- La estafa "Vota por mi hijo" usa concursos falsos para robar cuentas de WhatsApp y pedir dinero a los contactos.
- El fraude solicita el número y el código de 6 dígitos que llega por SMS, que en realidad verifica WhatsApp.
- Bitdefender ha detectado 177 dominios y 554 URLs vinculados, con miles de víctimas en Europa.
- Protección clave: verificación en dos pasos, no compartir códigos y confirmar peticiones por llamada.
Un nuevo engaño se está propagando por WhatsApp con el reclamo ‘Vota por mi hijo’: un falso concurso que busca que el usuario ceda su código de verificación. El objetivo final es apropiarse de la cuenta de la víctima y contactar a sus conocidos para pedir dinero o seguir extendiendo el fraude.
La investigación de Bitdefender describe una campaña de ingeniería social sin malware, basada en provocar empatía y urgencia. Es un esquema que se apoya en la confianza entre contactos y se está extendiendo rápido por Europa, con miles de usuarios afectados.
Cómo funciona la estafa
Todo arranca con un mensaje que llega desde un número conocido, porque procede de una cuenta ya comprometida. En él, se pide ayuda para votar a un menor en un supuesto certamen y se adjunta un enlace. Ese vínculo redirecciona a una página controlada por los atacantes que simula un concurso real.
Para emitir el voto, la web solicita el teléfono y un código de seis dígitos recibido por SMS. Ese código no es parte del concurso: es la verificación de WhatsApp. Si el usuario lo introduce, los ciberdelincuentes toman el control de su cuenta de inmediato.
Una vez dentro, los atacantes reenvían el mismo mensaje a nuevos contactos y lanzan peticiones de dinero con pretextos verosímiles. En algunos casos, se han detectado solicitudes de hasta 360 euros por transferencia, según reportes en Rumanía.
Dónde se está detectando y qué magnitud tiene
Bitdefender ha identificado 177 dominios maliciosos y 554 URLs únicas vinculadas a esta campaña. Los ataques siguen activos y alcanzan a miles de usuarios de WhatsApp; el fenómeno se relaciona con el incremento de robos de datos en WhatsApp.
La incidencia se concentra especialmente en Polonia, Rumanía y Alemania. También se han observado casos en otros países europeos como España, Reino Unido, Italia, Austria o Chequia, y fuera de Europa en Estados Unidos y Kazajistán, lo que evidencia su rápida expansión.
¿Por qué engaña a tanta gente?
Este fraude explota tres palancas psicológicas: la familiaridad (llega desde un contacto conocido), la urgencia (‘vota rápido’, ‘envía ya’) y la emoción (ayudar a un menor o a un amigo). Con esa combinación, incluso usuarios con experiencia pueden bajar la guardia.
La página de destino, además, suele tener apariencia profesional con botones y contadores de votos para reforzar la credibilidad. En ese contexto, compartir el código de WhatsApp equivale a entregar la llave de tu cuenta.
Cómo proteger tu cuenta
La mejor defensa es anticiparse y establecer barreras adicionales. Antes de hacer clic o facilitar información, conviene verificar siempre por un canal alternativo que la petición es real.
- Activa la verificación en dos pasos en WhatsApp para añadir un PIN que impida el secuestro aunque consigan el código por SMS.
- No compartas códigos de verificación ni por mensaje, ni por llamada, ni por ninguna vía. Ningún ‘concurso’ los necesita.
- Confirma por teléfono cualquier solicitud inusual de un contacto, especialmente si implica dinero o urgencia.
- Explica estas estafas con lenguaje sencillo a familiares menos digitales, como personas mayores.
Qué hacer si ya has caído
Si perdiste el acceso o compartiste el código, actúa de inmediato para cortar la propagación y recuperar tu perfil. Cada minuto cuenta y reducirás el impacto sobre tus contactos.
- Solicita un nuevo código de verificación para recuperar el control de la cuenta.
- Avisa a tus contactos de que tu perfil fue comprometido para que ignoren mensajes sospechosos.
- Contacta con el soporte de WhatsApp para bloquear accesos no autorizados y restaurar la cuenta.
- Si enviaste dinero o datos bancarios, llama a tu banco y presenta reclamación cuanto antes.
La campaña ‘Vota por mi hijo’ demuestra que no hace falta técnica avanzada para causar daño: basta con manipular emociones y aprovechar la confianza entre contactos. Mantener la duda razonable ante enlaces y peticiones repentinas, no compartir códigos y activar la doble verificación marcan la diferencia entre ser víctima o cortar el engaño a tiempo.
