Cómo funciona un ataque de intermediario en una llamada al bróker

Cuando un cliente marca el número de su bróker, la voz no viaja por un solo cable. Pasa por la red del operador telefónico, por una pasarela SIP, por la centralita de la mesa de operaciones y, en muchos casos, por un enrutador en la nube que ninguna de las dos partes administra. Cada salto es un punto donde alguien con acceso a la ruta puede escuchar y, si tiene las herramientas, sustituir el audio original por otro generado.

El escenario que sigue es ilustrativo, pero reproduce el recorrido real de una llamada. Un cliente llama para confirmar una orden. La voz del operador suena normal, el timbre coincide, el saludo es el habitual. Nadie sospecha nada porque el canal se estableció sin errores y la conversación avanza con naturalidad. Lo que no se ve es que, en algún punto intermedio, el flujo de audio original fue reemplazado por una síntesis entrenada con muestras previas de esa misma persona.

El trayecto de la llamada, tramo por tramo

La marcación es el primer tramo. Aquí el atacante todavía no tiene nada que interceptar, pero puede preparar el terreno: redirigir el número mediante un registro DNS falso, alterar una tabla de enrutamiento o colocar un proxy transparente entre el cliente y la pasarela. El establecimiento del canal es el segundo tramo, y es el más silencioso: un SDP manipulado puede negociar códec, puertos y direcciones sin que ninguna de las partes note la diferencia.

El tercer tramo es la conversación operativa, donde se concentra el riesgo real. Es aquí donde el atacante puede insertarse de dos maneras distintas. La primera es la suplantación temprana: reemplaza al interlocutor desde el primer segundo, cuando todavía no hay confianza establecida y el cliente no tiene referencias recientes para comparar. La segunda es la inserción tardía, más difícil de detectar porque llega cuando la conversación ya lleva minutos y la vigilancia natural del operador ha bajado.

Por qué la identidad verificada no alcanza

Los controles tradicionales confirman quién tiene permiso para acceder al canal: credenciales, tokens, PIN de operador, autenticación de dos factores. Todos verifican el acceso, no la continuidad de la voz durante la conversación. Una vez que el audio está comprometido, saber que el operador legítimo inició la llamada no dice nada sobre si sigue siendo él quien habla en el minuto siete.

Esa es la razón por la que la verificación tiene que ocurrir dentro de la propia llamada, no solo al inicio. El canal puede haberse abierto de forma limpia y haberse contaminado después. Un atacante paciente espera a que la confianza esté consolidada, a que el cliente haya dado su número de cuenta, a que la orden esté a punto de confirmarse. En ese momento, la sustitución de voz pasa desapercibida con más facilidad que al principio.

Qué se puede observar en el tramo comprometido

Cuando el audio es sintético, quedan residuos. No siempre son evidentes al oído, pero sí medibles: micro-variaciones de tono que se repiten de forma demasiado regular, pausas respiratorias ausentes o mal colocadas, ruido de fricción que no corresponde a la articulación real del hablante. Estos rasgos no se analizan en este artículo, pero conviene saber que existen y que son la base sobre la que se construye cualquier verificación seria.

El punto de partida, entonces, no es la defensa ni la detección, sino el mapa. Saber por dónde pasa la voz y en qué tramos puede ser sustituida es lo que permite decidir después qué comparar, cuándo compararlo y qué hacer cuando la comparación falla.