- El Incibe, la Ertzaintza y la Policía Nacional han avisado de suplantaciones en WhatsApp para pedir dinero a contactos desde la cuenta real de la víctima.
- El fraude se ceba con iPhones que no tienen actualizados iOS y WhatsApp, y puede funcionar sin que el usuario pulse ningún enlace.
- Los mensajes suelen solicitar transferencias de unos 980 euros y pueden quedar ocultos del historial del titular.
- Ante una petición inesperada, conviene llamar por otra vía, revisar dispositivos vinculados, actualizar, activar la doble verificación y denunciar.
Los avisos sobre fraudes cometidos a través de WhatsApp se han multiplicado en España. La fórmula que más preocupación está generando no consiste en recibir un mensaje de un número extraño, sino en que otra persona tome el control de una cuenta real y escriba a los contactos de siempre para pedirles dinero. El titular, mientras tanto, puede seguir usando la aplicación con aparente normalidad y no ver nada raro en sus chats.
El Instituto Nacional de Ciberseguridad (Incibe), la Ertzaintza y la Policía Nacional han ido lanzando advertencias sobre esta modalidad en distintos puntos del país. Los casos conocidos se han dado sobre todo en usuarios de iPhone que no tenían el sistema operativo o la aplicación actualizados, aunque la recomendación de desconfiar ante peticiones económicas inesperadas vale para cualquier teléfono y para cualquier versión de la app.
Qué se ha detectado y por qué resulta tan llamativo
La particularidad del engaño es que los mensajes salen del número habitual de la víctima, no de un desconocido. Por eso, familiares y amistades pueden bajar la guardia y creer que están hablando con la persona de siempre. En los casos analizados, los delincuentes piden una transferencia urgente, aseguran que han superado su límite bancario y prometen devolver el dinero al día siguiente. Las cantidades comunicadas varían, con ejemplos que rondan los 980 euros.
Lo más incómodo para quien sufre el ataque es que puede no enterarse de inmediato. La cuenta sigue funcionando, las conversaciones normales continúan y los mensajes enviados a otros contactos pueden quedar ocultos del historial del titular. En algunos avisos se ha explicado que los estafadores utilizan opciones como eliminar un mensaje solo para uno mismo desde un dispositivo vinculado, de modo que el destinatario lo ve pero la persona suplantada no.
Cómo consiguen entrar sin que la víctima haga nada
Los expertos han calificado este tipo de ataque como zero-click, es decir, sin necesidad de que la persona pulse un enlace, descargue un archivo o comparta un código de verificación. El fallo se aprovecha de vulnerabilidades encadenadas: por un lado, versiones de iOS que no cuentan con las últimas actualizaciones de seguridad; por otro, una aplicación de WhatsApp que tampoco está al día. Los avisos han mencionado equipos iPhone con sistemas antiguos, especialmente si se trata de versiones de iOS 16 sin los parches correspondientes.
Una vez dentro, los delincuentes actúan con rapidez. Escriben a los contactos más cercanos, imitan el tono habitual de la víctima y plantean una urgencia cotidiana. Después piden el dinero y, en algunos casos, solicitan también el justificante de la transferencia para dar apariencia de autenticidad. No se trata de una estafa clásica del familiar en apuros desde un número desconocido, sino de un método en el que el chat conocido sirve de tapadera.
A quién afecta y qué señales deben ponernos en alerta
Los casos conocidos se han concentrado en usuarios de iPhone con actualizaciones pendientes, pero eso no significa que el resto pueda relajarse. La Ertzaintza ha confirmado suplantaciones de identidad mediante WhatsApp para pedir dinero a contactos, y el Incibe ha recibido consultas de personas que descubrieron que alguien escribía en su nombre. La Policía Nacional también ha alertado de esta práctica en Canarias y ha insistido en que el mensaje puede llegar desde un número que el destinatario tiene perfectamente identificado.
Hay varias pistas que deberían hacer saltar las alarmas. La primera es una petición económica repentina de alguien conocido, sobre todo si llega con prisa, con una explicación poco concreta o con la promesa de devolver el importe en poco tiempo. La segunda es que el interlocutor evite una llamada o tarde en responder por otra vía. La tercera, que el propietario de la cuenta no encuentre esos mensajes en su historial o note que algunos contactos le comentan cosas que él no ha escrito.
Qué hacer para no caer en la trampa
La recomendación más repetida es no enviar dinero por WhatsApp solo porque el mensaje proceda de un contacto de confianza. Antes de mover un euro, conviene llamar a esa persona por teléfono, hacer una videollamada o comprobar la petición por otro canal. Su foto, su nombre y su número habitual no bastan para confirmar que está escribiendo ella. Si la llamada no resuelve la duda, lo prudente es esperar y no precipitarse.
También es básico mantener el teléfono y la aplicación al día. Actualizar iOS y WhatsApp reduce la exposición a vulnerabilidades conocidas. A eso se suma activar la verificación en dos pasos con un PIN propio, revisar de vez en cuando qué dispositivos están vinculados a la cuenta y cerrar cualquier sesión que no se reconozca. Estas medidas no son infalibles, pero ponen más difícil el trabajo a los delincuentes.
- Desconfiar de cualquier solicitud de dinero inesperada, aunque llegue desde un chat habitual.
- Confirmar la petición mediante una llamada o por una vía distinta a WhatsApp.
- Revisar los dispositivos vinculados y cerrar las sesiones desconocidas.
- Mantener actualizados el sistema operativo y la aplicación de mensajería.
- Activar la verificación en dos pasos y no compartir códigos de seguridad.
Pasos si sospechas que han usado tu cuenta
Si alguien empieza a recibir mensajes raros enviados desde tu WhatsApp, o si un contacto te avisa de que le han pedido dinero en tu nombre, actúa sin esperar a tener todas las pruebas. Avisa a tus contactos por llamada, SMS o correo electrónico, no por la propia aplicación, y pídeles que no hagan ninguna transferencia. Después, revisa los dispositivos vinculados, cierra las sesiones que no reconozcas y valora desinstalar y volver a instalar WhatsApp para reiniciar el registro.
Conviene guardar capturas y cualquier rastro del fraude: mensajes, números, justificantes bancarios y conversaciones relacionadas. No borres esos archivos, aunque el susto invite a hacerlo. Con esa información se puede presentar una denuncia ante la Policía Nacional, la Guardia Civil o la Ertzaintza, según corresponda, e incluso contactar con el Incibe a través de su línea de ayuda en ciberseguridad, el 017.
Si ya has enviado dinero, llama cuanto antes a tu banco y explica que se trata de una transferencia fraudulenta. La entidad podrá indicar si es posible bloquear la operación o aplicar alguna medida de recuperación, aunque el margen es limitado y no siempre se puede revertir el pago. Cuanto menor sea el tiempo transcurrido, más opciones hay de reaccionar.
La pauta que se repite en todos los avisos es sencilla: verificar antes de pagar y actuar con rapidez si algo no cuadra. Los ciberdelincuentes juegan con la confianza, la urgencia y el descuido, así que la mejor defensa es comprobar la identidad del interlocutor por otra vía, mantener las aplicaciones actualizadas, revisar la seguridad de la cuenta y denunciar cualquier intento. Aunque el mensaje llegue desde un chat de siempre, no conviene fiarse de una petición de dinero que aparece de la nada.
