DEEPFAKE Y CLONACIÓN DE VOZ POR IA: CÓMO ACREDITAR Y DENUNCIAR ESTA ESTAFA

Hiperrealismo Delictivo con IA

Para comprender en qué consiste exactamente esta estafa, imagínese esta situación.

Son las cinco de la tarde de un viernes, y el director financiero de una pyme en crecimiento, recibe una llamada en su móvil de trabajo. Es el número del CEO de la empresa. La voz, inconfundible, le trasmite una urgencia de realizar una trasferencia en los próximos minutos a una cuenta en el extranjero, debido a que se ha cerrado una adquisición estratégica confidencial y es necesario realizar la transferencia par sellar el acuerdo. La voz del CEO le insiste que es de absoluta confidencialidad y que el lunes le dará más detalles.

La presión, la familiaridad de la voz y la lógica empresarial de la situación le impulsan a actuar y realiza la transferencia. Pero el lunes, se descubre que el CEO nunca realizó esa llamada y el dinero se ha desvanecido.

Este escenario es la nueva realidad del fraude empresarial, impulsada por la tecnología de deepfake y clonación de voz mediante Inteligencia Artificial (IA). El hiperrealismo delictivo con IA, ha hecho que la capacidad de discernir entre lo real y lo generado digitalmente se convierta en un serio problema para la seguridad de particulares y empresas.

La evolución de las tecnologías, cada vez más accesibles y perfeccionadas, ha dotado a los ciberdelincuentes de herramientas capaces de vulnerar la confianza. La suplantación de identidad ha alcanzado niveles de sofisticación nunca antes vistos, dejando a las víctimas en situaciones de vulnerabilidad extrema, jurídica y probatoria.

Desde NQ Abogados Penal, como especialistas en ciberdelincuencia, queremos proporcionar el conocimiento necesario para identificar estas amenazas, comprender la calificación penal de los hechos y, fundamentalmente, conocer el protocolo de actuación preciso para denunciar con eficacia y maximizar las posibilidades de defensa de derechos y recuperación de activos.

¿Qué son los Deepfakes y la Clonación de Voz por IA?

Para un correcto encuadre jurídico, es imprescindible comprender la naturaleza del medio comisivo. No estamos ante un simple disfraz, sino ante una sofisticada manipulación informática que constituye el núcleo del engaño.

Deepfake (del inglés «deep learning» + «fake»)

La tecnología subyacente se basa en redes neuronales profundas, concretamente en un modelo conocido como Redes Generativas Antagónicas (GANs, por sus siglas en inglés). De forma simplificada, dos inteligencias artificiales compiten entre sí:

1. La Red Generadora: Su misión es crear el contenido falso (el vídeo). Para ello, se «entrena» analizando ingentes cantidades de material audiovisual de la persona a suplantar (vídeos en redes sociales, conferencias, entrevistas, etc.), aprendiendo sus patrones de movimiento facial, tics, expresiones y morfología.
2. La Red Discriminadora: Actúa como un perito, intentando detectar si el vídeo que le presenta la Red Generadora es real o falso.

Este proceso antagónico se repite millones de veces. La Red Generadora aprende de los rechazos de la Discriminadora, perfeccionando sus creaciones hasta que la Discriminadora ya no es capaz de diferenciar el contenido real del sintético. El resultado es un vídeo hiperrealista de una persona diciendo o haciendo algo que jamás ha sucedido.

Clonación de Voz por IA (Voice Cloning)

Utilizando algoritmos avanzados de aprendizaje automático, un software puede analizar una muestra de voz muy breve, en ocasiones de menos de un minuto. El sistema descompone la voz en sus elementos fundamentales: tono, prosodia (la «melodía» del habla), timbre, ritmo y acento. Una vez «aprendido» este patrón vocal único, el motor de IA puede sintetizar un discurso completamente nuevo, leyendo cualquier texto con la voz clonada. Informes de ciberseguridad de entidades como Europol y el Instituto Nacional de Ciberseguridad (INCIBE) ya alertan de que esta tecnología está democratizando el fraude del CEO, al añadir una capa de verosimilitud casi irrefutable a las peticiones fraudulentas.

Desde la perspectiva legal, la propia tecnología es el medio comisivo del delito, un «artificio informático semejante» que encaja directamente en los agravantes del delito de estafa y que define la naturaleza cualificada del engaño.

Casuísticas Reales de Estafas con IA en España

La versatilidad de estas herramientas ha permitido a los delincuentes diversificar sus objetivos y metodologías. A continuación, detallamos las modalidades más preocupantes y su impacto.

1. El Fraude del CEO (Business Email Compromise 2.0): Es una de las tácticas más sofisticadas y perjudiciales en el fraude corporativo. El ataque suele ser multifase: comienza con una intrusión sigilosa en los sistemas de la empresa (phishing) para estudiar la jerarquía, los protocolos de pago y el estilo de comunicación. Armados con este conocimiento, los criminales identifican el momento oportuno y lanzan el ataque final: una llamada o audio con la voz clonada del CEO o de otro alto directivo. Las pérdidas pueden ser millonarias. Según datos del FBI, las estafas BEC han costado a las empresas miles de millones a nivel global, y la clonación de voz representa la evolución natural y más peligrosa de esta amenaza.

2. Sextorsión y Ataques Reputacionales de Alta Precisión: Esta modalidad tiene un impacto psicológico devastador. Los delincuentes crean vídeos de naturaleza sexual o comprometedora utilizando el rostro de la víctima y amenazan con difundirlos entre sus contactos (familia, compañeros de trabajo, redes sociales) si no se paga un rescate, generalmente en criptomonedas. Jurídicamente, aquí concurren varios delitos: un delito de amenazas condicionales (chantaje), un delito contra la integridad moral y, dependiendo de lo que se impute en el vídeo, posibles delitos de calumnias o injurias graves con publicidad.

3. Falsas Emergencias Familiares y Secuestros Virtuales: Explotando el vínculo más fuerte, el familiar, los estafadores utilizan las redes sociales para obtener información sobre su objetivo (nombres de hijos, lugares de vacaciones). Posteriormente, envían un vídeo deepfake o un audio con la voz clonada de un hijo o familiar, simulando un secuestro, un accidente o una detención en el extranjero, exigiendo una transferencia inmediata para su liberación o ayuda. La carga emocional anula el juicio crítico de la víctima, facilitando el éxito de la estafa.

4. Fraudes de Verificación de Identidad (KYC – Know Your Customer): El sector financiero y de criptoactivos se enfrenta a un gran desafío. Los delincuentes utilizan deepfakes en videollamadas para suplantar la identidad de una persona y superar los procesos de verificación online para abrir cuentas bancarias o wallets de criptomonedas. Esto no solo les permite acceder a los fondos de la víctima, sino también utilizar esas cuentas para el blanqueo de capitales, convirtiendo a la persona suplantada en una pieza involuntaria de una trama criminal mucho mayor.

5. Manipulación del Mercado y Fraudes de Inversión: Una modalidad en auge consiste en crear vídeos deepfake de figuras de renombre en el mundo empresarial y financiero (como Elon Musk o directivos de grandes fondos de inversión) en los que anuncian oportunidades de inversión «únicas» en nuevas criptomonedas o proyectos tecnológicos. Estos vídeos se difunden masivamente a través de redes sociales, dirigiendo a las víctimas a plataformas de inversión fraudulentas donde pierden todo su capital.

Cómo Identificar la Manipulación de contenido generado por IA

Aunque la tecnología es avanzada, no es perfecta. Una auditoría crítica del contenido recibido puede revelar la manipulación. Se debe realizar un triple análisis:

1. Análisis Visual (Deepfakes):

• Fisiología Ocular: La IA a menudo falla en replicar con naturalidad el parpadeo o el reflejo de la luz en la córnea. Observe si el parpadeo es inexistente, demasiado rápido o asincrónico.
• Sincronización Labial: Preste atención a una posible desincronización, por mínima que sea, entre el movimiento de los labios y las palabras pronunciadas.
• Textura de la Piel y Bordes: La piel puede parecer excesivamente lisa o, por el contrario, las arrugas pueden no moverse de forma natural con las expresiones. Los bordes del rostro, especialmente en la línea del pelo y el cuello, pueden presentar artefactos digitales, desenfoques o distorsiones.
• Iluminación Inconsistente: Fíjese si las sombras en el rostro se corresponden con la fuente de luz del entorno del vídeo.

2. Análisis Auditivo (Clonación de Voz):

• Prosodia y Emocionalidad Plana: La principal debilidad actual de la IA es la réplica de la emoción genuina. Un audio que narra una situación de pánico con una cadencia monótona o extrañamente calmada es una señal de alarma.
• Artefactos de Audio: Escuche con atención en busca de ruidos metálicos sutiles, microcortes entre palabras o una cadencia de habla robótica y antinatural.
• Respiración Anómala: La falta de sonidos de respiración natural entre frases o, por el contrario, inspiraciones en momentos ilógicos del discurso, pueden delatar el fraude.

3. Análisis Contextual y Protocolo de Verificación: Esta es, sin duda, la defensa más eficaz. La tecnología puede ser sofisticada, pero el contexto de la petición suele ser la mayor bandera roja. Ninguna solicitud legítima y urgente de dinero se basará exclusivamente en un único canal de comunicación. Implemente un protocolo de «verificación humana»:

• Cuelgue la llamada o ignore el mensaje.
• Contacte a la persona supuestamente implicada a través de un canal de comunicación diferente y previamente conocido (su número de teléfono personal guardado en su agenda, una llamada a la centralita de la oficina, etc.).
• En el ámbito empresarial, establezca un protocolo de doble autorización para cualquier transferencia que supere un cierto umbral o que se desvíe de los procedimientos habituales.

El Marco Jurídico-Penal: Calificación de los hechos en el Código Penal

La persecución de estos ilícitos se articula a través de la aplicación de diversas figuras delictivas del Código Pena.

1. El Delito de Estafa Agravada (Artículos 248, 249 y 250 del Código Penal): Este es el eje central de la acusación. Para que exista estafa, deben concurrir sus elementos estructurales:

• Engaño: El uso de un deepfake o una voz clonada constituye, per se, un «engaño bastante» de altísima calificación. Supera la diligencia media exigible a la víctima, ya que ataca directamente la confianza basada en el reconocimiento visual o auditivo de una persona conocida. La discusión sobre la «diligencia de la víctima» pierde fuerza ante la sofisticación.
• Error, Acto de Disposición y Perjuicio: El engaño provoca un error en la víctima, que la lleva a realizar un acto de disposición patrimonial (la transferencia) que causa un perjuicio económico.
• Agravantes Específicos (Art. 250.1): En estos casos, es habitual la aplicación de varios subtipos agravados que elevan considerablemente las penas:
  • Art. 250.1.5: El más evidente, «que se cometa mediante manipulación informática o artificio semejante». La definición legal encaja perfectamente con el uso de IA para crear contenido sintético.
  • Art. 250.1.6: «Cuando se cometa con abuso de las relaciones personales existentes entre víctima y defraudador, o aproveche éste su credibilidad empresarial o profesional». Es el subtipo aplicable por antonomasia en el Fraude del CEO y en las estafas familiares.
  • Art. 250.1.8: Cuando al delinquir el culpable hubiera sido condenado ejecutoriamente al menos por tres delitos comprendidos en este Capítulo.

2. Delito de Usurpación del Estado Civil (Artículo 401 del Código Penal): «El que usurpare el estado civil de otro será castigado con la pena de prisión de seis meses a tres años.» Este delito se comete cuando el delincuente no solo se hace pasar por otro, sino que ejercita sus derechos y acciones, como dar una orden en calidad de CEO para disponer de fondos de la empresa. La jurisprudencia exige que la suplantación sea eficaz y persistente para la consecución del fin.

3. Concurso de Delitos: Raramente, estos hechos constituirán un único delito. Lo habitual es que nos encontremos ante un concurso medial de delitos, donde un delito es el medio necesario para cometer otro (por ejemplo, la usurpación de identidad es el medio para cometer la estafa). Esto tiene importantes consecuencias, ya que se aplica la pena del delito más grave en su mitad superior.

4. La Ley de Inteligencia Artificial de la Unión Europea: La recientemente aprobada Ley de IA de la UE, de aplicación progresiva, establece obligaciones de transparencia. Exige que los deepfakes y el contenido sintético sean claramente etiquetados como artificiales. Aunque su marco es principalmente administrativo, el incumplimiento de esta norma por parte de una plataforma o servicio puede constituir un elemento probatorio adicional en un proceso penal, demostrando la voluntad de ocultar la manipulación y reforzar el engaño.

La Prueba Digital Forense: Base Jurídica para la Acusación

En el proceso penal rige el principio de presunción de inocencia. La carga de la prueba recae sobre la acusación. Demostrar, con validez judicial, que un archivo digital es una manipulación artificial es el elemento crucial que diferencia una denuncia archivada de una condena.

El Rol del Perito Informático Forense: Es una figura indispensable. Un abogado puede argumentar el derecho, pero necesita el informe de un perito para acreditar los hechos tecnológicos. La misión del perito es:

• Analizar el archivo: Mediante software especializado, examinará los metadatos, la compresión, los artefactos digitales y otros indicadores técnicos para detectar la manipulación.
• Elaborar un Informe Pericial: Este documento, que tiene valor de prueba pericial en juicio, debe ser objetivo, riguroso y concluyente. Detallará la metodología empleada, las herramientas utilizadas y una conclusión clara sobre la autenticidad o falsedad del archivo.

La Cadena de Custodia (Regulada en los Art. 259 y ss. de la Ley de Enjuiciamiento Criminal): La validez de cualquier prueba digital depende de una cadena de custodia ininterrumpida. Esto implica un registro documentado de quién ha tenido acceso a la prueba, cuándo, para qué y qué cambios se han realizado desde su recopilación hasta su presentación en el juzgado. La ruptura de esta cadena puede llevar a la impugnación y anulación de la prueba. Un abogado especializado se asegurará de que, desde el primer momento, la evidencia digital (el vídeo, el audio) sea preservada con las debidas garantías, por ejemplo, mediante su depósito ante Notario o su entrega a los agentes con el correspondiente sellado y acta.

El Proceso de Denuncia: Fases y Requisitos Legales

Una actuación rápida y ordenada es fundamental.

1. Fase Pre-Denuncia y Asesoramiento Legal Urgente: Antes incluso de acudir a la policía, es altamente recomendable contactar con un abogado penalista. Este profesional le guiará sobre cómo preservar la evidencia y le ayudará a estructurar un relato de hechos coherente y jurídicamente sólido.
2. Formulación de la Denuncia o Querella:
   • Denuncia: Es la mera puesta en conocimiento de los hechos ante las Fuerzas y Cuerpos de Seguridad del Estado (Policía Nacional o Guardia Civil) o el Juzgado de Guardia.
   • Querella: Es un escrito más complejo, firmado por abogado y procurador, que se presenta directamente en el juzgado. Permite a la víctima constituirse como acusación particular, pudiendo solicitar diligencias de investigación, proponer pruebas y participar activamente en el proceso penal. En delitos de esta complejidad, la interposición de una querella suele ser la vía más efectiva.
3. Solicitud de Diligencias de Investigación Urgentes: Su abogado solicitará al Juez de Instrucción la práctica inmediata de diligencias clave para evitar la desaparición de pruebas y la consolidación del perjuicio:
   • Identificación de las direcciones IP de origen del ataque.
   • Mandamiento judicial a las entidades bancarias para el bloqueo preventivo de las cuentas de destino y la identificación de sus titulares.
   • Requerimiento a las plataformas (redes sociales, servicios de mensajería) para que conserven y entreguen los datos asociados a las cuentas de los delincuentes.

La Responsabilidad Civil de las Entidades Bancarias

¿Y qué ocurre con el banco desde el que se realizó la transferencia? 

La jurisprudencia del Tribunal Supremo, en aplicación de la normativa de servicios de pago (Directiva PSD2 y el Real Decreto-ley 19/2018), ha establecido un estándar de responsabilidad muy elevado para las entidades bancarias.

Los bancos tienen la obligación de disponer de sistemas de Autenticación Reforzada del Cliente (SCA) y de monitorización para detectar operaciones fraudulentas. Aunque sea el cliente quien, engañado, ordena la operación, se puede argumentar una responsabilidad de la entidad si esta no detectó una transacción manifiestamente anómala (por su cuantía, por el país de destino, por ser un beneficiario nuevo, etc.) y no activó protocolos de seguridad adicionales. La viabilidad de una reclamación civil paralela al proceso penal para recuperar los fondos debe ser analizada minuciosamente en cada caso.

Defensa Jurídica en Ciberdelitos: Funciones del Abogado Penalista Especializado en Ciberdelincuencia

La creciente sofisticación de los delitos informáticos exige una respuesta legal a la altura. Afrontar un proceso penal de esta naturaleza sin el acompañamiento especializado supone asumir riesgos innecesarios en un terreno complejo y en constante evolución.

Contar con un abogado penalista con formación específica en ciberdelincuencia y derecho tecnológico no es solo recomendable, es determinante. Solo este perfil reúne las competencias clave para afrontar el proceso con garantías:

• Conocimiento profundo del derecho penal y procesal, imprescindible para construir una estrategia de defensa sólida, interlocutar con el Ministerio Fiscal y sostener el caso en juicio.
• Comprensión técnica del entorno digital y la prueba tecnológica, fundamental para interpretar informes periciales, identificar indicios relevantes y anticiparse a las argumentaciones contrarias.

En el ámbito digital, el tiempo es un factor crítico, la prueba electrónica puede desaparecer y los movimientos financieros se ejecutan con rapidez. Ante situaciones como estafas mediante deepfake, clonación de voz o suplantación de identidad, la respuesta legal debe ser inmediata, técnica y precisa.

En NQ Abogados, estamos a su disposición para asesorarle en materia de ciberseguridad y ayudarle a proteger su empresa de los delitos tecnológicos. Si su empresa se enfrenta a una crisis de ciberseguridad o desea fortalecer su posición legal preventiva, somos su aliado estratégico para proteger su negocio y la tranquilidad de sus administradores. No dude en contactarnos para obtener más información sobre nuestros servicios.