El identificador de llamadas puede mentir: proteja su empresa de llamadas suplantadas y con voz de IA

El identificador de llamadas se puede falsificar, y la voz al otro lado de la línea ahora puede generarse con IA. Para una empresa, eso significa que el número en la pantalla y una voz que suena conocida ya no prueban quién llama. La solución es una política breve de seguridad telefónica: definir qué nunca se comparte por teléfono, mantener un directorio de números de confianza para devolver llamadas, exigir un segundo canal para cualquier pedido que involucre dinero, datos o accesos, y ajustar la configuración de su sistema telefónico. Esta guía explica cómo funciona la suplantación del identificador, qué hace y qué no hace la autenticación de llamadas, qué dice la ley y los pasos prácticos para su recepción.

Cómo funciona la suplantación del identificador de llamadas

El identificador de llamadas es información que viaja junto con la llamada, y el sistema telefónico de quien llama puede definirla. La suplantación (en inglés, "spoofing") consiste en enviar a propósito información falsa para que la llamada parezca venir de otra persona: su banco, una oficina del gobierno, un proveedor, un número local o incluso la línea principal de su propia empresa.

Según explica la FCC, la Ley Truth in Caller ID prohíbe la suplantación cuando se hace con la intención de defraudar, causar daño u obtener indebidamente algo de valor. También existen usos legítimos: por ejemplo, un médico que llama desde su teléfono personal puede mostrar el número del consultorio. Justamente por eso, el número por sí solo no puede decirle si una llamada es honesta.

Qué hace STIR/SHAKEN y qué no hace

STIR/SHAKEN es el sistema de autenticación del identificador de llamadas que la FCC exige a los proveedores de voz. En términos simples, el proveedor que origina la llamada la firma digitalmente y el proveedor que la recibe verifica esa firma. Así es como algunos teléfonos muestran etiquetas como "Llamada verificada" o "Posible spam".

Es una mejora real, pero tiene límites que su equipo debe conocer:

• Confirma que quien llama está autorizado a usar ese número. No le dice quién es la persona. La FCC ha señalado que el sistema no identifica a quien llama.
• No juzga el propósito de la llamada. Analiza la información de enrutamiento, así que no puede saber si la llamada es una estafa ni si se usará una voz de IA cuando usted conteste.
• No todas las rutas de llamadas están cubiertas por completo, por lo que algunas llamadas legítimas llegan sin etiqueta de verificación y algunas llamadas no deseadas igual pasan.

La FCC ha seguido proponiendo reglas para reforzar la autenticación de llamadas. Esos cambios ayudan, pero nunca reemplazarán un hábito de verificación dentro de su empresa.

Qué dice la ley sobre las voces de IA en llamadas

En febrero de 2024 la FCC emitió un fallo declaratorio (FCC 24-17) que confirma que las voces generadas con IA cuentan como voces "artificiales" según la Ley de Protección al Consumidor Telefónico (TCPA). En la práctica, las llamadas automáticas que usan una voz de IA necesitan el consentimiento previo y expreso de quien las recibe, y los fiscales generales de los estados obtuvieron otra herramienta para perseguir llamadas ilegales.

Es una buena noticia, pero los estafadores no cumplen la ley. Asuma que una voz en el teléfono, incluso una que suena exactamente como su dueño, su contador o su técnico de TI, puede ser sintética, y diseñe su proceso para que eso no importe.

Las llamadas que más reciben las empresas

Estos patrones se repiten una y otra vez. Ninguno depende de una empresa o un lugar en particular; dependen de la presión y la confianza:

• "Soporte técnico" que llama por un problema en su computadora y le pide instalar una herramienta de acceso remoto o leer un código.
• "El departamento de fraude de su banco" pidiéndole confirmar una transacción, un código de un solo uso o mover fondos a una cuenta "segura".
• Un proveedor conocido con "nuevos datos de pago" para la próxima factura.
• Una compañía de servicios que amenaza con cortarle el servicio hoy si no paga ahora.
• Alguien que dice ser funcionario o agente de la ley, con un plazo y una amenaza. El FBI ha advertido varias veces sobre delincuentes que se hacen pasar por funcionarios y agencias.
• Un "ejecutivo" que llama a un empleado con un pedido urgente y confidencial.

Una política de seguridad telefónica para su recepción

Información que nunca se da por teléfono

Escriba una lista corta y compártala con todas las personas que atienden llamadas:

• Horarios de empleados, planes de viaje, direcciones y teléfonos personales.
• Con qué banco, empresa de nómina, proveedor de TI o software trabajan.
• El formato de los correos electrónicos, nombres de sistemas o quién aprueba los pagos.
• Códigos de un solo uso, contraseñas y respuestas a preguntas de seguridad, para nadie y nunca.

Un amable "No puedo compartir eso, pero puedo tomar un mensaje" siempre es aceptable.

Mantenga un directorio para devolver llamadas

Tenga una lista corta de números verificados de su banco, sus proveedores clave, su proveedor de TI, el dueño del local y sus ejecutivos. Tome los números de contratos, facturas o sitios web oficiales, nunca de la firma de un correo que acaba de llegar. Cuando una llamada pida algo fuera de lo normal, el equipo cuelga y devuelve la llamada usando el directorio.

Pedidos que siempre necesitan un segundo canal

Cualquier pedido por teléfono para cambiar datos bancarios, enviar un pago, restablecer una contraseña o un método de MFA, compartir archivos u otorgar accesos debe confirmarse por un segundo canal independiente: una llamada de vuelta al número del directorio, un ticket en su sistema de TI o la aprobación de una segunda persona. Para las estafas con pagos en particular, vea nuestra guía sobre estafas con voz y video deepfake.

Llamadas de "su departamento de TI"

Acuerde con su proveedor de TI cómo se comunicará con usted. Una buena regla: el soporte real empieza con un ticket que usted puede ver, y un técnico nunca le pide su contraseña ni un código. Si alguien dice ser de TI y no hay ticket, cuelgue y llame usted a su proveedor.

Configuraciones que vale la pena revisar en su sistema telefónico

La mayoría de las plataformas telefónicas empresariales, ya sea un servicio de VoIP en la nube o Microsoft Teams Phone, tienen controles que hacen menos efectivas las llamadas suplantadas y no deseadas:

1. Active el etiquetado de spam o el filtrado de llamadas del operador en sus números principales, y muestre la etiqueta a quien contesta.
2. Envíe las llamadas desconocidas o anónimas a una operadora automática o al buzón de voz en las líneas que no sean su número público de ventas.
3. Proteja con MFA el portal de administración del sistema telefónico y limite quién puede cambiar el desvío de llamadas. Quien controla el desvío puede interceptar las llamadas de verificación.
4. Revise con su proveedor el nombre que se muestra en sus propios números salientes, para que sus clientes reconozcan sus llamadas y no se acostumbren a ignorarlas.
5. Conserve los registros de llamadas el tiempo suficiente para investigar una llamada sospechosa más adelante.

Grabación de llamadas y asistentes de IA para tomar notas: el consentimiento en Florida

La preocupación de que "la IA está grabando" también aplica a las herramientas que usa su propio equipo. La ley de Florida (Sección 934.03 de los Estatutos de Florida) en general exige el consentimiento de todas las partes antes de grabar una conversación privada. Si su empresa graba llamadas o usa un asistente de IA para tomar notas o transcribir, avíselo al comienzo de la llamada y asegúrese de que la configuración del proveedor coincida con su política. Esta es información general, no asesoría legal; consulte a su abogado sobre su situación particular.

Capacite, practique y denuncie

• Haga una sesión corta con todas las personas que atienden teléfonos y repítala cuando ingrese alguien nuevo.
• Practiquen con un ejemplo realista: un "proveedor" que pide nuevos datos bancarios o "TI" que pide un código.
• Haga que reportar sea fácil y sin culpas. Un rápido "recibí una llamada extraña" ayuda a proteger a todo el equipo.
• Denuncie las llamadas ilegales o suplantadas ante la FCC, las estafas ante la FTC en ReportFraud.ftc.gov y las pérdidas por fraude ante el IC3 del FBI en ic3.gov.

Core Florida IT ayuda a empresas de Miami-Dade y el Sur de Florida a proteger sus sistemas telefónicos, sus cuentas de Microsoft 365 y sus procesos de pago, y capacita al personal para reconocer llamadas suplantadas y con voz de IA. Solicite una evaluación de TI gratuita y revisaremos con usted su configuración telefónica y sus reglas de verificación. Conozca nuestros servicios de ciberseguridad.

Fuentes

• FCC: Caller ID Spoofing (guía para consumidores)
• FCC: Combating Spoofed Robocalls with Caller ID Authentication (STIR/SHAKEN)
• FCC: fallo declaratorio sobre voces generadas con IA y la TCPA (FCC 24-17, 8 de febrero de 2024)
• FBI / IC3: Criminals Use Generative Artificial Intelligence to Facilitate Financial Fraud (PSA, 3 de diciembre de 2024)
• The Florida Senate: Sección 934.03 de los Estatutos de Florida (intercepción y divulgación de comunicaciones)