En las últimas semanas se han multiplicado las denuncias por una modalidad de fraude que utiliza cuentas legítimas de WhatsApp para solicitar dinero a los contactos de la víctima. El mecanismo es perturbadoramente eficaz: el mensaje parece proceder de un amigo o familiar, incluye foto y nombre habituales, y exige una transferencia inmediata por un importe que en varios casos rondó los 900-1.000 euros. Las autoridades y organismos de ciberseguridad han emitido avisos públicos para alertar a la población y describir señales que permitan detectarlo.
Los investigadores han localizado patrones comunes: dispositivos iPhone sin las últimas actualizaciones de seguridad son los más afectados, hay casos en varias comunidades autónomas y la técnica puede operar sin que la víctima reciba notificaciones visibles de la suplantación. En paralelo, cuerpos policiales han recibido denuncias en distintos puntos del país y recomiendan actuar con rapidez si se detecta un intento de este tipo.
Cómo funciona el fraude y por qué pasa desapercibido
Los delincuentes logran que la cuenta de WhatsApp de la víctima se vincule a otro teléfono, de forma que los mensajes salen desde el número habitual pero no quedan registrados en el historial del propietario. En términos sencillos, es como si alguien instalara tu cuenta en un nuevo dispositivo: mientras tanto puedes seguir usando tu teléfono sin ver los mensajes que el atacante envía. Esta técnica ha sido descrita en investigaciones que identifican ataques tipo zero-click capaces de aprovechar vulnerabilidades sin que la víctima interactúe con enlaces o archivos.
Los objetivos reportados incluyen modelos variados de iPhone (desde versiones antiguas hasta modelos más modernos) cuyos sistemas operativos no cuentan con las actualizaciones de seguridad pertinentes. Los estafadores escriben a los contactos más cercanos pidiendo dinero urgente —importe repetido en reportes cercanos a los 980-993 euros aunque la cifra puede variar— y facilitan un número de cuenta para la transferencia. El hecho de que el mensaje proceda del número que siempre conoces lo hace especialmente creíble.
Alertas oficiales, territorios afectados y trayectorias del ataque
Organismos de ciberseguridad y fuerzas policiales han documentado casos en varias regiones. En algunos territorios se han confirmado incidentes con importes solicitados que alcanzaron casi los 1.000 euros. Los primeros signos de esta campaña se observaron en otros países meses antes, y desde entonces el método se ha extendido a distintas provincias. La característica común en los expedientes analizados es la ausencia de mensajes salientes en el historial del titular, lo que dificulta la detección temprana.
Investigadores forenses han señalado que la falta de actualizaciones del sistema operativo facilita el acceso no autorizado: la instalación de la cuenta en un dispositivo desconocido o la vinculación a sesiones de WhatsApp Web son vectores utilizados por los atacantes. Además, algunos responsables policiales explican que la estafa suele comenzar con mensajes que simulan conversaciones cotidianas para luego pasar a la petición de dinero, muy a menudo bajo la excusa de un problema bancario o un imprevisto urgente.
Medidas concretas que están recomendando las autoridades y pasos comprobados
Las recomendaciones operativas que emiten los interlocutores encargados de seguridad son claras y replicables: si recibes una demanda de dinero desde la cuenta de un conocido, no contestar por ese mismo chat y confirmar la petición por llamada, SMS o correo. Guardar capturas de pantalla del mensaje con la fecha y el número que aparece ayuda a reunir evidencias. Si ya se ha pagado, contactar de inmediato con la entidad bancaria es imprescindible para intentar frenar la transferencia y facilitar la denuncia posterior.
En términos técnicos, las acciones más prácticas incluyen actualizar el sistema operativo del iPhone desde Ajustes → General → Actualización de software, desinstalar y reinstalar la aplicación de WhatsApp para reiniciar el proceso de registro y revisar las sesiones vinculadas en Ajustes → Dispositivos vinculados. Además, activar la verificación en dos pasos con un PIN propio añade una barrera extra; hay que tener en cuenta que, si alguien activa ese PIN sin tu autorización, existe un periodo de espera de siete días para recuperar el acceso sin él.
Por último, las fuerzas de seguridad insisten en no eliminar ningún archivo o conversación relacionada con el suceso hasta haberlo puesto en conocimiento de las autoridades, y en canalizar la asistencia a través de números y correos oficiales de ayuda en ciberseguridad si fuera necesario. Mantener a tus contactos informados por vías externas al chat afectado reduce la probabilidad de que acepten una transferencia bajo coacción.
