- Las estafas de WhatsApp evolucionan desde simples mensajes urgentes hasta ataques 'zero-click' que comprometen la cuenta sin que el usuario realice ninguna acción.
- La Guardia Civil ha registrado cerca de 50 denuncias en Huelva por ataques a iPhone con iOS 16.7.12 o anterior, donde los delincuentes suplantan la identidad de la víctima para pedir dinero a sus contactos.
- Expertos y organismos como INCIBE y la OCU recomiendan activar la verificación en dos pasos, mantener el sistema actualizado y desconfiar de cualquier petición urgente de dinero, incluso si proviene de un contacto conocido, verificando siempre por otra vía.
La mensajería instantánea se ha convertido en el campo de batalla favorito de los ciberdelincuentes. Lo que antes era un simple mensaje extraño con un enlace sospechoso ha evolucionado hasta convertirse en técnicas de ingeniería social muy sofisticadas que comprometen cuentas legítimas sin que el propietario se entere. La Guardia Civil ha registrado en Huelva cerca de 50 denuncias desde finales de agosto por un tipo de ataque especialmente silencioso que afecta a determinados iPhone. Y lo más preocupante: la víctima no tiene que pulsar un enlace, escanear un QR ni facilitar código alguno para que se produzca la intrusión.
Esta nueva modalidad, conocida como ataque ‘zero-click’, explota vulnerabilidades encadenadas en el sistema operativo iOS y en la propia aplicación de WhatsApp para acceder a las conversaciones. Los casos analizados afectan a modelos de iPhone con iOS 16.7.12 o anterior. El Instituto Nacional de Ciberseguridad (INCIBE) y la Organización de Consumidores y Usuarios (OCU) han alertado del aumento de estas estafas de WhatsApp, suplantación y phishing, que comparten un patrón común: la urgencia y la suplantación de identidad. Por eso, la mejor defensa empieza por entender cómo operan y por qué las medidas preventivas más básicas son las que realmente funcionan.
Así funciona el ataque zero-click que tiene en alerta a la Guardia Civil
Los ciberdelincuentes aprovechan fallos de seguridad en versiones antiguas de iOS y de WhatsApp para acceder a la cuenta de la víctima sin que esta realice ninguna acción. Una vez dentro, pueden comunicarse con familiares y amigos al mismo tiempo que el verdadero propietario, que no percibe la intrusión. La técnica incluye el uso de la opción ‘Eliminar solo para mí’ desde un dispositivo vinculado, de forma que los mensajes fraudulentos solo aparecen en la pantalla de los contactos, nunca en el móvil original.
El objetivo final es ganarse la confianza de los allegados para pedirles una transferencia urgente, un Bizum o incluso un código de verificación. Para quien recibe el mensaje, no hay nada extraño: el chat es real, el número es conocido y la conversación parece natural. Por eso, aunque el ataque se haya detectado en dispositivos concretos, la estafa puede acabar afectando a cualquier contacto de la víctima.
La recomendación de las autoridades es clara: mantener actualizado el sistema operativo y la aplicación, revisar periódicamente los ‘Dispositivos vinculados’ y cerrar cualquier sesión que no se reconozca. También insisten en que cualquier petición inesperada de dinero, incluso si proviene de alguien conocido, debe verificarse por otra vía antes de realizar el pago.
La estafa del familiar en apuros sigue vaciando bolsillos
No hay que ser un experto en ciberseguridad para identificar esta clásica estafa, pero sigue funcionando. Un supuesto hijo o familiar escribe desde un número desconocido, asegura que ha perdido el teléfono y, poco después, aparece la urgencia: necesita 300, 500 o 1.000 euros para solucionar un problema. INCIBE advierte de que estos engaños recurren a la preocupación por una persona cercana y a la necesidad de actuar de prisa. Transferencias inmediatas y Bizum son las formas de pago preferidas porque la presión impide que la víctima compruebe la historia.
La variante más persuasiva es cuando la cuenta de WhatsApp de la persona conocida ha sido comprometida. En ese caso, quien escribe es un delincuente que suplanta al propietario. La propia plataforma advierte de que, si alguien sospecha que su cuenta está comprometida, debe avisar a familiares y amigos porque podrían hacerse pasar por ellos en sus chats. Esta situación cambia la regla intuitiva de ‘es su número, así que es él’. La comprobación debe hacerse siempre fuera del chat sospechoso, con una llamada directa o un contacto presencial.
La OCU señala que los atacantes pueden llegar a mencionar información real de la empresa o del entorno familiar para dar más credibilidad al engaño. En el ámbito laboral, la Agencia de Ciberseguridad de Cataluña ha detectado una campaña de fraude del CEO, donde suplantan al responsable de una empresa para solicitar transferencias o información confidencial. La particularidad es que la conversación se traslada del correo electrónico a WhatsApp, pero la esencia es la misma: urgencia, confidencialidad y petición de dinero o datos.
El código de los seis dígitos y otras tretas para robarte la cuenta
Otra modalidad muy extendida es la conocida estafa de los seis dígitos en WhatsApp. La víctima recibe un WhatsApp de un contacto al que previamente han secuestrado la cuenta, pidiéndole que reenvíe un código que supuestamente le han enviado por error. Ese código es, en realidad, el de verificación de WhatsApp de la víctima. Al compartirlo, el estafador toma el control de la cuenta y puede pedir dinero a sus contactos. La Policía Nacional ha alertado en varias ocasiones sobre este fraude, que sigue activo.
La recomendación es tajante: nunca compartir el código de registro de seis dígitos, ni siquiera con familiares o amigos. Tampoco se deben compartir códigos de verificación recibidos por SMS. La verificación en dos pasos añade una capa extra de protección que dificulta el acceso no autorizado incluso si alguien consigue el código inicial. WhatsApp permite activar esta función en los ajustes, creando una contraseña segura y añadiendo un correo de recuperación.
Si la cuenta ya ha sido comprometida, lo más urgente es recuperar tu cuenta de WhatsApp registrando de nuevo el número. Esto cerrará automáticamente las demás sesiones. Después, hay que avisar a los contactos para evitar que sigan recibiendo mensajes fraudulentos. Si se ha realizado una transferencia, se debe contactar con el banco inmediatamente y denunciar ante las autoridades. La OCU ofrece soporte para reclamar formalmente a las entidades bancarias si estas rechazan inicialmente la reclamación.
La suplantación de marca y el uso de la inteligencia artificial
Un estudio internacional de Kaspersky revela que WhatsApp está presente en el 43% de las estafas por mensajería, seguido de los SMS con un 40%. La suplantación de marcas ya representa el 31% de las estafas, y las falsas notificaciones de entrega encabezan la lista con un 38%. Los ciberdelincuentes aprovechan la familiaridad que los usuarios tienen con las comunicaciones de bancos, empresas de mensajería o servicios oficiales para crear mensajes cada vez más creíbles y personalizados.
La inteligencia artificial está jugando un papel clave en esta evolución. El 66% de las víctimas cree que la IA estuvo involucrada en la estafa que sufrió, con mensajes redactados de forma natural, voces clonadas e incluso deepfakes. Esta tecnología permite reproducir el lenguaje y el tono de empresas o personas conocidas, lo que hace que distinguir entre una comunicación real y una fraudulenta sea cada vez más difícil.
La velocidad también es un arma: más de la mitad de las estafas exitosas se completa en menos de 30 minutos. Los delincuentes generan urgencia para reducir el tiempo de reacción. En este contexto, los expertos recomiendan desconfiar de mensajes que piden actuar rápido, no hacer clic en enlaces y verificar siempre la identidad del interlocutor por otro canal. Las empresas deben dejar claro a sus clientes qué canales son oficiales y qué información nunca solicitarán por mensajería.
La combinación de vulnerabilidades técnicas, ingeniería social y IA está creando un escenario donde la precaución es la única defensa infalible. No basta con tener el móvil actualizado, aunque eso es esencial. Hace falta una dosis extra de escepticismo ante cualquier petición inesperada, por muy real que parezca. Las autoridades insisten: una llamada de teléfono puede desmontar el engaño más sofisticado, y activar la verificación en dos pasos añade una barrera que la mayoría de los estafadores no está dispuesta a superar.
