Aprovechando la gran base de usuarios de WhatsApp, ciberdelincuentes están enviando mensajes que no aparentan ningún riesgo, pero que son una táctica para burlar los sistemas de protección y robar datos.

Ante esta situación, la recomendación inmediata es no responder de ninguna manera ese tipo de contenidos, tampoco hacer clic en enlaces y eliminar de inmediato la comunicación que llegó de manera inesperada.

El formato más habitual inicia de manera simple: “Hola mamá/papá, soy tu hijo. Se me ha roto/dañado el móvil y este es mi número nuevo”. Esta frase, aparentemente genuina, explota el afecto y la preocupación parental para allanar el camino hacia el engaño.

En una variante ampliamente reportada en España, la Guardia Civil detalla que la estafa se despliega cuando la víctima, movida por el deseo de ayudar a su supuesto hijo que dice tener el móvil dañado, guarda el nuevo número y entabla conversación.

Pronto, se desarrolla la segunda fase: el ciberdelincuente narra una situación de emergencia e insiste en que requiere dinero urgente, apelando a la confianza y al impulso emocional del receptor. Solicitudes para transferir sumas de dinero —a menudo cuantiosas, como 2.000 euros— se presentan como imprescindibles, presionando para que la víctima no tenga tiempo de pensar o verificar la historia.

La sofisticación radica en el uso de la urgencia y la manipulación psicológica. Las frases “lo necesito ya” o “es un pago que no puede esperar” están diseñadas para anular cualquier duda, incitando a actuar sin tomar las precauciones habituales.

Según testimonios recogidos por la Guardia Civil, la estratagema resulta tan verosímil en medio de la tensión emocional, que muchas víctimas solo advierten el engaño cuando llegan a contactar a su hijo verdadero por otros medios.

A la par de estos engaños personalizados, surge una modalidad aún más sofisticada que aprovecha los mecanismos de autenticación de WhatsApp. Un reciente informe de Kaspersky detectó campañas globales de phishing que utilizan páginas de encuestas falsas, presentándose como concursos o votaciones en favor de atletas, artistas o figuras públicas.

Los mensajes circulan tanto por WhatsApp como por redes sociales y otras aplicaciones de mensajería, con apariencia legítima y alta capacidad de persuasión.

Este esquema opera valiéndose de la confianza depositada en los contactos: los ciberdelincuentes, tras obtener el control de una cuenta, envían mensajes fraudulentos a los contactos de la víctima solicitando apoyo para una votación. Al hacer clic en los enlaces proporcionados, los usuarios acceden a sitios falsificados que replican con precisión el diseño y funcionalidad de encuestas reales, incorporando imágenes, votaciones en tiempo real y botones plenamente funcionales.

La trampa culmina en una pantalla que solicita al usuario —bajo el pretexto de validar un voto— que introduzca su número de teléfono de WhatsApp. Acto seguido, el sitio simula una verificación y pide introducir un código de acceso de ocho caracteres, que el propio WhatsApp genera para vincular dispositivos nuevos.

Este código auténtico es la llave que permite a los delincuentes acceder a la cuenta, suplantar la identidad de la víctima y duplicar el fraude a toda su libreta de contactos.

Ceder los códigos de verificación —ya sea en un contexto de phishing como en el esquema de la “estafa del hijo”— otorga a los criminales acceso inmediato y total a la cuenta de WhatsApp. Una vez dentro, estos pueden leer y manipular conversaciones, enviar mensajes a nombre de la víctima para solicitar dinero a terceros o incluso llevar a cabo extorsiones.

El efecto multiplicador se potencia cuando los delincuentes emplean la identidad digital robada para seguir propagando el fraude a nuevos contactos, generando una cadena de víctimas.

En varios casos, las cuentas comprometidas han sido utilizadas para solicitar transferencias urgentes de dinero bajo falsos pretextos, perpetuando el ciclo de fraude y dificultando su rastreo. Este fenómeno se extiende además a otras plataformas, como SMS, Telegram y servicios de mensajería directa en redes sociales, evidenciando que la amenaza trasciende WhatsApp y requiere atención en cualquier comunicación digital inesperada.