- Los ciberdelincuentes acceden a cuentas reales de WhatsApp sin que el usuario haga nada, a través de vulnerabilidades en móviles antiguos con iOS sin actualizar.
- La víctima no pierde el acceso a su cuenta ni detecta dispositivos vinculados extraños, lo que hace que el fraude pase desapercibido.
- Las autoridades recomiendan actualizar el sistema operativo, activar la verificación en dos pasos y no compartir códigos de verificación.
Los ciberdelincuentes han encontrado una nueva vía para vaciar los bolsillos de los usuarios de WhatsApp sin necesidad de que estos pinchen enlaces maliciosos ni escaneen códigos QR. La Policía Nacional ha alertado en las últimas semanas de un incremento notable de denuncias por una modalidad de estafa que consiste en acceder a una cuenta real de WhatsApp y suplantar la identidad de su titular para pedir dinero a sus contactos más cercanos. El fraude, que ya se ha detectado en varias comunidades autónomas, se aprovecha de una vulnerabilidad en versiones antiguas del sistema operativo iOS de los iPhone, lo que ha llevado al Instituto Nacional de Ciberseguridad (INCIBE) a calificar su impacto como “elevado”.
Según los cuerpos policiales, los primeros casos se registraron en Italia en mayo de 2026 y desde entonces se han extendido con rapidez por España. La particularidad que hace especialmente peligroso este ataque es que la víctima puede seguir utilizando su cuenta con total normalidad mientras los estafadores envían mensajes desde su perfil, sin que se aprecie ninguna señal de alarma. Ni siquiera la función de ‘Dispositivos vinculados’ muestra sesiones extrañas, lo que genera una falsa sensación de seguridad que facilita el engaño.
Una vulnerabilidad en versiones antiguas de iOS
El origen del problema está en una vulnerabilidad presente en iPhone con sistemas iOS anteriores a la versión 16.7.12. Según el INCIBE, los atacantes explotan en cadena dos fallos: uno del sistema operativo y otro de la propia aplicación de WhatsApp. Ambos ya han sido corregidos por Apple y por la empresa de mensajería, pero quienes no hayan instalado las últimas actualizaciones siguen expuestos. Los ciberdelincuentes logran así acceder a la cuenta sin que la víctima tenga que hacer nada: no se necesita pulsar un enlace, escanear un código QR ni descargar archivos. Es lo que técnicamente se denomina un ataque ‘zero-click’, y lo convierte en especialmente difícil de detectar. Para más detalles, puedes leer sobre esta estafa de WhatsApp que ataca iPhones.
Para ocultar su actividad, los estafadores utilizan la opción ‘eliminar solo para mí’ desde un dispositivo vinculado. De esta manera, los mensajes fraudulentos que envían a los contactos no aparecen en el móvil del titular legítimo, pero sí en los chats de los receptores. La petición de dinero llega desde el número habitual, con el nombre del contacto y dentro del historial de conversaciones reales, lo que hace que el engaño resulte completamente creíble.
Por qué es especialmente peligroso
El principal peligro de esta modalidad reside en que la víctima no pierde el control de su cuenta de WhatsApp. A diferencia de otras estafas, aquí no se observa que el usuario sea expulsado ni que aparezcan dispositivos desconocidos en la sección de ‘Dispositivos vinculados’. De hecho, los afectados aseguran que no facilitaron en ningún momento códigos de registro, PIN de verificación ni contraseñas, y tampoco escanearon códigos QR. Esto hace que muchos ni siquiera se den cuenta de que están siendo suplantados hasta que algún contacto avisa de haber recibido una solicitud extraña.
Los mensajes fraudulentos suelen apelar a la urgencia y a las emociones. Los delincuentes se inventan una emergencia económica o médica, piden una transferencia inmediata y facilitan un número de cuenta bancaria que, en ocasiones, pertenece a entidades extranjeras. El objetivo es ganarse la confianza de familiares o amigos para que realicen el pago sin comprobar nada. Como explica la Policía Foral: ‘al recibir la petición dentro del chat habitual de un amigo, hijo o familiar, la víctima baja la guardia por completo‘.
Recomendaciones de la Policía para protegerte
Ante el aumento de estos casos, tanto la Policía Nacional como la Policía Foral han difundido una serie de pautas para evitar caer en la trampa. La primera y más importante es mantener actualizado el sistema operativo del móvil y la aplicación de WhatsApp, ya que las actualizaciones corrigen las vulnerabilidades que se están aprovechando. También se recomienda activar la verificación en dos pasos, una opción que se encuentra en la ruta Ajustes > Cuenta > Verificación en dos pasos. Esta medida impide que los delincuentes puedan duplicar la cuenta en otro dispositivo aunque hayan conseguido el código SMS.
Otra recomendación clave es no compartir nunca el código de verificación de seis dígitos que WhatsApp envía por SMS. Los estafadores suelen intentar obtenerlo mediante falsos sorteos, llamadas de supuesto soporte técnico o mensajes de phishing. Además, conviene revisar periódicamente la sección de ‘Dispositivos vinculados’ dentro de la aplicación y cerrar cualquier sesión que no se reconozca. Si se recibe una solicitud de dinero de un contacto, lo mejor es llamar por teléfono o contactar por otra vía para confirmar que realmente es esa persona quien escribe. Puedes consultar nuestra guía completa para detectar estafas en WhatsApp.
Qué hacer si ya has sido víctima
Si se detecta una suplantación de identidad, las autoridades aconsejan avisar inmediatamente a familiares, amigos y contactos por un canal alternativo para que ignoren cualquier petición de dinero enviada desde la cuenta afectada. También hay que comunicar la incidencia a través de los canales oficiales de soporte de WhatsApp y presentar una denuncia por estafas en WhatsApp en dependencias policiales. En el caso de que se haya realizado un pago o se hayan visto comprometidos datos bancarios, es esencial contactar con la entidad financiera lo antes posible.
Además, se debe conservar todo el material probatorio: conversaciones, números de teléfono, capturas de pantalla y justificantes de pago. Esto puede ser útil para la investigación. Como recuerda el INCIBE, muchas de estas estafas se basan en la ingeniería social y provocan miedo o urgencia, pero si se actúa con calma y se comprueba la información por otras vías, se pueden evitar pérdidas económicas importantes.
La nueva oleada de estafas en WhatsApp ha puesto en alerta a los cuerpos policiales de toda España. La combinación de una vulnerabilidad desconocida para el usuario y el uso de cuentas reales para pedir dinero hace que el fraude sea especialmente difícil de detectar. Sin embargo, siguiendo las recomendaciones básicas de ciberseguridad –actualizar los dispositivos, activar la verificación en dos pasos y desconfiar de las solicitudes urgentes de dinero–, es posible reducir enormemente el riesgo y frenar la cadena de engaños antes de que cause más daños.
