La norma que bloquea desde junio los SMS con remitente falso no alcanza a las llamadas con voz clonada. INCIBE ha documentado varios casos en España este año, en los que el engaño se completa en menos de diez minutos. Las empresas buscan perfiles capaces de anticiparse a este tipo de fraude y no los encuentran.
Un empresario recibe un mensaje que parece de su banco. Segundos después suena el teléfono y al otro lado escucha la voz de su director financiero, que confirma el aviso y le pide autorizar una transferencia urgente. El tono es el suyo, las pausas son las suyas, el acento también. No es él. Es una voz generada con inteligencia artificial. Cuando el engaño es descubierto, el dinero ya se ha movido.
El caso lo ha documentado el Instituto Nacional de Ciberseguridad, que durante los primeros meses de 2026 ha registrado varios fraudes de este tipo en España. En uno de ellos, publicado en febrero, los delincuentes clonaron la voz del responsable de una empresa del sector comercio para desviar pagos a cuentas bajo su control. En otro, la voz suplantada fue la de un familiar.
Una secuencia de diez minutos
Lo que INCIBE denomina estafa híbrida no es una técnica, sino tres encadenadas. Primero llega un SMS falso que genera alarma y urgencia. Después, una llamada de alguien cuya voz resulta reconocible confirma el contenido del mensaje. Y por último, dentro de esa llamada, se solicitan datos bancarios, códigos de verificación o la autorización directa de un pago. La secuencia completa puede ejecutarse en menos de diez minutos.
La eficacia del método no está en la tecnología, sino en el orden. El SMS por sí solo levanta sospechas. La llamada por sí sola, también. Encadenados, cada uno valida al otro: el mensaje explica por qué llaman, y la voz confirma que el mensaje era real. La víctima no baja la guardia por descuido, sino porque el fraude ha reconstruido el procedimiento de verificación que ella misma habría seguido.
Lo que cambió en junio, y lo que no
El 7 de junio de 2026 entraron en vigor las obligaciones de bloqueo previstas en la Orden TDF/149/2025, después de que la Comisión Nacional de los Mercados y la Competencia aprobara en marzo la circular que regula el registro de alias para SMS. La medida dificulta de forma notable el smishing: los mensajes que se hacen pasar por una entidad bancaria tienen ahora mucho más difícil llegar al destinatario.
La llamada, en cambio, sigue igual. Opera por un canal distinto y queda fuera del alcance de esa norma. El resultado es previsible: cerrada una vía, el fraude se concentra en la que permanece abierta. Y es precisamente la vía en la que la víctima tiene menos herramientas para defenderse, porque durante décadas hemos usado la voz como prueba de identidad sin necesidad de nada más.
El bulo y el fraude real
Conviene separar dos cosas que circulan juntas. Desde principios de año se difunde por redes y grupos de mensajería una advertencia según la cual basta con descolgar y decir «¿hola?» para que los delincuentes capturen voz suficiente y la reproduzcan después. Esa versión no está acreditada: verificadores que la han examinado la sitúan en el cruce entre avisos comerciales de empresas que venden protección contra este fraude y el antiguo timo del «sí», y no responde al funcionamiento real de la técnica.
El fraude auténtico no necesita esa llamada. El material de voz suele obtenerse de fuentes ya públicas: vídeos en redes sociales, notas de audio reenviadas, intervenciones en actos, entrevistas, seminarios grabados. Cuanta más presencia pública tiene una persona, más fácil resulta reunir muestras suficientes. Por eso los objetivos preferentes no son usuarios anónimos, sino cargos con capacidad de autorizar pagos y familiares de personas identificables.
La distinción importa porque cambia la defensa. Dejar de decir «hola» al teléfono no protege de nada. Establecer una palabra acordada con la familia o un segundo canal de verificación dentro de la empresa, sí.
Consecuencias legales y organizativas
En el plano penal, estos casos rara vez se resuelven con una sola calificación. Según ha explicado el penalista Juan Antonio Signes García, socio de Sanahuja Abogados Penalistas y miembro de la European Criminal Bar Association, suelen concurrir de forma simultánea la estafa del artículo 248 del Código Penal, la usurpación del estado civil del artículo 401 y el descubrimiento y revelación de secretos del artículo 197. Cuando la cantidad defraudada supera los 50.000 euros, la pena puede alcanzar los seis años de prisión.
Para las organizaciones, la consecuencia práctica es más incómoda que la penal: hay que rediseñar procedimientos que llevaban décadas funcionando. Cualquier autorización de pago que dependa de reconocer una voz al teléfono ha dejado de ser un control válido. Y sustituirlo no es comprar una herramienta, sino revisar quién puede autorizar qué, con qué doble confirmación y por qué canal, y después entrenar a la plantilla para que sostenga ese procedimiento incluso cuando quien llama suena exactamente como el director financiero.
El cuello de botella
Ese trabajo requiere un perfil concreto, y ahí es donde el sistema se atasca. Durante la presentación del Estudio sobre la industria de la ciberseguridad en España 2025, elaborado por INCIBE y CONETIC, el presidente de esta última, José Luis Pancorbo, cifró en un 76% las vacantes ofertadas en ciberseguridad que quedan sin cubrir por la distancia entre los puestos que se demandan y los profesionales formados disponibles. INCIBE aporta un dato complementario: solo 2 de cada 10 posiciones se cubren con talento interno de la propia organización.
No es un problema de vocación. Los salarios de entrada superan la media nacional y la demanda crece entre un 20% y un 25?daaño, según las proyecciones recogidas por España Digital 2026. El desajuste está en la formación: hacen falta profesionales que combinen criterio técnico con conocimiento normativo y capacidad de rediseñar procesos, y ese perfil no sale de forma natural de ningún itinerario académico tradicional.
Es exactamente el que forma el Máster en Ciberseguridad de EIP International Business School: prevención del fraude y verificación de identidad, cumplimiento normativo y respuesta a incidentes, con preparación para las certificaciones OSCP y CCSP, dos de las más valoradas en los procesos de selección del sector. Con tres de cada cuatro vacantes sin cubrir, es una de las pocas especializaciones donde la demanda va por delante de la oferta. Consultar el programa y las salidas profesionales.