fraude del si

La suplantación de identidad y el fraude telefónico se han convertido en temas de gran interés debido al aumento de estafas relacionadas con el uso indebido de la voz.

Vamos, que hoy en día ya no solo estafan mediante campañas de emails o redes sociales. Como ya he comentado múltiples veces, los deepfakes están a la orden del día, y prácticamente cada semana nos llegan casos a CyberBrainers de usurpaciones de identidad a empresarios y también a particulares que se saldan con miles de euros robados.

Recientemente, tuve la oportunidad de colaborar de nuevo con Maldita.es en una investigación para arrojar luz sobre el conocido como «fraude del sí» por vía telefónica. Esta modalidad de estafa implica el uso de grabaciones en las que las víctimas simplemente dicen «sí», y a partir de ahí, los ciberdelincuentes intentan aprovecharse de esa respuesta para contratar servicios o productos en su nombre.

¿Qué es el fraude del «sí» telefónico y cómo funciona?

Como te decía, el fraude del «sí» se basa en una llamada telefónica en la que el estafador intenta obtener una grabación de la víctima diciendo la palabra «sí».

Las 7 de la Semana
Newsletter de negocios digitales, tecnología y seguridad

Imagínate recibir de manera totalmente gratuita este tipo de historias directamente en tu correo.

Te envío cada lunes a las 7am un email con toda la actualidad sobre tecnología, seguridad y negocios digitales.


Con este simple asentimiento, los estafadores pueden potencialmente manipular el audio para hacerlo pasar por una aceptación de términos o contratación de servicios. Aunque existen limitaciones técnicas y legales que dificultan su uso en ciertas plataformas (afortunadamente, todo hay que decirlo), el riesgo sigue presente y es un tema que los medios han decidido retomar para educar al público.

Esta investigación en colaboración con Maldita.es surge de la preocupación por los casos en los que se podría intentar utilizar una grabación de nuestra voz para suplantarnos y contratar servicios o abrir cuentas en nuestro nombre. La periodista Luisa Bernal, de Maldita.es, se puso en contacto conmigo para abordar en profundidad cómo los ciberdelincuentes podrían aprovechar este método y qué precauciones deberíamos tomar para protegernos.

Ya había hablado en profundidad del fraude del sí, así que procedo por aquí a dejar algunos de los tips que le comenté a la periodista y que no había tratado por estos lares.

Preguntas de Maldita.es sobre el fraude del «sí»

En nuestra conversación, Luisa planteó algunas dudas clave sobre los riesgos de este tipo de fraude, especialmente en relación con qué tipo de servicios o productos podrían contratarse usando una grabación de voz y si sería necesario que los ciberdelincuentes ya dispusieran de datos personales adicionales.

A continuación, comparto las respuestas que le ofrecí en relación a sus preguntas.

¿Qué tipo de servicios o productos podrían contratar los ciberdelincuentes con una grabación de nuestra voz diciendo «sí»?

Mi respuesta a esta pregunta fue la siguiente:

«Uno de los usos más probables de este tipo de grabaciones es para la contratación de servicios que no requieren una autenticación tan exhaustiva, como es el caso de algunas líneas telefónicas.

Con una grabación de ‘sí’, es posible que el estafador intente pasar por nosotros para contratar una línea de teléfono, que posteriormente puede emplear para cometer fraudes adicionales o hacer llamadas a números de tarificación especial.

Aunque las empresas de telecomunicaciones suelen verificar la identidad mediante datos adicionales (en España, por ejemplo, están obligadas a ello, y de hecho les han caído ya varias multas, por ejemplo, por no tomar las medidas adecuadas en ataques de SIM Swaping), en algunos casos este procedimiento no es tan riguroso como en otros sectores, como el bancario. Y luego vienen las sorpresas…»

Algunos estafadores podrían aprovechar estas líneas para actividades de fraude, como suplantar a la víctima ante terceros o usar el número contratado para hacer cargos a su nombre. En el peor de los casos, si el estafador tuviera acceso a información más sensible de la víctima, podría intentar hacer pasar esa llamada como una autorización de contratación de servicios adicionales o incluso usarla para vincular pagos a tarjetas o cuentas bancarias, aunque este tipo de transacciones suele requerir verificaciones adicionales.

¿Sería necesario que ya tuvieran de antemano otros datos personales más allá de la grabación?

Aquí, le respondí a Luisa con lo siguiente:

«Definitivamente, una grabación de nuestra voz diciendo ‘sí’ no es suficiente para llevar a cabo un fraude de manera autónoma.

Los ciberdelincuentes suelen requerir otros datos personales de la víctima, como su nombre completo, número de identificación (DNI, NIE, etc.), dirección y en algunos casos el número de cuenta bancaria o tarjeta de crédito.

Esto se debe a que la gran mayoría de empresas y bancos exigen varios niveles de autenticación para validar que la persona que realiza una contratación es realmente quien dice ser.

Sin embargo, la grabación de la voz es un elemento adicional que, junto a otros datos, podría facilitar la suplantación.

Y, en todo caso, te puedo decir que hoy en día obtener datos de un ciudadano español es prácticamente tan sencillo como saber dónde buscar en la deepweb. De hecho, a principios/mediados de este año hubo una oleada de filtraciones masivas a servicios de administración pública y empresas de gran volumen que prácticamente han expuesto todos los datos de un ciudadano español mayor de edad. La DGT, Telefónica, el Banco Santander… Raro será que alguno nos hayamos librado…»

Es decir, una grabación aislada de una persona diciendo «sí» carece de valor por sí sola. No obstante, si el estafador ya cuenta con información personal de la víctima, esta grabación puede ayudarle a superar ciertas barreras de seguridad en casos de contrataciones más simples o servicios de baja seguridad, donde no se exijan todos los datos de verificación.

Cómo prevenir el fraude del «sí» y proteger nuestros datos personales

Aunque esta estafa puede parecer inofensiva en apariencia, existen varias formas de protegernos de ella:

  1. Evitar contestar «sí» en llamadas desconocidas: Es algo que a mi todavía me cuesta, lo tengo que reconocer. En su lugar, responder con preguntas como «¿Quién llama?» o simplemente pedir más información. Esto impide que el estafador obtenga una grabación útil de nuestra voz para suplantación.
  2. Usar sistemas de identificación y bloqueo de llamadas: Hoy en día existen aplicaciones y servicios que ayudan a filtrar y bloquear llamadas sospechosas o no deseadas, lo cual reduce significativamente la posibilidad de recibir una llamada fraudulenta.
  3. Estar atentos a nuestras cuentas y servicios contratados: Si detectamos movimientos o cambios sospechosos, como la apertura de una línea telefónica que no hemos solicitado, debemos reportarlo a la compañía correspondiente de inmediato.
  4. Configurar autenticación de múltiples factores: Siempre que sea posible, activar la autenticación de dos factores (2FA) en nuestras cuentas y servicios contratados. Este sistema añade una capa extra de seguridad que impide que los estafadores puedan acceder a nuestros datos solo con una grabación de voz, y ya en su día lo definí como «el único sistema de seguridad verdaderamente seguro».

¿Es posible que una grabación de voz sea suficiente para suplantarnos?

En el contexto de servicios financieros o bancarios, al menos en países europeos, las entidades requieren que el cliente pase por múltiples etapas de autenticación, que pueden incluir preguntas de seguridad, contraseñas o incluso sistemas de verificación biométrica avanzada. Esto hace que sea prácticamente imposible para un estafador utilizar una grabación de voz en estos entornos sin contar con el resto de la información personal de la víctima.

Sin embargo, en servicios donde la autenticación es menos rigurosa, como algunos proveedores de telecomunicaciones, la grabación de un «sí» podría ser usada como respaldo en combinación con otros datos, especialmente si el estafador ya tiene en su poder datos adicionales, como el número de identificación personal de la víctima o su dirección. En este sentido, la prevención y el cuidado con nuestros datos personales se convierten en elementos clave para evitar este tipo de fraudes.

Avisado/a quedas G.G.

Dejo para terminar el enlace al artículo publicado por el medio (ES).

Servicio de asesoramiento a víctimas de fraude

Desde CyberBrainers ofrecemos un servicio de asesoramiento a víctimas de cualquier tipo de fraude cibernético.

Gracias a él, revisamos cada caso por separado, te explicamos qué opciones tienes, y te ofrecemos soporte en aquello que necesites (ayuda legal, asesoramiento técnico para evitar problemas futuros…).

Además, si hay posibilidad de recuperar el dinero robado, te ayudamos con la recuperación.

Si has sido víctima de alguno de estos timos, ponte en contacto con nosotros y revisaremos el caso.

¡Me han estafado! Necesito ayuda

Qué hacer para evitar ser víctima de fraudes

Otros fraudes que deberías conocer

Otros artículos que te pueden interesar