Te llaman con la voz de alguien que conoces y te piden una transferencia urgente. Pero no es esa persona. Es una grabación generada por inteligencia artificial. La estafa telefónica con voz clonada se ha convertido en una de las modalidades de fraude con mayor crecimiento en España en 2026, y la respuesta penal exige actuar con rapidez tanto si eres víctima como si te investigan por tu presunta participación en la cadena.
El INCIBE documentó en febrero de 2026 el caso de un responsable de empresa cuya voz fue clonada para desviar pagos a cuentas fraudulentas. Los clientes de la compañía recibieron llamadas con su voz exacta indicándoles que cambiasen la cuenta de pago. En los meses siguientes, el propio INCIBE ha publicado varios incidentes más con el mismo patrón, tanto en entornos empresariales como familiares.
A continuación analizamos esta modalidad de fraude desde la doble perspectiva que abordamos cada día en el despacho: la de quien necesita recuperar su dinero y la de quien se ve investigado por su presunta participación en la cadena.
Cómo funciona la estafa del SMS falso seguido de llamada con voz clonada
La particularidad de esta modalidad de fraude reside en la combinación de dos vectores de ataque en una secuencia temporal muy comprimida. No se trata de un SMS aislado ni de una llamada aislada. Es la concatenación de ambos, reforzada por tecnología de síntesis de voz, lo que convierte el engaño en suficientemente idóneo para vencer la diligencia media del perjudicado.
El SMS falso del banco, de Correos o de Hacienda
La secuencia comienza con un mensaje de texto que suplanta el alias de una entidad legítima. Puede aparecer bajo el nombre de un banco, de la Agencia Tributaria, de Correos o de un operador de telefonía. El contenido siempre incorpora un elemento de urgencia ("acceso no autorizado detectado", "paquete retenido", "liquidación pendiente") y un enlace que redirige a una página de captura de credenciales o que simplemente prepara psicológicamente a la víctima para la llamada posterior.
Sobre este primer eslabón operará el Registro de alias aprobado por la CNMC el pasado 27 de marzo. Las obligaciones de bloqueo de alias no registrados, previstas en los arts. 7.2 y 8 de la Orden TDF/149/2025, producen efectos desde el 7 de junio de 2026. Los operadores deberán bloquear automáticamente los mensajes con alias no inscritos o que no provengan de proveedores habilitados. Es una medida necesaria, pero parcial. No cubre las llamadas telefónicas ni la clonación de voz.
La llamada con una voz que reconoces (pero es artificial)
Minutos después del SMS, la víctima recibe una llamada. Al descolgar, escucha una voz que identifica como la de alguien de su entorno. Puede ser la de un familiar, la de un compañero de trabajo o la de un supuesto empleado del banco que "confirma" el contenido del mensaje previo.
La voz ha sido generada mediante herramientas de clonación basadas en inteligencia artificial. El INCIBE advierte de que bastan unos pocos segundos de audio original para reproducir las características vocales de cualquier persona con un grado de similitud difícilmente distinguible por el oído humano. La obtención de esas muestras se realiza frecuentemente mediante llamadas previas en las que nadie responde al descolgar, con la finalidad de grabar la voz de la víctima cuando dice "¿sí?" o "¿diga?".
La transferencia o el robo de credenciales
Convencida de que habla con alguien de confianza, la víctima facilita sus claves de acceso, autoriza una transferencia bancaria, comunica un código de verificación o realiza un envío de dinero a través de una plataforma de pagos. El perjuicio patrimonial se consuma en cuestión de minutos.
Qué delitos concurren y qué penas prevé el Código Penal
La estafa telefónica con voz clonada por inteligencia artificial no se agota en un solo tipo penal. Cuando se examina la secuencia completa, la calificación jurídica exige considerar al menos tres figuras delictivas cuya concurrencia determinará el marco penológico aplicable. En nuestra práctica como abogados especialistas en estafas, cada uno de estos tipos requiere un análisis probatorio diferenciado.
Estafa del artículo 248 del Código Penal
El tipo básico castiga con prisión de seis meses a tres años a quienes, con ánimo de lucro, utilicen engaño bastante para producir error en la víctima e inducirla a realizar un acto de disposición patrimonial en perjuicio propio o ajeno (art. 248.1 CP).
La cuestión central en estos supuestos es si la clonación de voz constituye un "engaño bastante" en los términos exigidos por la jurisprudencia del Tribunal Supremo. La STS 941/2023, de 20 de diciembre (ponente: De Porres Ortiz de Urbina), fijó con claridad la doctrina vigente: el engaño bastante se mide en función de la actividad engañosa desplegada por el sujeto activo del delito, no por la perspicacia de la víctima. Solo el engaño "burdo, grosero o esperpéntico" que pudiera detectar cualquier persona con una diligencia mínima excluye la tipicidad.
A decir verdad, cuando el engaño emplea una reproducción sintética de la voz de una persona de confianza, la discusión sobre la autoprotección del perjudicado pierde toda fuerza. La STS 1243/2000, de 11 de julio, ya estableció que el engaño ha de entenderse bastante cuando haya producido sus efectos defraudadores. La sofisticación del medio comisivo sitúa estos supuestos en el extremo opuesto al engaño burdo.
Estafa informática del artículo 249.1.a) del Código Penal
Tras la reforma operada por la LO 14/2022 de 22 de diciembre, el artículo 249.1.a) tipifica de forma autónoma la conducta de quienes, con ánimo de lucro y valiéndose de alguna "manipulación informática o artificio semejante", consigan una transferencia no consentida de cualquier activo patrimonial en perjuicio de otro. La pena es idéntica a la de la estafa básica (prisión de seis meses a tres años), pero con una diferencia procesal relevante: esta modalidad no admite la degradación a delito leve cuando la cuantía defraudada no supere los 400 euros.
El empleo de software de clonación de voz basado en IA encaja con naturalidad en el concepto de "artificio semejante". La Consulta 1/2024 de la Fiscalía General del Estado (FIS-Q-2024-00001) abordó la autonomía de las modalidades del artículo 249 respecto del tipo básico del 248, confirmando que su estructura típica es independiente.
Concurso entre arts. 248 y 249 CP
En los supuestos de estafa telefónica con voz clonada puede plantearse un concurso de normas entre el artículo 248 (estafa clásica, donde el engaño recae sobre una persona) y el artículo 249.1.a) (donde la transferencia se obtiene mediante artificio informático). La resolución dependerá de si la disposición patrimonial es consecuencia directa del error humano inducido por la voz clonada (art. 248) o de una manipulación automatizada del sistema (art. 249). En la mayoría de los casos documentados por el INCIBE, es la víctima humana quien ejecuta la transferencia tras ser engañada, lo que inclinaría la calificación hacia el artículo 248.1 con la posible agravación del artículo 250.
Estafa agravada y otros tipos concurrentes
Cuando la cuantía defraudada supere los 50.000 euros (art. 250.1.5ª CP) o se aprecien medios especialmente idóneos para facilitar la impunidad (art. 250.1.6ª CP), la pena se eleva a prisión de uno a seis años y multa. Según el alcance y la continuidad de la suplantación, podría valorarse también la concurrencia del delito de usurpación de estado civil del artículo 401 CP, y si la muestra de voz se obtiene mediante interceptación de comunicaciones o grabación subrepticia, el delito de descubrimiento y revelación de secretos del artículo 197 CP.
Nota sobre jurisprudencia específica
No existe todavía en España jurisprudencia específica sobre estafas ejecutadas mediante clonación de voz con inteligencia artificial. Los primeros casos documentados por el INCIBE datan de febrero de 2026, por lo que los procedimientos penales se encuentran aún en fase de instrucción. Sin embargo, la doctrina del Tribunal Supremo sobre el engaño bastante en estafas tecnológicas sofisticadas resulta directamente aplicable a estos supuestos. La STS 941/2023 fijó que el engaño se mide por la actividad del defraudador, no por la perspicacia de la víctima. La STS 1243/2000 estableció que el engaño ha de entenderse bastante cuando ha producido sus efectos defraudadores. Y en el ámbito civil, la STS 571/2025 sentó doctrina sobre la responsabilidad bancaria en fraudes con suplantación tecnológica de identidad. Estas tres resoluciones configuran el marco jurisprudencial aplicable hasta que los tribunales se pronuncien sobre el uso específico de IA vocal como medio comisivo.
Te acusan de estafa por una transferencia que recibiste: defensa penal
En nuestra experiencia procesal ante los Juzgados de Instrucción de Valencia, Madrid y Castellón, la otra cara de este fenómeno es igualmente frecuente. No todos los que aparecen vinculados a una estafa telefónica con voz clonada son los autores intelectuales del fraude. Con frecuencia, las personas que reciben los fondos en sus cuentas y los reenvían a un tercero son lo que la práctica forense denomina mulas bancarias, personas que, en muchos casos, desconocen total o parcialmente el origen ilícito del dinero que transitan.
El perfil del investigado por colaboración en la cadena
La investigación policial suele alcanzar con rapidez a los titulares de las cuentas receptoras. No así a los organizadores del fraude, que operan desde infraestructuras tecnológicas difíciles de rastrear. Esto genera un desequilibrio procesal habitual: la persona que cedió su cuenta bancaria o que realizó una retirada de efectivo por indicación de un tercero se encuentra investigada por un delito de estafa o de blanqueo de capitales, mientras que los verdaderos autores permanecen sin identificar.
Líneas de defensa
Si el investigado desconocía que los fondos procedían de una actividad delictiva, puede alegarse un error sobre un elemento esencial del tipo. El error invencible excluye la responsabilidad criminal; el vencible permite rebajar la pena en uno o dos grados. La clave probatoria está en acreditar qué información tenía el investigado en el momento de realizar la operación.
El dolo en el delito de estafa exige conocimiento y voluntad de engañar para obtener un beneficio patrimonial. Cuando el investigado es un mero intermediario que actúa siguiendo instrucciones de un tercero sin conocer la naturaleza fraudulenta de la operación, no concurre el elemento subjetivo del tipo.
No basta con que el acusado "pudiera sospechar" que algo no era normal. Es necesario acreditar que tenía una representación seria de la procedencia ilícita de los fondos y que, pese a ello, aceptó el riesgo. La prueba de esa representación corresponde a la acusación.
Cuando la participación del investigado se limita a una conducta puntual (ceder una cuenta, retirar efectivo, enviar un Bizum), la calificación como coautor de estafa agravada resulta desproporcionada. La defensa puede postular una participación como cómplice (art. 29 CP), con la consiguiente rebaja de pena en un grado, o incluso un encubrimiento (art. 451 CP) si la intervención fue posterior a la consumación del fraude.
¿Te han citado como investigado por una transferencia que no entiendes?
Si has recibido dinero en tu cuenta y después te han comunicado que procede de una estafa telefónica con voz clonada, necesitas asistencia letrada antes de declarar. La primera declaración ante el juzgado condiciona toda la estrategia posterior. Consulta nuestra guía sobre ciberdelitos y estafas online.
Qué hacer en la primera hora si te han vaciado la cuenta
La diferencia entre recuperar el dinero y perderlo se juega en las primeras horas. Si sospechas que acabas de ser víctima de una estafa telefónica con voz clonada, sigue esta secuencia sin demora.
Primeros 60 minutos
Contacta con tu banco por el teléfono oficial (el que aparece en tu tarjeta física o en la web del banco, nunca el número que aparezca en el SMS). Solicita el bloqueo inmediato de la cuenta o tarjeta afectada y pide que revisen todas las operaciones autorizadas verbalmente en los últimos siete días.
Presenta denuncia formal ante la Policía Nacional o la Guardia Civil. No basta con un informe genérico. Necesitas una denuncia presencial que detalle la secuencia completa, incluyendo el contenido del SMS, la hora y duración de la llamada, y los datos de la transferencia. Si te encuentras en Valencia, Madrid o Castellón, nuestro equipo puede asistirte para asegurar que los hechos queden fijados correctamente desde el primer momento.
Reporta al INCIBE a través del teléfono gratuito y confidencial 017 o en incibe.es.
Prueba digital que debes conservar
En los procedimientos que llevamos por este tipo de fraudes, la prueba electrónica suele ser determinante. No borres nada. Haz capturas de pantalla del SMS fraudulento con la hora y el remitente visible. Conserva el registro de llamadas del teléfono. Si puedes, realiza una grabación de pantalla que muestre el hilo completo del SMS. Guarda los extractos bancarios con la transferencia no autorizada.
Dicho lo cual, la prueba más valiosa es la que vincula la llamada con el SMS dentro de una misma secuencia temporal coordinada. Si ambos provienen de un patrón coherente (mismo bloque horario, remitente suplantado, contenido que se refuerza mutuamente), eso permite al tribunal apreciar una ejecución planificada que refuerza la calificación como estafa agravada.
¿Tiene el banco que devolverte el dinero?
Un aspecto que genera confusión frecuente es si el banco debe devolver el dinero cuando la víctima autorizó la transferencia bajo los efectos del engaño. La respuesta no es automática y depende de cómo se califique la operación.
El Real Decreto-ley 19/2018 (Ley de Servicios de Pago) establece que el proveedor de servicios de pago soporta el riesgo de las operaciones no autorizadas, salvo que pruebe negligencia grave del ordenante. En su reciente STS 571/2025, de 9 de abril (Sala Primera de lo Civil, ponente: Almenar Belenguer), el Tribunal Supremo confirmó este criterio al condenar a Ibercaja a restituir más de 56.000 euros sustraídos mediante SIM swapping, declarando que el simple registro de la operación no basta para acreditar que fue autorizada por el cliente y que los avances tecnológicos deben permitir a los bancos detectar patrones anómalos.
En nuclear, la pelea jurídica en los fraudes con voz clonada se sitúa en la frontera entre la operación "no autorizada" (donde la responsabilidad es del banco) y la operación consentida pero viciada por engaño (los denominados APP scams, authorized push payment). En este segundo escenario, la entidad puede alegar que fue el propio cliente quien ejecutó la transferencia. Existen resoluciones favorables a la víctima cuando se acredita que los mecanismos de autenticación del banco eran insuficientes frente a la sofisticación del engaño, pero el resultado depende de las circunstancias concretas de cada caso.
En la práctica, la reclamación al banco y la vía penal deben tramitarse en paralelo. La denuncia penal no solo persigue la responsabilidad del autor, sino que constituye un elemento probatorio esencial para fundamentar la reclamación civil frente a la entidad.
El bloqueo de SMS falsos desde junio de 2026: alcance y limitaciones
La circular aprobada el 27 de marzo de 2026 por la Comisión Nacional de los Mercados y la Competencia, en ejecución de la Orden ministerial TDF/149/2025, supone un avance relevante contra el smishing. Las obligaciones de bloqueo previstas en los arts. 7.2 y 8 de la Orden producen efectos desde el 7 de junio de 2026, fecha a partir de la cual los operadores deberán bloquear los mensajes cuyo alias no figure en el Registro o que no provengan de un proveedor de mensajería habilitado.
Dicho lo cual, conviene no sobredimensionar su alcance. El Registro de alias opera exclusivamente sobre el canal de mensajería (SMS, MMS, RCS). La llamada telefónica con voz clonada, que es el eslabón decisivo de la estafa híbrida, queda fuera de su ámbito de aplicación. Los grupos organizados que operan desde infraestructuras internacionales pueden seguir enviando SMS desde sistemas que escapen al control de los operadores españoles. La medida dificulta la primera fase del fraude, pero no neutraliza la segunda.
Preguntas frecuentes
¿Te pueden clonar la voz con solo decir "sí" al teléfono?
Las herramientas actuales de síntesis vocal basadas en inteligencia artificial pueden reproducir las características vocales de una persona a partir de unos pocos segundos de audio. El INCIBE ha documentado casos en los que la muestra se obtuvo mediante llamadas previas en las que nadie respondía al descolgar, con la finalidad de grabar la respuesta inicial de la víctima. Unos pocos segundos de audio pueden bastar para que el software genere una réplica vocal convincente.
Me han llamado del banco y era una estafa. ¿Recuperaré el dinero?
Depende de la rapidez de actuación y de la vía elegida. Por vía penal, la recuperación está condicionada a la identificación y solvencia del autor. Por vía civil, la reclamación al banco puede prosperar si se acredita que los mecanismos de autenticación de la entidad eran insuficientes. La STS 571/2025 fijó criterios favorables al usuario en operaciones no autorizadas mediante suplantación tecnológica. La conservación de la prueba digital y la presentación de denuncia dentro de las primeras horas son determinantes en ambas vías.
¿Qué pena de prisión tiene la estafa telefónica con voz clonada?
La pena básica es prisión de seis meses a tres años (art. 248 CP). Si la cantidad defraudada supera los 50.000 euros o se aprecia el uso de medios especialmente idóneos para la impunidad (art. 250.1.5ª y 6ª CP), la pena sube a prisión de uno a seis años con multa. Si además concurren otros delitos (usurpación de estado civil, revelación de secretos), se aplica un concurso que puede elevar sustancialmente la pena resultante.
Me acusan de estafa por recibir un Bizum o transferencia y no he hecho nada. ¿Qué hago?
Lo primero es no declarar ante el juzgado sin asistencia letrada especializada en delitos económicos. La primera declaración condiciona toda la estrategia posterior. Es necesario analizar qué información tenías en el momento de los hechos, si hubo dolo o error, y si tu participación fue anterior o posterior a la consumación de la estafa. Consulta nuestra página sobre el delito de mula bancaria para entender los escenarios procesales.
He prestado mi cuenta bancaria y me denuncian. ¿Es delito?
Ceder tu cuenta bancaria a un tercero para que reciba fondos de origen desconocido puede constituir un delito de estafa (si participas en la cadena de desplazamiento patrimonial) o de blanqueo de capitales (art. 301 CP, si se acredita que conocías o podías sospechar la procedencia ilícita). La calificación dependerá del grado de conocimiento que tuvieses y de tu participación activa o pasiva en la operación. En cualquier caso, la defensa penal debe prepararse antes de la primera declaración.
¿Cómo puedo protegerme de la clonación de voz?
La medida más efectiva es establecer una contraseña verbal con tus familiares y personas de confianza, una clave que solo vosotros conozcáis y que debáis usar en cualquier comunicación donde se solicite dinero o datos sensibles. Ante cualquier llamada sospechosa, cuelga y llama directamente al número habitual de esa persona. No facilites información sensible por teléfono aunque la voz te resulte completamente familiar. Y si recibes llamadas en las que nadie responde al descolgar, no prolongues la conversación.
¿Las llamadas donde nadie contesta al descolgar son para grabar mi voz?
Pueden serlo. El INCIBE ha identificado este patrón como una técnica de recopilación de muestras vocales. Cuando descuelgas y dices "¿sí?" o "¿diga?", esas pocas sílabas pueden ser capturadas y procesadas por herramientas de clonación de voz. Si recibes varias llamadas de este tipo en un periodo corto, es recomendable no responder a números desconocidos y bloquearlos.
¿El nuevo registro de la CNMC acabará con las estafas por SMS?
No del todo. El Registro de alias dificultará que los estafadores suplanten nombres de entidades legítimas en los SMS, pero no cubre las llamadas telefónicas ni la clonación de voz. Tampoco puede bloquear todos los mensajes procedentes de infraestructuras internacionales que operen fuera del control de los operadores españoles. Es una medida necesaria pero parcial frente a la estafa híbrida con voz clonada.
¿Qué dice el Tribunal Supremo sobre la responsabilidad del banco en estas estafas?
La STS 571/2025, de 9 de abril, obligó a Ibercaja a restituir más de 56.000 euros sustraídos mediante SIM swapping. El Tribunal declaró que las operaciones no habían sido autorizadas por el cliente y que el banco no había acreditado negligencia grave del usuario, subrayando que los avances tecnológicos deben permitir a las entidades detectar patrones anómalos de operaciones (como múltiples transferencias de madrugada por importes elevados). Este criterio refuerza la posición de las víctimas, aunque cada caso requiere un análisis de sus circunstancias concretas.
Han usado la voz de mi hijo para pedirme dinero. ¿Es delito?
Sí. El uso de la voz clonada de un familiar para obtener una disposición patrimonial constituye, como mínimo, un delito de estafa del artículo 248 CP. Si la suplantación alcanza un grado suficiente de asunción de la identidad ajena, podría concurrir además la usurpación de estado civil del artículo 401 CP. Y si la muestra de voz fue captada mediante grabación subrepticia, se añadiría el delito contra la intimidad del artículo 197 CP. La acumulación de tipos puede generar penas significativas.
¿Víctima o investigado en una estafa telefónica con voz clonada?
Defendemos a víctimas en la reclamación penal y civil, y representamos a investigados que necesitan defensa técnica sólida.
Sedes en Valencia, Madrid y Castellón. Urgencias penales 24 horas.
Consultar mi caso