En este artículo
Es martes por la tarde. Tu proveedor de carne habitual llama — reconoces la voz al instante, el mismo hombre con el que trabajas desde hace tres años. Suena apurado: el banco del restaurante ha cambiado de sistema, y el pago de hoy debe ir a otra cuenta. Te lo envía por WhatsApp al momento. ¿Puedes transferirlo ahora, está entre dos entregas?
La voz no es falsa. Suena exactamente como él. Y eso es precisamente lo que ha cambiado: que una voz suene correcta ya no es garantía de que hablas con esa persona.
Qué ha cambiado realmente
El fraude de facturas existe desde siempre — una carta falsificada, un correo suplantado desde un dominio con una letra de más, una firma que no encaja del todo. Los restaurantes ya suelen reconocer ese tipo: un correo de "tu gestor" con un espacio de más en la dirección levanta sospechas.
Lo nuevo es la voz. Una investigación de la empresa de seguridad McAfee descubrió que unos tres segundos de audio bastan para clonar una voz con cerca del 85% de precisión — suficiente para engañar a un oído entrenado, y más a uno con prisa. Esos tres segundos están por todas partes: un mensaje de voz, una respuesta a una reseña de Google grabada por el propio proveedor, un fragmento de un pódcast. Nadie tiene que hacer nada inusual para que ese audio sea público; a menudo ya lo es.
La magnitud exacta de esto para restaurantes independientes es difícil de precisar — la mayoría de los incidentes nunca se denuncian, por vergüenza o porque la cantidad parecía demasiado pequeña. Lo que sí está documentado: en empresas grandes, la pérdida media por incidente de este tipo (que en EE. UU. rastrea el FBI bajo el nombre "Business Email Compromise") ronda las decenas o cientos de miles de euros, y el número de casos sigue subiendo cada año. El mecanismo que funciona allí es exactamente el que funciona en una cocina pequeña — solo cambia la cantidad.
La razón de que un negocio independiente sea especialmente vulnerable no es técnica, sino organizativa. En una empresa grande, una persona prepara un pago y otra lo aprueba. En un restaurante, suele ser la misma persona — el dueño, o quien esté en el escritorio entre dos servicios. Una petición que suena a alguien de confianza está diseñada precisamente para saltarse ese segundo par de ojos que una empresa mayor sí aplicaría.
La anatomía de una llamada
Cinco momentos, cada uno con su señal y su freno
Un mensaje o llamada urgente, algo fuera del canal habitual (WhatsApp en vez de correo) o a una hora extraña — normalmente con una excusa ("el banco cambió de sistema", "cambiamos de cuenta").
Un proveedor o gestor real nunca tiene prisa por un dato bancario. Esperar no le cuesta nada; a ti te lo cuesta todo si pagas ahora.
La voz suena bien — pero hay presión para actuar hoy, y para no consultarlo con nadie antes. "Vamos a hacerlo simple", o "no quería molestarte con detalles".
Un socio de verdad entiende que quieras comprobarlo. Quien lo descarta te está dando la señal más clara de las cinco.
Te piden que no lo comentes con tu socio, tu gestor o quien más participe — "para simplificarlo" — o dicen que el contacto habitual no está disponible ahora mismo.
Es la señal más clara de las cinco. Un proveedor real nunca te pide ocultarle algo a tu propio gestor.
Una cuenta bancaria cambiada en una factura existente o próxima — a veces una pequeña diferencia con el número de siempre, a veces uno completamente distinto, "solo esta vez".
Llama al número que ya tenías, de antes de esta conversación — nunca a uno que llegue en el mismo mensaje que pide el cambio.
En cuanto el dinero sale por una transferencia normal, se va casi al instante — a diferencia de un pago con tarjeta, no hay devolución automática.
Es el último momento, y por eso cada uno anterior es la verdadera línea de defensa. Llegados aquí, todo depende de lo rápido que llames al banco (más abajo).
En cualquiera de estos cinco momentos basta un hábito para pararlo: llamar a un número que ya tenías, nunca al que viene en el mensaje que pide el cambio.
Ninguno de estos cinco momentos requiere conocimientos técnicos para detectarlo. Solo hace falta saber qué mirar — y tener ya el hábito antes de que llegue la llamada.
El protocolo de la llamada de vuelta
Hay un hábito que funciona en todos los momentos anteriores, y cuesta casi nada: verifica siempre un dato de pago cambiado usando datos de contacto que ya tenías — nunca un número, correo o enlace que llega en el mismo mensaje que pide el cambio. Llama al número guardado en tu teléfono, o al de la última factura. No al que acaba de llamarte.
Tres reglas hacen este protocolo viable en una cocina donde nadie tiene tiempo para un departamento de cumplimiento:
- Todo dato bancario cambiado merece un segundo par de ojos — incluso en un negocio de dos personas. Es tu socio, tu gestor, o quien no sea la misma persona que recibió la llamada Y envía el pago. Que una sola persona haga las dos cosas es exactamente lo que busca el fraude.
- Un cambio por primera vez en una factura grande merece una pausa corta — un día, o hasta contactar con el proveedor en el número antiguo. Un cambio real sobrevive fácilmente esa pausa; uno fraudulento, casi nunca, porque la presión de actuar ya era todo el objetivo.
- Acuerda con tu equipo que nadie se sentirá ridículo por hacer una llamada de comprobación. El motivo principal por el que este protocolo falla no es la ignorancia — es que alguien se siente incómodo llamando al proveedor "para comprobar que era él de verdad". Que sea la norma, no la excepción.
Sin llamada de vuelta frente a con ella
La misma petición, dos caminos
Llega mensaje con cuenta bancaria cambiada
El pago se hace de inmediato
El dinero se ha ido — no hay devolución posible
Llega mensaje con cuenta bancaria cambiada
Llamada al número que ya tenías (< 2 minutos)
Fraude detectado — no se pierde nada
La defensa cuesta menos de dos minutos. El error que evita cuesta lo que había en la factura.
¿Qué tan sospechosa es esta llamada?
Ninguna señal de abajo prueba por sí sola el fraude — pero cuantas más haya, mayor motivo para llamar de vuelta antes de pagar. Marca lo que se aplique a una llamada que acabas de tener, o que estás teniendo ahora.
Comprobación de riesgo para esta llamada
Marca lo que se aplique — el veredicto se actualiza solo
Veredicto
Riesgo bajo
Pocas señales presentes. Aun así, no está de más llamar al número conocido antes de confirmar — solo cuesta dos minutos.
0 / 7 señales marcadas
Esta lista no sustituye al sentido común — una llamada con cero señales puede seguir siendo fraude, y una sola señal no demuestra nada. Es un recordatorio para el momento en que sientas prisa y quieras comprobar si es normal.
Si ya ha ocurrido
Si solo te das cuenta de que algo iba mal después de la transferencia, cada minuto cuenta. Haz esto, en este orden:
- Llama de inmediato a la línea de fraude de tu banco — no al servicio de atención general. Los bancos a veces pueden recuperar una transferencia mientras el dinero no haya llegado por completo a la cuenta receptora, pero esa ventana suele ser de minutos a pocas horas, no días.
- Presenta una denuncia a la policía. Aunque la cantidad parezca pequeña: hace falta para cualquier reclamación al seguro, y ayuda a la policía a detectar el patrón si el mismo estafador está atacando a otros negocios.
- Avisa a tu proveedor o gestor real. Pueden advertir a otros clientes que podrían recibir la misma llamada — y a ellos también les resulta desagradable que usen su nombre y su voz así.
- No te avergüences de contarlo en tu equipo. Esto le pasa a empresas de todos los tamaños: en 2024, la filial británica de una energética alemana transfirió supuestamente 220.000 euros después de que su director recibiera una llamada que sonaba exactamente como el CEO de la matriz alemana, con una voz clonada, pidiendo un pago urgente para cerrar un acuerdo. Si puede pasar ahí, no es un fallo personal que te pase a ti.
Para configurar esta semana
Cuatro cosas que puedes poner en marcha esta semana, sin sistema ni presupuesto:
- Escribe el protocolo de la llamada de vuelta, literalmente — una línea en una hoja junto a la caja o el escritorio: "Dato bancario cambiado: llama al número antiguo, nunca al nuevo."
- Cuéntaselo a todos los que tocan pagos — incluido quien paga una factura en tu día libre.
- Acuerda una palabra clave o una pregunta de control con tus proveedores habituales y tu gestor para cambios por teléfono — algo que una voz clonada no sepa simplemente.
- Pon un segundo par de ojos en cada pago por encima de una cantidad que consideres significativa — aunque eso signifique que tu socio o gestor reciba un mensaje antes de que le des a enviar.
El punto clave
Una voz clonada convence porque es exactamente lo que dice ser: una voz que suena bien. Lo que no encaja es la urgencia, la petición de guardar silencio, y el número cambiado — y esas tres cosas se reconocen sin ningún conocimiento técnico. Un hábito, llamar a un número que ya tenías, detiene casi cualquier versión de esta historia antes de que salga el dinero.