Cómo operan las estafas por WhatsApp y SMS a través de la inteligencia artificial

Un mensaje urgente en el móvil, una supuesta alerta del banco, un hijo que dice haber perdido el teléfono o una llamada con una voz conocida. Las estafas por WhatsApp y SMS ya no se parecen a aquellos fraudes llenos de faltas de ortografía que muchos usuarios detectaban a primera vista. La inteligencia artificial ha cambiado el terreno de juego: permite redactar mensajes más creíbles, personalizar engaños con datos reales, automatizar campañas masivas y, en los casos más sofisticados, clonar voces para reforzar la sensación de confianza.

El punto de partida suele ser el smishing, una variante del phishing que llega por SMS. El mensaje suplanta a una empresa de mensajería, una entidad bancaria, la Agencia Tributaria, una compañía eléctrica o incluso a un familiar. Su objetivo es provocar una reacción rápida: pulsar un enlace, llamar a un número, instalar una aplicación, entregar credenciales o iniciar una conversación por WhatsApp. El Instituto Nacional de Ciberseguridad recuerda que estos fraudes se apoyan en la ingeniería social: no necesitan romper la seguridad de un banco si logran que la víctima entregue voluntariamente sus claves o confirme una operación.

La inteligencia artificial interviene en varias fases. Primero, ayuda a escribir textos sin errores, adaptados al idioma, al tono y al contexto local. Un ciberdelincuente puede generar miles de versiones de un mismo mensaje, probar distintas fórmulas de urgencia y seleccionar las más eficaces. Después, la IA permite personalizar el engaño: si los atacantes han obtenido datos de filtraciones, redes sociales o compras en bases clandestinas, pueden incluir el nombre de la víctima, su ciudad, su banco o una referencia a un envío reciente. Esa precisión reduce la sospecha y hace que el fraude parezca una comunicación legítima.

Una de las modalidades más conocidas es el llamado "timo del hijo". La víctima recibe un SMS o un WhatsApp desde un número desconocido: "Mamá, se me ha roto el móvil, este es mi nuevo número". A partir de ahí, el supuesto familiar pide dinero con urgencia para pagar una factura, comprar un teléfono o resolver una emergencia. La eficacia del engaño no depende solo del mensaje, sino del componente emocional: miedo, cariño y prisa. Si además el texto está bien escrito y la conversación se adapta a las respuestas de la víctima, la barrera de desconfianza cae con facilidad.

En el fraude bancario, la operación puede ser más compleja. El usuario recibe un SMS que alerta de un cargo sospechoso o de un bloqueo de cuenta. El enlace dirige a una página falsa que imita la web del banco. Poco después, una llamada refuerza la historia: un supuesto empleado de seguridad afirma que hay que confirmar códigos, cancelar una transferencia o mover dinero a una "cuenta segura". En campañas recientes se ha observado la combinación de SMS, llamadas y datos personales reales, una fórmula que algunos expertos denominan fraude híbrido.

La clonación de voz añade una capa especialmente inquietante. Con fragmentos de audio publicados en redes sociales, vídeos, notas de voz o entrevistas, las herramientas de IA pueden imitar la voz de una persona y generar frases nuevas. En un contexto de presión, escuchar una voz familiar puede bastar para que alguien actúe sin verificar. Por eso, los especialistas insisten en que la voz ya no debe considerarse una prueba definitiva de identidad.

WhatsApp también funciona como segunda fase del ataque. El SMS sirve de anzuelo y la conversación por mensajería permite construir confianza. Allí el estafador responde dudas, improvisa excusas y presiona para que la víctima no consulte con nadie. En otros casos, se hacen pasar por sorteos, ofertas de empleo, inversiones, servicios de paquetería o contactos sentimentales. El objetivo puede ser robar dinero de inmediato, capturar datos personales para futuros fraudes o secuestrar la propia cuenta de WhatsApp solicitando el código de verificación.

La defensa empieza por desconfiar de la urgencia. Ningún banco debería pedir códigos completos, contraseñas o transferencias por SMS, WhatsApp o llamada. Ante un mensaje inesperado, conviene no pulsar enlaces, no descargar archivos y no responder con datos personales. Si un familiar pide dinero desde un número nuevo, lo recomendable es llamarlo por el canal habitual o hacer una pregunta que solo esa persona pueda responder. Si la comunicación parece bancaria, hay que colgar y contactar con la entidad desde su aplicación oficial o el teléfono que aparece en la tarjeta.

También es importante activar la verificación en dos pasos en WhatsApp, mantener el sistema actualizado, revisar los permisos de las aplicaciones y denunciar los intentos de fraude. En España, INCIBE ofrece canales para reportar incidentes y recibir orientación. Guardar capturas, números, enlaces y justificantes de pago puede ser clave si se presenta una denuncia.

Las estafas digitales ya no se basan únicamente en mensajes torpes enviados al azar. La IA permite que parezcan cercanas, oportunas y convincentes. Frente a esa nueva apariencia de autenticidad, la mejor protección sigue siendo una pausa: detenerse, comprobar por otro canal y no actuar bajo presión.