Una llamada y un código: cómo los delincuentes secuestran WhatsApp para estafar a tus amigos

Perder el control de una cuenta de WhatsApp es más fácil de lo que muchos usuarios imaginan. Una llamada inesperada desde un número desconocido y una alerta de seguridad falsa pueden bastar para que una persona entregue el código de verificación enviado por la aplicación.

Tras esta maniobra, el atacante obtiene acceso total al perfil y puede utilizar la identidad digital de la víctima para realizar fraudes dirigidos a familiares y contactos cercanos.

Según el Instituto Nacional de Ciberseguridad (INCIBE), este tipo de ataques trascienden la invasión de la privacidad individual, ya que permiten que el criminal convierta la cuenta secuestrada en un canal para engañar a familiares, amigos y contactos cercanos.

Los delincuentes suelen ponerse en contacto con la víctima haciéndose pasar por equipo técnico de WhatsApp. Alegan la detección de un “acceso sospechoso” y solicitan información vinculada al dispositivo y el código de verificación de la app, bajo el pretexto de restablecer o proteger la cuenta.

Una vez obtenido el código, los atacantes logran tomar control total de la cuenta del usuario. Quien cede esta información pierde el acceso, mientras los delincuentes pasan a bloquear al verdadero dueño y comienzan a enviar mensajes a los contactos simulando emergencias, solicitudes de dinero o pidiendo nuevos códigos de verificación.

Este tipo de estafas explota la confianza y el vínculo personal para agilizar fraudes económicos u obtener información sensible.

El mecanismo delictivo no siempre se desarrolla a través de llamadas. En ocasiones, los estafadores suplantan a amistades mediante mensajes, solicitando reenviar un código recibido “por error”.

Con este recurso, asocian la cuenta de la víctima a otro dispositivo al que solo ellos tienen acceso. El peligro abarca no solo la pérdida del control sobre WhatsApp, también la exposición de todas las conversaciones, archivos y contenidos personales del historial.

A esta situación se suma la adopción de estrategias avanzadas de ingeniería social, como el uso de mensajes de texto que aparentan ser enviados por entidades como bancos, empresas de mensajería u organismos oficiales. En estos casos, los enlaces maliciosos capturan información que permite acceder a las credenciales del usuario y obtener los códigos de verificación.

Otra modalidad en expansión es el SIM swap, una técnica donde los criminales, tras reunir suficientes datos personales, logran convencer a la operadora telefónica para activar una nueva tarjeta SIM con el número de la víctima. Los códigos generados para aplicaciones y servicios, incluyendo WhatsApp, pasan así a manos del atacante, que logra tomar el control completo de las cuentas asociadas al número telefónico.

Expertos en ciberseguridad insisten en una serie de medidas claves para evitar el secuestro de cuentas: activar la verificación en dos pasos, no compartir códigos bajo ninguna circunstancia y revisar los dispositivos vinculados desde la configuración.

Es fundamental usar contraseñas robustas, proteger el buzón de voz y habilitar un correo seguro para la recuperación del PIN.

En caso de sufrir el secuestro de la cuenta, se recomienda reunir pruebas del incidente, advertir a los contactos y notificar a las autoridades pertinentes. La rápida reacción puede minimizar daños, impedir la propagación de fraudes y facilitar la recuperación de la cuenta.

Pese a que WhatsApp emplea cifrado de extremo a extremo y los mensajes quedan almacenados solo en el dispositivo, la seguridad depende en gran medida del propio usuario. La aplicación no tiene la capacidad de rastrear quién intenta verificar un número, ni revertir automáticamente los secuestros si el atacante instala un mecanismo de doble autenticación.

El primer paso para protegerse es no entregar nunca códigos de verificación a terceros y mantenerse cauteloso ante cualquier solicitud inusual. La actualización constante de las medidas de seguridad y la información sobre las nuevas modalidades de fraude digital constituyen las herramientas más eficaces ante este tipo de ataques.