Estafas con IA: cómo reconocerlas y protegerse

Una estafa con IA es un engaño de siempre (una urgencia, un falso familiar, un falso asesor, una falsa inversión) que la inteligencia artificial vuelve más creíble: voz imitada, vídeo manipulado, mensaje sin una sola falta. Para protegerse bastan algunos reflejos: frenar, comprobar por otro canal y no pagar ni dar nunca un código bajo presión.

Esta guía le ayuda a detectar las situaciones de riesgo y a reaccionar. No describe cómo se fabrican los fraudes, solo lo que necesita saber para prevenirlos.

Lo que la IA cambia en las estafas

Los resortes del engaño no han cambiado: el miedo, la urgencia, la confianza y el deseo de ganar dinero fácil. La IA generativa, que produce textos, imágenes, voces o vídeos, no crea emociones nuevas que manipular. Simplemente hace la trampa más convincente, más rápida de fabricar y más fácil de personalizar.

En la práctica, tres viejas señales de alerta ya no bastan:

• Las faltas de ortografía. Un chatbot redacta mensajes impecables en cualquier idioma.
• La voz conocida. Las herramientas de síntesis de voz pueden imitar una voz a partir de grabaciones publicadas en internet.
• El vídeo como prueba. Un deepfake puede mostrar a una persona real diciendo lo que nunca dijo.

Estas estafas se resumen en nuestra ficha del glosario sobre estafas que usan IA.

Las seis situaciones más frecuentes

1. La llamada de un familiar en apuros

Una llamada o un audio reproduce la voz de su hijo, su pareja o uno de sus padres. Habla de un accidente, una detención o un problema en el extranjero, pide dinero ya y le ruega que no diga nada. Detallamos este caso en nuestra guía para proteger a su familia de la clonación de voz.

2. El falso directivo o el falso proveedor

En el trabajo, un correo, una llamada o incluso una videollamada parecen venir de un directivo o de un proveedor habitual. Piden una transferencia urgente y confidencial, o anuncian un cambio de cuenta bancaria. Empresas de todos los tamaños son objetivo.

3. El famoso que recomienda una inversión

Un vídeo en redes sociales muestra a un personaje conocido elogiando una inversión « garantizada » o una criptomoneda milagrosa. El vídeo es falso, la plataforma es fraudulenta y las primeras « ganancias » que ve solo sirven para que invierta más.

4. El mensaje perfecto de su banco o de la Administración

Un correo o un SMS sin faltas, con su nombre y a veces su empresa o una compra reciente, le invita a pulsar un enlace para « proteger su cuenta » o « evitar una multa ». Es phishing, solo que mejor escrito que antes.

5. El falso asistente de IA

Una aplicación, una extensión o una web imita a un asistente conocido, o promete una versión « premium gratis ». Su objetivo: robar sus credenciales o su tarjeta, o instalar un programa malicioso. Descargue los asistentes solo desde la web oficial de la empresa o desde las tiendas de aplicaciones oficiales.

6. La relación en línea demasiado perfecta

Un perfil atractivo, fotos cuidadas, semanas de conversación cálida y, de pronto, una petición de dinero por un imprevisto. Las fotos y parte de los mensajes pueden estar generados por IA. Si nunca ha visto a esa persona en la vida real y aparece el dinero, es una señal de alerta seria.

Póngase a prueba Un SMS de su banco, sin faltas, le pide confirmar una operación facilitando el código que va a recibir. ¿Qué hace?

No da ese código a nadie, nunca. Su banco no se lo pedirá. Ignora el enlace del SMS, llama a su banco al número habitual (el de su tarjeta o el de la aplicación oficial) y, si tiene dudas, consulta la línea 017 de INCIBE.

Las señales de alerta que debe recordar

Como la calidad del mensaje ya no delata al estafador, fíjese en la situación. La tabla relaciona cada señal con el reflejo adecuado.

Señal de alerta	Lo que suele esconder	El reflejo adecuado
Urgencia extrema, « ahora mismo »	Impedirle pensar	Frenar, tomarse diez minutos
Petición de secreto	Aislarle de su familia o compañeros	Contárselo a alguien de confianza
Pago inusual (tarjetas regalo, criptomonedas, nueva cuenta)	Dinero difícil de recuperar	Negarse, comprobar por otro canal
Petición de un código recibido por SMS	Tomar el control de su cuenta	No darlo nunca
Contacto inesperado que le pide actuar	Suplantación de identidad	Llamar a un número conocido
Ganancias rápidas y garantizadas	Falsa inversión	Comprobar la plataforma con el supervisor

¿Hay que confiar en los detectores?

Algunas herramientas prometen decir si una imagen, un texto o una voz se ha creado con IA. Estos detectores de contenido de IA pueden dar una pista, pero se equivocan en ambos sentidos: dejan pasar montajes y a veces señalan como falsos contenidos auténticos. Algunas empresas añaden además una marca de agua invisible a las imágenes o audios que generan, pero los estafadores no usan necesariamente esas herramientas, y la marca puede perderse tras una edición.

Así que no deje que una herramienta decida por usted en plena urgencia. Una llamada de tres minutos a la persona adecuada vale más que cualquier análisis. Tenga en mente una pregunta sencilla: « Si este mensaje fuera falso, ¿qué podría perder? » Si la respuesta es dinero, códigos o datos personales, compruebe antes de actuar.

Buenos hábitos en el día a día

En familia

• Acuerden una palabra clave familiar: una palabra o frase que solo conozcan sus allegados, para pedirla ante una llamada inquietante.
• Devuelva siempre la llamada al número que ya tiene, nunca al que le da su interlocutor.
• Hable de ello con los mayores y con los más jóvenes: los primeros suelen ser víctimas de falsos familiares, los segundos de falsos sorteos y ofertas. Nuestra guía sobre los niños y la IA da ideas para abordar el tema.
• No culpe a la víctima. Estas estafas están diseñadas para engañar a personas atentas e informadas. Quien siente vergüenza puede callar y perder un tiempo valioso para bloquear un pago. Diga claramente a los suyos que pueden llamarle a cualquier hora, aunque sea por una simple duda.

Con sus cuentas

• Active la verificación en dos pasos en su correo, sus redes sociales y su banco.
• Use una contraseña distinta para cada sitio.
• No dé nunca un código de verificación, ni siquiera a quien dice ser su banco, la policía o un servicio técnico.

En el trabajo

• Aplique la doble validación: ninguna transferencia ni cambio de cuenta bancaria por una simple llamada, correo o videollamada, aunque venga del director general.
• Compruebe por un canal independiente: llamada al número del directorio interno o confirmación de un compañero.

Con lo que publica

Los estafadores aprovechan lo que encuentran en internet: vídeos en los que se oye su voz, fotos familiares, datos sobre su trabajo y sus viajes. Limitar lo que hace público reduce su materia prima. Es una de las ideas centrales de nuestra guía sobre IA y privacidad: qué pasa con sus conversaciones.

Los agentes de IA también pueden caer en la trampa

Si usa un asistente que lee su correo o un agente que navega por usted, sepa que también puede ser manipulado. Un mensaje o una página trampa pueden esconder instrucciones que podría seguir: es la inyección de prompts. Mantenga el control de las acciones delicadas (pagos, envíos, borrados) exigiendo una confirmación. Antes de delegar una tarea, nuestra herramienta ¿Puedo confiarle esto a un agente? le ayuda a medir el riesgo.

Del mismo modo, no dé por bueno lo que un chatbot le diga sobre un teléfono de atención al cliente o la dirección de una web: puede equivocarse. Nuestra guía para verificar las respuestas de la IA explica cómo llegar a la fuente oficial.

Si es víctima o tiene una duda

No se quede solo y actúe rápido. Estos son los pasos, según los recursos oficiales consultados el 22 de octubre de 2026.

1. Avise a su banco de inmediato si ha pagado o facilitado datos bancarios, para intentar bloquear o reclamar la operación.
2. Guarde las pruebas: números, mensajes, correos, capturas de pantalla, referencias de transferencias.
3. En España, llame al 017, la línea de ayuda en ciberseguridad de INCIBE: gratuita y confidencial, atiende todos los días de 8:00 a 23:00 a ciudadanos, empresas, menores y familias, con asesoramiento técnico, psicosocial y legal. También responde por WhatsApp (900 116 117) y Telegram (@INCIBE017).
4. Presente denuncia ante la Policía Nacional, la Guardia Civil o la policía autonómica que corresponda, con todas las pruebas reunidas.
5. Cambie sus contraseñas si escribió sus credenciales en una web falsa, empezando por la de su correo.

En América Latina, los canales varían según el país: acuda a la policía, a su banco y a los organismos oficiales de ciberseguridad o de protección al consumidor de su país. Esta información es general; para un caso concreto, como un conflicto con su banco, consulte a un profesional del derecho o a una asociación de ayuda a las víctimas.