Videollamadas con caras falsas en tiempo real: señales, comprobaciones y protocolos para no caer

Por qué hablamos hoy de videollamadas con caras falsas

En pocos meses han aparecido herramientas capaces de suplantar un rostro en directo con una calidad que, en pantallas pequeñas, engaña incluso a personas entrenadas. Ya no hablamos solo de vídeos grabados o de audios clonados: en una simple reunión de trabajo, una tutoría o una llamada familiar, alguien puede mostrarse como otra persona, mover la boca a ritmo del audio y sostener una conversación fluida. Esto está ocurriendo en soporte técnico falso, entrevistas laborales, fraudes a empresas y, cada vez más, en entornos personales.

Este artículo te ofrece un manual práctico: qué señales observar, cómo comprobar identidad sin fricciones y qué protocolos aplicar en empresas y familias. No necesitas ser experto en IA. Con hábitos sencillos y herramientas que ya tienes (sala de espera, listas de invitados de tu dominio, mensajes de verificación por otra vía) reducirás drásticamente el riesgo de caer en una suplantación sin entorpecer tu día a día.

Qué está pasando exactamente en las videollamadas

Las suplantaciones en directo combinan varias piezas maduras:

Intercambio de rostro en tiempo real: software que ajusta la cara de la persona atacante al modelo de la persona suplantada, con mapeo de rasgos y sincronización labial. Funciona en equipos modestos y se integra como “cámara virtual” en cualquier app.
Voz clonada o modulada: imita timbre y prosodia a partir de muestras públicas (entrevistas, redes). A veces basta con un modulador genérico para sembrar credibilidad si la imagen ya “cuadra”.
Fondos pregrabados: la escena detrás del rostro también puede ser un vídeo en bucle, una captura de pantalla animada o un fondo sintético con bokeh convincente.
Guion y presión: la puesta en escena se completa con urgencia (“hay que aprobar este pago ya”), confidencialidad (“no circules esto por correo”) o halagos (“me han hablado muy bien de ti, avancemos rápido”).

El resultado: una videollamada que parece legítima durante los primeros minutos. Ese margen es suficiente para extraer datos, lograr accesos o presionar pagos. Lo relevante no es la perfección técnica, sino el contexto emocional que reduce tus defensas.

Señales prácticas que sí puedes detectar

No necesitas identificar artefactos digitales ultrafinos. En la mayoría de casos, bastan señales comportamentales y de entorno. Piensa en estas categorías:

1) Señales visuales

Boca y mandíbula: la voz suena natural pero el labio inferior y los dientes carecen de microvariaciones. En consonantes fuertes (“p”, “b”, “m”) el cierre labial puede no sellar del todo.
Parpadeo y cejas: parpadeos más regulares o bruscos; cejas que “viajan” de forma rígida. Fíjate en la asimetría real de las cejas: muchas falsificaciones tienden a simetrías improbables.
Orejas y pelo: bordes que se funden con el fondo al mover la cabeza; mechones que cambian de textura con la luz; pendientes que “flotan” o se desalinean al girar.
Gafas y reflejos: cristales sin reflejos del entorno o con reflejos que no coinciden con la escena; monturas que atraviesan piel en algunos cuadros.
Iluminación improbable: sombras faciales que no concuerdan con la luz del fondo, brillo en la frente que no varía cuando cambia la posición.

2) Señales de audio

Latencia labios–voz: desajuste sutil que va y viene al hablar rápido o al reír. Pide una frase rápida poco habitual (“tres tristes tigres…”) y observa.
Respiración y sonidos de boca: muchas voces clonadas atenúan aspiraciones, clics de saliva y pequeños roces de micrófono asociados a movimientos reales.
Rango dinámico plano: volumen y color de voz demasiado uniformes incluso al inclinarse hacia el micrófono.

3) Señales de interacción

Negativa a moverse: evita girar 45º, acercar la mano a la cara o mostrar un lateral del perfil.
Guion apretado: quiere “ir al grano” sin calentar la conversación ni repasar acuerdos previos.
Rechazo a cambiar de canal: no acepta confirmar por chat corporativo, SMS o nota de voz en un canal alternativo ya conocido.
Huye de imprevistos: si aparece otra persona en la sala o propones un gesto rápido, corta o congela su vídeo.

4) Señales de contexto

Horario o escenario incoherentes: se conecta “desde la oficina” un día festivo local, o desde “el aeropuerto” sin ruido ni gente detrás.
Fondo reciclado: objetos que nunca cambian, reloj congelado, movimientos repetidos cada cierto tiempo.
Dominio y calendario: la invitación no viene de la cuenta habitual o carece de detalles habituales del equipo (enlace, agenda, asistentes).

No necesitas que se cumplan todas. Dos o tres señales combinadas bastan para activar una verificación rápida que no interrumpe el flujo.

Comprobaciones ligeras que detienen el 90% de intentos

Diseña “peajes” breves que un atacante no espera. Son cortesías seguras que normalizas en tu equipo y familia.

Antes de la llamada

Invitaciones con calendario: usa siempre el dominio oficial y asistentes conocidos. Si alguien envía enlaces directos por mensajería, pide que reformule la invitación por calendario.
Palabra del día (equipo): una palabra simple, acordada en canal interno, que se menciona en los primeros 60 segundos de una reunión sensible.
Lista de invitados permitidos: configura la reunión para que solo entren cuentas del dominio o invitados validados en sala de espera.

Durante la llamada

Gesto vivo: pide un gesto casual y contextual (“toca tu oreja izquierda”, “acerca tu taza a cámara”). Dura 3 segundos y casi nunca ofende si lo normalizas.
Confirmación por segundo canal: envía un mensaje corto a la persona por Slack/Teams/WhatsApp ya conocido: “¿Eres tú en la reunión X?”
Frase a demanda: dicta una frase poco predecible y con trabalenguas suaves. Observa sincronía y vocalización.
Compartir pantalla puntual: pide 20 segundos de compartir pantalla de su correo o del documento en cuestión (sin datos sensibles en claro). Quien suplanta suele evitarlo.

Después de la llamada

Registro breve: documenta cualquier sospecha (minuto, señal, acción y resultado). Esa memoria previene repeticiones.
Cambios de acceso: si diste alguna pista sensible, cambia contraseñas o revoca tokens. Mejor sobreactuar que lamentar.

Protocolos claros para empresas: simple, repetible y medible

Un buen protocolo se parece más a una lista de reproducción que a un manual de 20 páginas. Mantén todo en tres capas: prevención, detección y respuesta.

Prevención

Configuraciones por defecto seguras: sala de espera activada, solo invitados del dominio entran sin aprobar, bloqueo de reunión al comenzar.
Bloques de 10 minutos en reuniones de pagos o accesos: el primer tramo se usa solo para verificaciones ligeras y repaso de contexto.
Plantillas de agenda: incluyen un punto “verificación de identidad” de 30 segundos en sesiones de riesgo (pagos, RR. HH., accesos).

Detección

Rol de “anfitrión de seguridad”: en reuniones sensibles, una persona no operativa observa señales y maneja sala de espera, expulsión y bloqueo.
Checklist visible: una diapositiva de 3 ítems que todo el mundo reconoce (gesto vivo, segundo canal, frase a demanda).
Simulacros cortos: ejercicios de 6 minutos, una vez al mes, donde alguien practica pedir un gesto y verificar por otro canal.

Respuesta

Botón de pausa: si algo huele raro, se detiene la reunión con un mensaje estándar (“Paramos 5 minutos para verificación y retomamos”).
Canal de reporte: un formulario o chat donde reportar en 60 segundos. El equipo de TI/Seguridad evalúa y responde en menos de 1 hora.
Aprendizaje: cada incidente genera una nota interna con dos mejoras. Revisa métricas mensuales: cuántas verificaciones, cuántas sospechas, cuántas confirmadas.

Guía para familias y personas: límites claros y acuerdos previos

Los fraudes emocionales explotan urgencia y miedo. Los acuerdos previos valen oro.

Código familiar: una palabra o frase compartida para confirmar identidad en emergencias. No la envíes por chat ni correo; cámbiala cada pocos meses.
Protocolo de dinero: “Nunca envío dinero durante una videollamada”. Si surge la urgencia, cuelga y llama tú a un número verificado.
Lista de contactos de confianza: dos teléfonos alternativos por persona (trabajo, pareja, amistades) guardados y probados.
Señales amables: normaliza pedir un gesto en tono de juego (“haz una mueca”, “gira la cabeza”). Si ofende, también es una señal.

Herramientas y ajustes que ya tienes y quizá no usas

Sin instalar nada, la mayoría de plataformas te dan funciones suficientes para subir el listón.

Sala de espera y bloqueo: admite uno a uno, y bloquea la reunión cuando estéis todos. Evita “enlaces que corren” de forma indiscriminada.
Solo dominio conocido: permite saltar la sala únicamente a cuentas de tu empresa o escuela.
Lista de coanfitriones: al menos dos personas con poder para expulsar, pausar vídeo y controlar permisos.
Marca de agua en vídeo y pantalla compartida (cuando proceda): desincentiva reutilización maliciosa y mejora trazabilidad.
Chat dentro de la reunión: úsalo para anotar la palabra del día o confirmar por escrito gestos realizados. Queda registro.
Grabación con consentimiento: no grabes por sistema. Solo cuando haga falta y con aviso claro. Una grabación ayuda a revisar señales a posteriori.

Además, vigila lo que no debes activar sin motivo: filtros faciales agresivos, retoques de piel o rasgos que podrían enmascarar artefactos útiles para detectar una suplantación.

Casos de riesgo y cómo aterrizar las medidas

Entrevistas laborales y validaciones de identidad

Si haces entrevistas remotas, incorpora verificaciones amables al comienzo: gesto vivo, pequeño giro y una pregunta de contexto que solo alguien que haya leído la oferta completa podría responder. Evita preguntas invasivas. Y si algo no cuadra, pospón: “Necesitamos reprogramar con un breve control previo de identidad”. Es mejor perder 24 horas que incorporar a un impostor con acceso a datos.

Finanzas internas y pagos urgentes

Para aprobaciones y cambios de cuenta, aplica la regla del doble canal: la instrucción por videollamada siempre se confirma por un canal independiente: teléfono verificado, firma en sistema de gestión o mensaje en chat corporativo con 2FA. Ninguna presión justifica saltárselo.

Soporte técnico y accesos

Si soporte pide que compartas pantalla o ejecutes código, verifica identidad por canal oficial. Que te compartan un ticket preexistente, el correo corporativo asociado y una referencia verificable dentro de la herramienta de soporte. Un suplantador evitará esa rastro-documentación.

Educación y tutorías

Profesores y tutores pueden usar reglas simples: listas previas de asistentes, cámara encendida en momentos clave y gesto vivo al principio de exámenes orales. Evita convertir la clase en una auditoría: basta con rituales cortos y consistentes.

Llamadas familiares “de emergencia”

Aplicar el acuerdo de no transferir dinero durante la videollamada y usar el código familiar elimina la mayoría de intentos. Si alguien insiste, corta y devuelve la llamada a un número guardado. Recuerda: colgar es una herramienta de seguridad.

Limitaciones, sesgos y cómo no equivocarte

Los protocolos deben cuidar la dignidad y evitar discriminar o agobiar. Considera lo siguiente:

Conexiones malas generan artefactos: latencia, audio plano o vídeo con bordes duros no siempre indican suplantación. No acuses; verifica.
Neurodiversidad y cultura: contacto visual, gestos y tiempos de respuesta varían por persona y cultura. No conviertas tus “señales” en una norma social rígida.
Avatares legítimos: hay quien usa avatares por privacidad o accesibilidad. Distingue entre preferencia (legítima) y suplantación (fraude).
Registro mínimo: documenta sospechas sin exponer datos personales innecesarios. Menos es más.

En caso de duda, planta una verificación ligera y, si no se supera, reprograma y deriva a un canal más seguro. No necesitas “pillar” a nadie en directo.

Formación: pequeños hábitos que se aprenden en una semana

El entrenamiento efectivo se parece poco a un curso largo. Funciona mejor con micro-simulacros y recordatorios colocados en el punto de uso:

Tarjeta de 1 minuto: un póster digital con las tres acciones clave (gesto vivo, segundo canal, frase a demanda) pegado en la sala de reuniones o como fondo de pantalla en salas virtuales.
Reto semanal: el equipo practica una mini verificación en la primera reunión de los lunes. 30 segundos, todo el mundo lo interioriza.
Ejemplos reales: corta y pega recortes de intentos reales (anonimizados) en un wiki interno. Las historias pegan más que los manuales.
Feedback sin culpa: celebra a quien detecta señales. No ridiculices a quien casi cae. La cultura de seguridad se refuerza con refuerzos positivos.

Qué viene en los próximos meses

Las herramientas de suplantación mejoran y también lo harán las defensas. Es razonable esperar:

Marcas de agua de audio y vídeo en directo: insertadas por apps o dispositivos para señalar contenido sintético o remezclado. Útiles, pero no infalibles.
Verificación integrada en plataformas: más controles de dominio, listas de confianza y liveness checks opcionales en reuniones de alto riesgo.
Pruebas basadas en poses: gestos que combinan movimientos de cabeza, manos y mirada difíciles de sintetizar a la vez sin fallos.
Herramientas de revisión posterior: análisis forense de grabaciones para detectar patrones sintéticos, con confidencialidad por defecto.

Aunque la tecnología evolucione, la base sigue siendo humana: rituales cortos, dobles canales y cortesía firme. No necesitas más para bajar el riesgo a niveles aceptables.

Checklist operativo listo para pegar

Antes: invitación por calendario del dominio + sala de espera + “palabra del día”.
Durante: gesto vivo + confirmación por segundo canal + frase a demanda.
Después: registro breve + revocar accesos si se compartió algo sensible + aprendizaje.

Guárdalo en tu bloc de notas o en la descripción de las reuniones sensibles. Repite hasta que salga automático.

Preguntas frecuentes breves

¿Puedo fiarme si conozco muy bien a la persona?

Conocerla ayuda, pero la presión y el contexto pueden nublar juicios. Mantén el doble canal en operaciones sensibles aunque sea tu jefa o un familiar.

¿Grabo todas las reuniones “por si acaso”?

No. Graba solo cuando haga falta y con consentimiento. La prevención y los rituales ligeros son más efectivos y menos invasivos.

¿Hay apps mágicas que detecten suplantaciones en directo?

Existen detectores, pero su tasa de error sigue siendo alta, y los atacantes adaptan su técnica. Úsalos como apoyo si ya hay sospecha, no como “semáforo” definitivo.

¿Cómo normalizo pedir un gesto sin incomodar?

Inclúyelo en la agenda (“30″ verificación”) y explícalo como cuidado mutuo: “Para que estemos más tranquilos en sesiones sensibles, hacemos un gesto rápido al inicio”. La cortesía abre puertas.

Errores comunes que conviene evitar

Confiar por estatus: cargos altos también son suplantados. Verifica igual.
Preguntas secretas obvias: si la respuesta está en LinkedIn o en la web, no sirve.
Hacerlo todo por la misma app: el segundo canal protege justo si la app principal está comprometida.
Prolongar la duda: si dudas más de 30 segundos, ejecuta el protocolo: pausa, segundo canal, reprograma si hace falta.

Para equipos técnicos: mínimos razonables sin fricción

Desde TI/Seguridad, fija reglas que la gente cumpla sin pensarlo:

Plantillas de reuniones sensibles con ajustes seguros preconfigurados.
Integración con SSO y 2FA en la app de videollamadas. Simplifica el acceso con identidad fuerte.
Listas de dominios de confianza y bloqueo de enlaces “libres” en contextos de alto riesgo.
Recetas de respuesta en tu herramienta de tickets para “sospecha de suplantación”. Que cualquier persona sepa abrir, etiquetar y escalar en dos clics.

Para responsables de personas y comunicación

Capacitar no es abrumar. Comunica tres ideas claras:

Normaliza el ritual: gesto vivo + segundo canal es cortesía, no desconfianza.
Cuenta historias: un caso breve convence más que 10 diapositivas. Cambia nombres y conserva aprendizajes.
Facilita plantillas: textos de pausa (“Paramos 5 minutos para verificar y volvemos”) y correos de reprogramación.

¿Y si trabajo con personas que no pueden mostrar su rostro?

Hay contextos con cámara apagada por seguridad, accesibilidad o privacidad. Ajusta el ritual:

Audio verificado por segundo canal (llamada saliente a número validado).
Frases de control que cambian cada sesión y se comparten por un canal cifrado previamente.
Prueba de presencia: enviar en el momento un archivo o enlace privado con un token que deben leer o devolver.

El objetivo no es ver caras, sino verificar identidades con respeto.

Resumen:

Las suplantaciones por videollamada ya están aquí y se apoyan en intercambio de rostro, voz modulada y guion con presión.
Observa señales combinadas: labio y dientes rígidos, reflejos extraños, negativa a moverse, rechazo a cambiar de canal y fondos incoherentes.
Aplica tres comprobaciones ligeras: gesto vivo, confirmación por segundo canal y frase a demanda.
En empresas: sala de espera, dominios permitidos, rol de anfitrión de seguridad y simulacros cortos.
En familias: código familiar, regla de no enviar dinero en videollamada y lista de contactos de confianza.
Evita sesgos y falsas alarmas: verifica sin acusar y respeta preferencias legítimas de privacidad.
La tecnología sumará marcas de agua y verificaciones, pero los rituales humanos seguirán marcando la diferencia.