«Ya te han hackeado y no lo sabes»: Selva Orejón destapa la epidemia de clonaciones de voz, la vulnerabilidad crítica de PHP y el colapso de la seguridad tradicional

El cibercrimen ha alcanzado una dimensión técnica que desborda por completo los hábitos preventivos del usuario común. En una conversación en el videopódcast de Uri Sabat (#LFDE), la perito judicial especializada en identidad, imagen y reputación digital y directora ejecutiva de onBRANDING, Selva Orejón, analizó la situación de la ciberseguridad actual: «Nos van a hackear a todos, pero muchos de nosotros ya lo estamos».

Orejón describió un ecosistema donde la clonación biométrica mediante inteligencia artificial se ejecuta en apenas segundos, la suplantación telefónica (spoofing) desactiva los filtros de verificación habituales y los agentes autónomos de IA empiezan a comprometer la infraestructura base de internet.

Clonación de voz por IA y la regla de oro: la palabra clave familiar

Uno de los puntos más urgentes abordados durante la charla es la facilidad con la que los grupos delictivos reproducen la identidad acústica de cualquier persona:

• De minutos a segundos: Si hace unos años hacían falta casi un minuto de audio limpio para replicar una voz, hoy bastan entre 3 y 10 segundos extraídos de una historia de Instagram, un mensaje de voz o un vídeo en redes para generar un clon creíble mediante herramientas comerciales.
• El fallo del «Sí, dígame» y el spoofing: Contestar a llamadas desconocidas con un simple «sí» sigue siendo un riesgo para la aceptación forzosa de contratos verbales, pero Orejón desmontó la falsa sensación de seguridad técnica: mediante aplicaciones de suplantación de número (caller ID spoofing), los atacantes llaman a operadoras o bancos haciendo ver que llaman desde el teléfono legítimo de la víctima, sorteando barreras con apenas la fecha de nacimiento.
• Protocolo de 3 pasos ante emergencias familiares falsas: Si un supuesto hijo, padre o pareja llama con su voz exacta pidiendo transferencias urgentes:
  1. Palabra clave previa: Acordar previamente en el entorno familiar una palabra o anécdota íntima de la infancia que sea imposible de inferir mediante fuentes abiertas (OSINT).
  2. Colgar y llamar directamente: No fiarse de la pantalla del móvil; cortar la comunicación y marcar uno mismo al número de confianza.
  3. Higiene técnica estricta: Implementar gestores de contraseñas, doble factor de autenticación (2FA) que no dependa de SMS y VPNs de pago.

«Guarderías de iPhones», estafas en Vinted con IA y sextorsión en LinkedIn

Orejón desglosó casos reales de su práctica pericial que evidencian cómo el crimen organizado y el oportunismo digital operan en el día a día:

• Las ‘guarderías de iPhones’ en el Raval: Analizó el circuito del robo físico en grandes urbes como Barcelona, donde los terminales sustraídos se ocultan en pisos francos («guarderías») donde se desconectan de la red para evitar el rastreo inmediato, y luego se dirigen campañas de phishing hiperrealistas a los contactos de emergencia de la víctima para sustraer la clave de iCloud y desbloquear los aparatos. Muchos de estos dispositivos acaban en mercados de receptación en el norte de África o Europa.
• Imágenes falsificadas para devoluciones en plataformas de segunda mano: En aplicaciones como Vinted o Wallapop, los estafadores compran dispositivos electrónicos (como consolas) y exigen el reembolso enviando fotos generadas con IA que muestran el producto supuestamente roto o defectuoso.
• El auge del Tindering en LinkedIn: La perito alertó sobre el trasvase de las «estafas del amor» desde Tinder o Instagram hacia LinkedIn. Utilizando cuentas corporativas comprometidas, los atacantes entablan contacto bajo la apariencia de oportunidades de negocio o congresos profesionales para derivar en videollamadas privadas, capturar imágenes íntimas y desatar extorsiones que amenazan con destruir la reputación de directivos y militares.

«Internet ha muerto»: la brecha de PHP y el desbordamiento de los SOCs

El tramo más alarmante de la conversación abordó la vulnerabilidad estructural de la red tras recientes incidentes en cascada:

• El fallo del 70 % de la web: Orejón advirtió sobre la vulnerabilidad crítica detectada en el lenguaje PHP, el motor dinámico que sostiene más del 70 % de los portales de internet. Si el componente base falla y los grupos criminales explotan el agujero antes de que las empresas apliquen los parches, la seguridad perimetral se desmorona.
• La desconexión empresarial: La experta denunció que, mientras los atacantes y los agentes de IA explotan fallos a velocidad computacional, muchas empresas tardan días en responder a una alerta crítica de seguridad emitida a su presidencia o consejo de administración.
• Fin de la gestión manual: Ante la aparición de enjambres de agentes autónomos capaces de ejecutar ataques masivos en paralelo —como el documentado recientemente en Hugging Face—, los Centros de Operaciones de Seguridad (SOC) no pueden depender de turnos humanos pasivos: exigen monitorización agéntica reactiva 24/7 capaz de aplicar contramedidas en milisegundos.

La paradoja de exigir ciberseguridad cuántica a quien aún usa ‘123456’

La radiografía de Selva Orejón en #LFDE conecta de lleno con los debates sobre ciberseguridad agéntica que analizamos con José Antonio Lorenzo (Palo Alto Networks) en #AndalucIA26: la industria vive una desalineación temporal insostenible.

Por un lado, la tecnología ofensiva ha entrado en la era de la automatización total. Los ciberdelincuentes no necesitan escribir código desde cero ni pasar semanas monitorizando a un objetivo; utilizan modelos de lenguaje para generar phishing contextualizado, clonan timbres vocales en tres segundos y aprovechan herramientas de escaneo autónomo para golpear vulnerabilidades globales como la de PHP antes de que el parche oficial se descargue en los servidores de las pymes.

Por otro lado, la cultura de seguridad del usuario de a pie y del tejido empresarial medio sigue anclada en el siglo pasado. Seguimos viendo empresas con correos gratuitos sin doble factor de autenticación, directivos que comparten contraseñas con sus parejas en casa y ciudadanos que publican en tiempo real cada paso de su vida privada en redes. La inteligencia artificial no ha inventado la vulnerabilidad; simplemente ha industrializado el engaño. Frente a un enemigo que opera a la velocidad del microprocesador, la única línea de defensa que nos queda no es técnica, sino cultural: desconfianza por defecto, canales de verificación analógicos y asumir que la privacidad en internet ya no es una opción de configuración, sino una disciplina diaria.

Déjanos tu opinión en los comentarios y únete a la discusión en Instagram, Facebook y YouTube.