un número conocido, principio de cuatro ojos).
• Sensibilizar a los empleados: Quienes saben que las voces pueden ser falsificadas tienden a cuestionar más las llamadas inusuales. Las palabras clave para emergencias también ayudan en el ámbito privado.
• Comprobar la detección técnica: Donde la comunicación de voz es crítica para el negocio (centros de contacto, sistemas de voz, procesos de aprobación), se debe integrar una capa de detección en la arquitectura, que sea operable localmente y auditable.

Insight-IT está desarrollando su propio Voice-Security-Gateuna instancia de verificación previa que comprueba la autenticidad de las voces entrantes antes de que se conviertan en una transcripción, un acceso o una autorización, on-premise y según el principio fail-closed. En mediciones de benchmark independientes, el sistema alcanza el nivel de los mejores sistemas de detección abiertos. Si desea saber qué significa esto para su telefonía o sus procesos de voz: estaremos encantados de mostrárselo con sus propios casos de uso.

Nota: Este artículo sirve como una primera clasificación y no sustituye el asesoramiento jurídico, especialmente en cuanto a la aplicación del EU AI Act a su caso concreto.

← todas las guías