La estafa entra por la confianza

En los últimos meses, empezamos a escuchar cada vez más una palabra que hasta hace poco era prácticamente desconocida para la mayoría: robocalling. El teléfono suena, atendemos y del otro lado no habla nadie. A veces pasan dos o tres segundos y cortan.

Parece una molestia menor, pero detrás puede haber sistemas automáticos capaces de realizar miles de llamadas para comprobar qué números existen, cuáles siguen activos y, sobre todo, cuáles son atendidos. Ese dato tiene valor: permite depurar una base y concentrar intentos posteriores sobre personas que efectivamente responden.

Hay otro riesgo que se mezcla mucho con este fenómeno y que conviene explicar con cuidado. Si durante una llamada conseguimos hablar, nuestra voz puede ser registrada; con los sistemas actuales de clonación, además, ya ni siquiera hace falta obtenerla de una llamada telefónica. Un fragmento corto de un video publicado en Instagram, TikTok, Facebook o cualquier otra red puede convertirse en material suficiente para construir una imitación bastante convincente. No existe un número mágico de cinco segundos que funcione igual para todos los modelos, pero organismos como la FTC ya advierten que clips breves tomados de internet pueden utilizarse para imitar la voz de un familiar.

Esto no significa que todas las llamadas silenciosas estén grabándonos para clonarnos. Esa explicación se repitió bastante y, por ahora, no hay evidencia que permita afirmarlo como regla general. Muchas responden a mecanismos de validación de líneas o a marcadores automáticos que realizan más llamadas de las que un call center puede atender. El riesgo de capturar nuestra voz existe; presentarlo como el propósito de cada robocall sería simplificar demasiado un problema que ya es suficientemente serio sin necesidad de exagerarlo.

En Argentina, tenemos herramientas para combatir una parte de este fenómeno. Una de ellas es el Registro Nacional No Llame, creado para que cualquier persona pueda expresar que no quiere recibir comunicaciones publicitarias. La obligación es bastante clara: las empresas deben consultar el registro al menos cada 30 días y no deberían contactar con fines comerciales a quienes se encuentren inscriptos.

El problema aparece cuando pasamos de la norma a la experiencia real.

Yo estoy inscripto en el Registro Nacional “No Llame”. Hice tres denuncias contra Claro Argentina por comunicaciones comerciales y, aun así, durante meses me siguieron llamando agentes para ofrecerme pasar mi línea a Claro. En varias de esas conversaciones les expliqué directamente que mi número estaba incorporado al registro y que ya había realizado denuncias. Las llamadas continuaron.

Mi experiencia, obviamente, es un caso particular. Los números oficiales muestran, sin embargo, que el incumplimiento está lejos de ser anecdótico: durante 2024, AMX Argentina, Claro, fue la tercera empresa con mayor cantidad de reclamos ante el Registro No Llame, con 990 denuncias. Movistar encabezó el ranking con 4.597.

Hay, además, un detalle del procedimiento que ayuda a comprender por qué un ciudadano puede sentir que denuncia y nada cambia. La reglamentación establece, como criterio general, que la autoridad inicia actuaciones administrativas cuando un mismo denunciado acumula un mínimo de 100 denuncias, aunque existen facultades para apartarse de ese criterio en situaciones justificadas. Las denuncias inferiores a ese umbral no se eliminan, pero la lógica es claramente acumulativa.

Por eso, creo que el Registro No Llame es necesario, aunque insuficiente. Tiene sentido para ordenar el telemarketing legítimo y sancionar a empresas identificables; queda mucho más limitado frente a números falsificados, infraestructura VoIP, llamadas originadas desde otros países, numeración que rota permanentemente o delincuentes que, naturalmente, no van a consultar una base estatal antes de estafarnos.

Otros países empezaron a mover la defensa hacia un lugar distinto: la propia infraestructura de telecomunicaciones.

Estados Unidos y Canadá avanzaron con STIR/SHAKEN, un conjunto de estándares que permite autenticar criptográficamente información sobre el origen de una llamada.

Simplificando mucho la tecnología, es parecido a ponerle una firma digital al Caller ID: si mi pantalla dice que está llamando determinada organización, la red tiene herramientas para comprobar con mayor confianza si quien originó la llamada estaba realmente autorizado a utilizar ese número.

Reino Unido implementó listas Do Not Originate. Un banco o un organismo público puede tener números destinados exclusivamente a recibir llamadas; si uno de esos números aparece repentinamente realizando una llamada saliente, la red puede tratarlo como una señal de spoofing y bloquearlo. Es una idea sencilla y extremadamente potente para reducir la suplantación de instituciones.

España fue todavía más lejos. Sus operadores deben bloquear determinados Caller ID vacíos, inválidos o no asignados y también llamadas que ingresan desde redes internacionales mostrando fraudulentamente determinados números españoles, salvo excepciones como el roaming. Desde octubre de 2026, además, las llamadas comerciales deberán identificarse mediante numeración que comienza con 400.

Australia adoptó una estrategia fuerte a nivel de operadoras: identificación, rastreo y bloqueo de tráfico fraudulento. Hasta fines de 2025, las empresas de telecomunicaciones australianas habían bloqueado más de 2.800 millones de llamadas fraudulentas desde diciembre de 2020.

Francia acaba de modificar incluso la lógica del consentimiento. Desde el 11 de agosto de 2026, la prospección telefónica comercial parte de una prohibición general y requiere consentimiento previo en los casos alcanzados por la nueva normativa, con excepciones vinculadas, por ejemplo, a determinadas relaciones contractuales existentes. Es un cambio conceptual importante: el peso deja de estar exclusivamente sobre el ciudadano que tiene que pedir que no lo llamen.

Son medidas que Argentina debería estudiar. Autenticar llamadas, bloquear numeración evidentemente falsificada, proteger los números de bancos y organismos públicos, identificar las llamadas comerciales y exigir mayor responsabilidad a quienes transportan tráfico masivo puede subir considerablemente el costo de ejecutar estas estafas.

Ahora bien, hay algo que ninguna de esas capas puede resolver por completo: la ingeniería social.

Podemos construir una red telefónica mucho más segura y aun así terminar transfiriéndole dinero voluntariamente a un delincuente porque consiguió convencernos de que nuestra cuenta estaba siendo atacada.

Ahí está, para mí, el centro del problema.

Durante 2024, la Unidad Fiscal Especializada en Ciberdelincuencia registró 34.468 reportes en Argentina, un crecimiento del 21,1% respecto del año anterior. El fraude en línea representó 21.729 casos, aproximadamente el 63% del total.

En Estados Unidos, la FTC recibió cerca de tres millones de reportes de fraude durante 2025, con pérdidas informadas por 15.900 millones de dólares. La categoría de estafas por suplantación de identidad volvió a ocupar el primer lugar por noveno año consecutivo: superó el millón de reportes y produjo alrededor de 3.500 millones de dólares en pérdidas.

Ese dato me parece mucho más revelador que cualquier discusión sobre una tecnología específica. Una enorme industria del fraude continúa funcionando porque alguien logra hacerse pasar por otra persona y consigue que la víctima realice una acción.

El ejemplo argentino es cotidiano. Recibimos una llamada o un WhatsApp con el logo de Mercado Libre o Mercado Pago. La persona se presenta como integrante del área de seguridad y nos informa que alguien está intentando comprar algo con nuestra cuenta, ingresar desde otra provincia o retirar nuestro dinero. El perfil parece oficial, conoce el lenguaje adecuado y genera una sensación de urgencia. Este tipo de suplantación ha sido advertido tanto por organismos públicos como por las propias plataformas.

En ese momento ocurre algo interesante: técnicamente, quizá nuestra cuenta estaba perfectamente segura.

El supuesto especialista que nos llama para “evitar que nos hackeen” es, justamente, quien está intentando hackearnos.

Nos pide un código que acaba de llegar por SMS, que instalemos una aplicación, que compartamos pantalla, que movamos el dinero a una “cuenta segura” o que confirmemos determinada información. La tecnología solamente construye el escenario; el verdadero ataque ocurre cuando consigue modificar nuestra percepción de lo que está pasando.

El Banco Central viene advirtiendo específicamente sobre llamadas y mensajes en los que delincuentes se hacen pasar por bancos, billeteras, organismos públicos o empresas para conseguir información personal y financiera. También recomienda desconfiar de contactos por WhatsApp o Telegram aunque el perfil utilice la imagen y el nombre de una institución conocida.

Esta mecánica tampoco nació con la inteligencia artificial. En Argentina conocemos desde hace años los llamados “secuestros virtuales”: una llamada desesperada, alguien que afirma tener a un familiar y una persona llorando o gritando de fondo mientras exigen una transferencia inmediata. El objetivo siempre fue evitar que pensemos. Miedo, urgencia, autoridad y aislamiento son herramientas extraordinariamente efectivas cuando se combinan.

Parte de estas estafas también se ha organizado desde establecimientos penitenciarios. El problema sigue siendo suficientemente actual como para que, en abril de 2026, el Ministerio de Seguridad autorizara al Servicio Penitenciario Federal a instalar sistemas destinados a detectar y bloquear dispositivos mediante identificadores IMEI e IMSI. Un mes después, ENACOM estableció obligaciones para que las compañías móviles bloqueen dispositivos, SIM y líneas asociadas cuando sean identificados dentro de áreas penitenciarias alcanzadas por el sistema.

La tecnología, en este caso, permite encontrar el dispositivo dentro de la cárcel y sacarlo de la red. Es una medida correcta. El hecho de que haya sido necesario implementarla también demuestra que el problema sigue existiendo.

A ese viejo libreto ahora se suma la inteligencia artificial.

Antes, para simular que tenían secuestrado a nuestro hijo, un delincuente necesitaba que alguien llorara de fondo y que nuestra desesperación completara el resto de la historia. Hoy puede encontrar un reel familiar, tomar un fragmento de voz y generar una imitación. El FBI y la FTC ya alertaron sobre estafadores que utilizan audio generado con IA para hacerse pasar por familiares y solicitar dinero ante falsas emergencias.

¿La voz será perfecta? Probablemente no. Tampoco necesita serlo.

Si alguien nos llama a las tres de la mañana, escuchamos una voz parecida a la de nuestro hijo diciendo “papá, ayudame” y segundos después otra persona nos amenaza, nuestro cerebro no va a realizar una prueba forense del audio. Ese es exactamente el espacio que explota la ingeniería social.

Por eso, cuando discutimos cómo enfrentar el robocalling y las estafas telefónicas, creo que Argentina necesita trabajar en dos frentes simultáneamente.

Hay que mejorar la infraestructura. Tenemos que discutir autenticación de Caller ID, bloqueo en las operadoras, trazabilidad, protección de números institucionales y una identificación mucho más clara de las llamadas comerciales. El usuario no puede ser el único firewall de todo el sistema.

Al mismo tiempo, necesitamos invertir mucho más seriamente en alfabetización digital y capacitación ciudadana. Explicar cómo funcionan estas estafas debería formar parte de campañas públicas permanentes, programas educativos y comunicaciones de bancos, empresas de telecomunicaciones y billeteras digitales.

Hay comportamientos extremadamente sencillos que pueden detener ataques muy sofisticados: cortar la comunicación y llamar nosotros al número oficial, nunca entregar códigos de autenticación, ingresar a la aplicación desde nuestro propio teléfono en lugar de seguir un enlace enviado por otra persona, desconfiar de cualquier pedido que exija actuar inmediatamente y acordar incluso una palabra de seguridad familiar para verificar emergencias. El FBI recomienda, entre otras medidas, establecer una palabra o frase secreta entre familiares precisamente frente al crecimiento de las suplantaciones.

Tenemos una tendencia natural a buscar una solución tecnológica para cada problema tecnológico. En este caso, sería un error quedarnos solamente ahí.

Podemos implementar criptografía para autenticar llamadas. Podemos usar inteligencia artificial para detectar anomalías. Podemos bloquear IMEI dentro de una cárcel, construir bases de reputación y filtrar millones de comunicaciones antes de que lleguen a nuestros teléfonos. Todo eso suma y Argentina tiene margen para avanzar muchísimo.

Después de todas esas barreras, sin embargo, queda una última capa; somos nosotros.

Y mientras un delincuente pueda lograr que una persona asustada le entregue voluntariamente la llave que necesita, la ingeniería social seguirá encontrando una puerta de entrada. La defensa más efectiva, entonces, combina tecnología, regulación y algo bastante menos sofisticado pero igual de importante: ciudadanos que entiendan cómo funciona el engaño antes de recibir la llamada.

Aviso Legal: El contenido del presente artículo no fue redactado por #ElAnalista, siendo el mismo exclusiva autoría y propiedad intelectual de su creador. El articulo podría no reflejar las opiniones de #ElAnalista como organismo.