- La Ertzaintza ha registrado 359 casos de estafa por WhatsApp en Euskadi desde junio: 211 en Bizkaia, 83 en Gipuzkoa y 65 en Álava.
- El ataque 'zero-click' no requiere que la víctima haga clic y permite duplicar la sesión de WhatsApp con material criptográfico del teléfono.
- La vulnerabilidad se corrige actualizando iOS a la versión 16.7.12 y WhatsApp a la 2.25.21.78, primero el sistema operativo.
- Si la cuenta se ve comprometida, hay que avisar a los contactos por otra vía, guardar pruebas, denunciar y reinstalar WhatsApp tras actualizar iOS.
La Ertzaintza ha contabilizado 359 casos de estafa por WhatsApp en Euskadi desde el pasado mes de junio. El reparto por territorios es de 211 denuncias en Bizkaia, 83 en Gipuzkoa y 65 en Álava, según los datos del Departamento Vasco de Seguridad. Los investigadores vinculan estos hechos con una campaña de ataque conocida como «zero-click».
El mecanismo no exige que la víctima pulse un enlace ni descargue un archivo. Los ciberdelincuentes aprovechan una vulnerabilidad de iOS y de WhatsApp para enviar mensajes desde la cuenta de un teléfono infectado a los contactos de su agenda. En esos mensajes piden dinero para resolver una supuesta urgencia y facilitan una cuenta bancaria para hacer el pago.
¿Qué es el ataque ‘zero-click’ y cómo consigue duplicar una cuenta de WhatsApp?
La denominación «zero-click» responde a que el usuario no tiene que hacer clic para que el ataque funcione. Los delincuentes consiguen material criptográfico del teléfono infectado relacionado con el inicio de sesión de WhatsApp. Con ese material crean una nueva instancia y «duplican» la sesión, de modo que la cuenta puede ser utilizada sin que salte un aviso de vinculación o de inicio de sesión en el dispositivo original.
Los primeros casos se detectaron en mayo en Italia y después el fenómeno se extendió a otros territorios. En muchas denuncias, los afectados tenían iPhones sin la última actualización del sistema operativo, según ha advertido la Policía Nacional. Esta circunstancia facilita que una brecha conocida siga abierta en el móvil, similar a otras estafas por WhatsApp en iPhone.
La Policía Nacional también ha alertado de una modalidad muy difícil de detectar: los estafadores usan la cuenta real de la víctima durante un tiempo, pero el propietario no pierde el acceso ni recibe avisos. Los mensajes enviados no aparecen en sus conversaciones, aunque sí llegan a los destinatarios. Muchas personas lo descubren cuando un familiar o amigo les pregunta por el dinero que supuestamente han pedido.
¿Cuántos casos ha detectado la Ertzaintza en Euskadi y dónde se concentran?
La cifra global es de 359 casos desde junio. Por provincias, Bizkaia acumula 211, Gipuzkoa 83 y Álava 65. La Jefatura de Coordinación de Ciberseguridad de la Ertzaintza trabaja en la investigación y ha detectado un posible nexo común entre las denuncias: todas apuntan a la misma campaña de ataque.
El patrón se repite en los mensajes recibidos por los contactos. Los delincuentes se hacen pasar por una persona conocida y piden una cantidad de dinero con carácter urgente. Para justificar la prisa, alegan que no pueden hacer una transferencia o que han alcanzado el límite de su tarjeta o de Bizum. Después facilitan un número de teléfono o una cuenta bancaria para recibir el pago.
El hecho de que el mensaje llegue desde el número real de un contacto hace que la petición gane credibilidad. La cuenta no tiene por qué ser desconocida: puede ser la de un familiar o un amigo. Por eso los expertos insisten en identificar estafas en WhatsApp para proteger los datos personales y desconfiar incluso cuando el remitente parece de confianza.
¿Qué versiones de iOS y WhatsApp corrigen la vulnerabilidad?
La brecha de seguridad se ha corregido mediante varios parches. En el caso de los iPhone, la actualización debe hacerse primero al sistema operativo iOS 16.7.12. Después hay que actualizar WhatsApp a la versión 2.25.21.78. La Ertzaintza recalca el orden: primero el sistema operativo y luego la aplicación de mensajería.
Mantener el móvil y las aplicaciones al día no solo sirve para corregir esta vulnerabilidad concreta. Las actualizaciones también incorporan correcciones de seguridad frente a otros fallos que pueden ser aprovechados por los ciberdelincuentes. La recomendación vale tanto para usuarios de iPhone como de Android, aunque en este caso los avisos se han centrado en los teléfonos de Apple.
Si el teléfono no se actualiza, la cuenta puede seguir expuesta. La Ertzaintza ha subrayado que la actualización de iOS es un paso previo a la de WhatsApp. Hacerlo al revés o dejar una de las dos aplicaciones sin actualizar reduce la eficacia de la protección.
¿Qué hacer si la cuenta de WhatsApp ya ha sido duplicada?
Cuando el usuario sospecha que su cuenta ha sido utilizada por terceros, la primera medida es avisar a los contactos por otra vía: una llamada, un SMS o una comunicación fuera de WhatsApp. Así se evita que familiares y amigos hagan transferencias o Bizum a los estafadores. También conviene guardar pruebas y denunciar ante la Ertzaintza.
La Ertzaintza recomienda seguir estos pasos:
- Actualizar primero iOS a la versión 16.7.12 y después WhatsApp a la 2.25.21.78.
- Avisar a los contactos por otro canal para que no envíen dinero.
- Conservar mensajes, capturas y justificantes antes de borrar conversaciones.
- Denunciar los hechos ante la Ertzaintza.
- Borrar y reinstalar WhatsApp para recuperar el control de la cuenta, siempre después de actualizar iOS.
- Activar la verificación en dos pasos y cerrar las sesiones desconocidas.
La reinstalación debe hacerse después de actualizar iOS, tal como recomienda la Ertzaintza. Además, la verificación en dos pasos añade una capa extra de protección frente a accesos no autorizados, siendo parte de las funciones de seguridad de WhatsApp más efectivas.
¿Cómo evitar caer en una estafa de WhatsApp?
La primera regla es no responder al mensaje que pide dinero. Aunque llegue desde el número de un conocido, conviene llamar directamente a esa persona o hablar con ella por otro canal para comprobar que realmente ha enviado la solicitud. La Policía Nacional insiste en que ver el número o la foto de perfil habitual no garantiza que sea la persona quien escribe.
También es recomendable revisar los dispositivos vinculados a la cuenta y cerrar las sesiones que no se reconozcan. Si se recibe una petición de Bizum a un número distinto al del supuesto remitente, o una transferencia a una cuenta de un tercero, hay que desconfiar. Los estafadores piden que se haga el Bizum a otro número o una transferencia a una cuenta de un tercero, y prometen devolver el dinero más tarde.
Otras medidas útiles son:
- No compartir códigos de verificación, PIN ni contraseñas con nadie.
- Mantener actualizados el sistema operativo y WhatsApp.
- Activar la verificación en dos pasos.
- Revisar periódicamente los dispositivos vinculados.
- Desconfiar de los enlaces o archivos que lleguen por grupos con muchos participantes.
Si se ha enviado dinero, la Ertzaintza recomienda conservar todas las pruebas disponibles y denunciar los hechos. La Ertzaintza insiste en que actualizar iOS antes que WhatsApp es el paso previo para cerrar la puerta a este tipo de ataques.
Índice
- 1 ¿Qué es el ataque ‘zero-click’ y cómo consigue duplicar una cuenta de WhatsApp?
- 2 ¿Cuántos casos ha detectado la Ertzaintza en Euskadi y dónde se concentran?
- 3 ¿Qué versiones de iOS y WhatsApp corrigen la vulnerabilidad?
- 4 ¿Qué hacer si la cuenta de WhatsApp ya ha sido duplicada?
- 5 ¿Cómo evitar caer en una estafa de WhatsApp?