Detén la petición antes de intentar detectar la falsificación
La forma práctica de protegerse de las estafas que utilizan IA no consiste en decidir en segundos si una voz es auténtica. Consiste en acordar de antemano qué acciones nunca se realizarán solo por recibir un mensaje: transferir dinero, compartir un código de acceso, cambiar datos de pago o instalar software. Cuando llegue una petición así, para y compruébala mediante un canal que elijas tú. La regla se aplica aunque la voz resulte familiar, el interlocutor conozca datos personales o la imagen parezca convincente.
La IA puede mejorar la redacción y la personalización de mensajes engañosos y facilitar la creación de imágenes o voces familiares. Sin embargo, no todas las estafas utilizan IA y no hace falta demostrar que la usan para evitar una acción arriesgada. Lo importante es qué te piden hacer y por qué confías en esa petición. Un mensaje escrito sin errores tampoco demuestra la identidad de quien lo envía.
Estableced una regla sencilla en casa: las peticiones inusuales requieren una comprobación adicional. Guarda en un lugar accesible números fiables de familiares, del banco y de un contacto del trabajo, obtenidos de fuentes que ya conozcas. Quien tenga dificultades con las aplicaciones puede preparar una tarjeta impresa. El objetivo es facilitar la comprobación bajo presión, no convertir a todos en especialistas en ciberseguridad.
Una voz conocida o una videollamada no acredita la identidad
La FTC, la agencia estadounidense de protección de los consumidores, ha advertido sobre estafas de emergencias familiares que utilizan clonación de voz. Su recomendación principal es contactar con la persona mediante un número conocido, en lugar de confiar únicamente en la voz. Si no está disponible, intenta localizarla a través de un familiar o amigo. Que no conteste no confirma la historia, pero tampoco hay que ignorar un peligro real: sigue comprobándola mediante personas y organismos cuya identidad puedas verificar de forma independiente.
Imagina una llamada en la que alguien suena como un familiar y pide una transferencia inmediata sin contárselo a nadie. No necesitas discutir ni intentar desenmascarar la falsificación. Di que vas a comprobarlo, cuelga y marca el número que ya tienes guardado. No utilices otro número facilitado por quien llama ni permitas que permanezca en línea y te indique cómo verificar su relato.
La familia puede acordar una palabra clave que no esté publicada en internet ni se base en datos biográficos fáciles de adivinar. Es una protección adicional, no una autorización automática para enviar dinero. Cámbiala si se divulga. Incluso una respuesta correcta no sustituye a devolver la llamada ante una petición inusual. En vídeo, los movimientos extraños o la falta de sincronización entre imagen y sonido pueden despertar sospechas, pero su ausencia no demuestra autenticidad. Comprueba la petición fuera de la llamada en vez de confiar en una prueba visual improvisada.
Comprueba los mensajes convincentes desde el propio servicio
Un mensaje sobre una entrega, un pago, una devolución de impuestos o la suspensión de una cuenta puede parecer rutinario precisamente porque está bien escrito. En lugar de buscar solo faltas de ortografía, analiza el contexto: ¿esperabas ese contacto, exige una acción inusual y puedes encontrar la misma petición en la aplicación o web que utilizas normalmente? Un nombre visible o una foto de perfil conocida no responde a estas preguntas.
Si el mensaje afirma que hay un problema con tu cuenta, abre tú la aplicación oficial o escribe una dirección conocida. No investigues utilizando el enlace recibido. El candado del navegador no garantiza que la web pertenezca a la organización correcta. Un código QR también puede llevar a un destino engañoso, por lo que no merece más confianza solo porque no parezca un enlace corriente.
No necesitas pegar un mensaje con información personal en una herramienta de IA para que emita un veredicto. Puede sugerir señales de alerta, pero no necesariamente sabe quién lo envió o si una cuenta ha sido comprometida. Si decides usarla, elimina primero los datos sensibles y considera su respuesta únicamente una ayuda. La decisión debe basarse en la comprobación con el servicio, no en la seguridad con la que responde un sistema automático.
Soporte falso: no cedas el control a quien llama
Un supuesto agente de soporte puede decir que tu ordenador está infectado, que el banco ha detectado actividad extraña o que la cuenta de tu negocio requiere atención inmediata. La señal práctica de alerta es lo que solicita: instalar un programa de control remoto, compartir pantalla, proporcionar una contraseña o leer un código. Detente antes de actuar y contacta con la organización mediante una aplicación habitual o datos comprobados por tu cuenta. Una persona paciente y aparentemente profesional también puede ser un impostor.
Compartir pantalla puede exponer mensajes, documentos y datos que nunca quisiste revelar. Antes de una asistencia legítima que hayas solicitado, cierra las ventanas ajenas al problema y aclara qué podrá ver o hacer el agente. No entres en la banca electrónica mientras una persona sin verificar observa la pantalla. Aprobar una instalación o un permiso no es un trámite técnico menor: puede cambiar el acceso al dispositivo y a su información.
Un código de un solo uso corresponde a una acción concreta. Lee el mensaje que lo acompaña y no lo entregues a alguien que haya contactado contigo. Si no has iniciado una sesión o un pago, no apruebes una notificación simplemente para quitarla. Que las solicitudes se repitan tampoco es motivo para aceptar. Accede al servicio por tu cuenta y revisa la seguridad de la cuenta. En el trabajo, contacta con soporte mediante el canal establecido por la organización.
WhatsApp y redes sociales: cuenta conocida, petición nueva
Un mensaje en una conversación existente puede proceder de una cuenta comprometida, no de su propietario. Por eso, una petición inusual de dinero, de un código o de votar iniciando sesión de nuevo necesita comprobarse aunque el historial parezca normal. Llama a tu amigo a un número que ya tuvieras guardado. Si el mensaje dice que ha cambiado de número, prueba el anterior o consulta a un contacto común antes de actualizar los datos y actuar.
No escanees un código ni apruebes vincular un dispositivo solo porque alguien lo presente como una verificación de identidad. Lee lo que la propia aplicación dice que hará esa acción. Revisa periódicamente los dispositivos vinculados y la actividad desconocida en los ajustes de la cuenta, y elimina conexiones que no reconozcas. Activa las protecciones disponibles y conserva la información de recuperación en un lugar accesible incluso si pierdes el teléfono.
Cuando detectes una suplantación, guarda una captura de pantalla, el nombre de la cuenta y la hora del contacto antes de bloquearla y denunciarla en la plataforma. Si han utilizado tu cuenta para contactar con otras personas, avísalas por otro canal. Explica brevemente qué peticiones no eran tuyas y qué deben evitar. No hace falta volver a difundir el enlace sospechoso para ilustrar el incidente: descríbelo sin crear otra oportunidad de hacer clic.
Pequeñas empresas: separa la petición de la autorización del pago
En una pequeña empresa, un mensaje fraudulento puede parecer una instrucción del propietario o un cambio de cuenta bancaria de un proveedor. Exige que cualquier modificación de los datos de pago se verifique llamando al número que ya consta en los registros, no al que acompaña la solicitud. Incluso una factura aparentemente correcta no sustituye esa comprobación. Siempre que sea posible, una segunda persona debería aprobar las transferencias inusuales tras conocer cómo se han verificado los datos.
Las excepciones también importan. Si el propietario está fuera, el proveedor insiste o el pago es urgente, un procedimiento que ignore estas situaciones puede quedarse en el papel. Designa a un sustituto y fija un importe a partir del cual no pueda omitirse una autorización adicional. Evita una cultura en la que los empleados teman detener una petición que parece venir del responsable. La dirección debe hacer posible la verificación, aunque suponga un retraso.
Un ejercicio breve puede utilizar un caso ficticio: un proveedor conocido solicita cobrar en una cuenta nueva. Los empleados explican a quién llamarían, dónde está guardado el número y quién aprobaría la transferencia. No es necesario enviar mensajes alarmantes ni recoger contraseñas de los trabajadores para practicar. El objetivo es comprobar que la vía segura existe y está clara, y corregir las carencias antes de un incidente real.
¿Ya has hecho clic? Responde según lo que se haya expuesto
Abrir un enlace, entregar una contraseña y transferir dinero son incidentes distintos. Anota qué ocurrió realmente: ¿solo se abrió una página, introdujiste datos, se descargó un archivo o aprobaste un permiso? Si únicamente abriste una página sin facilitar nada, ciérrala y comprueba si hubo descargas o instalaciones. No asumas que cada clic implica una intrusión, pero tampoco ignores un cambio desconocido en el dispositivo.
Si compartiste una contraseña, cámbiala desde el servicio oficial en un dispositivo fiable, y también donde la hubieras reutilizado. Revisa los datos de recuperación, las sesiones abiertas y los permisos, y revoca los accesos que no reconozcas. Si entregaste un código o aprobaste una conexión, cambiar solo la contraseña puede ser insuficiente. Si es una cuenta del trabajo, informa inmediatamente al equipo responsable para que revise también los permisos y la actividad de la organización.
Si transferiste dinero o revelaste datos de pago, contacta inmediatamente con el banco o proveedor de pagos mediante un número conocido y pregunta por la posibilidad de detener operaciones o bloquear accesos. Recuperar el dinero no está garantizado. Si se instaló software de control remoto desconocido, desconecta el dispositivo de la red y pide ayuda desde otro aparato. Conserva pruebas cuando puedas, sin retrasar las medidas que frenen el daño. No pagues a quien prometa recuperar los fondos a cambio de otro adelanto.
Denunciar en Israel y prepararse para la próxima vez
Según la Israel National Cyber Directorate, el centro nacional de respuesta a incidentes cibernéticos recibe avisos y presta asistencia inicial en el 119, gratuitamente y a cualquier hora. Puedes contactar ante una sospecha, sin esperar a que haya daños. Prepara una descripción breve, las horas, capturas de pantalla y detalles de las acciones realizadas. No envíes contraseñas ni códigos de acceso como parte del relato del incidente.
Un aviso de ciberseguridad no sustituye a contactar con el banco si el dinero está en riesgo, presentar una denuncia policial si se sospecha un delito o acudir a emergencias ante un peligro inmediato. No necesitas esperar la respuesta de un canal antes de actuar por otro que corresponda. Si está implicado un dispositivo del trabajo, informa también a la organización y no borres material potencialmente relevante sin indicaciones.
Tras la respuesta inmediata, mejora el hábito que falló: un número de teléfono que faltaba, una contraseña reutilizada, un acceso innecesario o un pago aprobado sin comprobar. Revisa con la familia las alternativas de contacto y mantén actualizados los datos de recuperación. Una conversación concreta y sin culpas facilita avisar pronto la próxima vez. La protección eficaz consiste en acciones que puedes realizar bajo presión: parar, verificar por tu cuenta, limitar los daños y comunicar lo ocurrido.