Ciberseguridad

El pasado 1 de julio de 2025, la Línea de Ayuda en Ciberseguridad de INCIBE (Instituto Nacional de Ciberseguridad de España) recibió un aviso que ha encendido las alarmas entre los expertos: un usuario denunció la pérdida total del control de su cuenta de WhatsApp tras recibir una videollamada aparentemente inofensiva. Este incidente confirma una tendencia preocupante: la sofisticación creciente de los ataques de ingeniería social que mezclan la manipulación psicológica con técnicas sencillas, pero demoledoramente eficaces.

La víctima, cuyo caso ha trascendido como ejemplo paradigmático, recibió una videollamada de un contacto que ya tenía en su agenda. Este detalle no es trivial: la confianza previa es la primera barrera que el atacante consiguió derribar. La llamada mostraba únicamente oscuridad en pantalla, y la persona al otro lado alegó que su dispositivo tenía problemas de funcionamiento.

El siguiente paso en el guion del fraude fue aparentemente razonable: el supuesto contacto pidió a la víctima que compartiera pantalla para intentar solucionar la incidencia técnica. Aquí se encuentra la trampa principal. Al compartir la pantalla completa del teléfono, cualquier notificación recibida se hace visible a quien observa la transmisión en tiempo real.

El código de seguridad, el talón de Aquiles

Mientras conversaban, la víctima recibió un SMS con el código de verificación de WhatsApp, una notificación que apareció en la parte superior de la pantalla compartida. Para el ciberdelincuente, capturar ese dato fue cuestión de segundos. Con ese código en su poder, procedió a activar la cuenta de WhatsApp en otro dispositivo y expulsar al titular legítimo de la sesión. A partir de ese momento, la cuenta ya estaba completamente bajo control ajeno.

Cuando la víctima intentó volver a abrir la aplicación, esta mostraba que el acceso había sido rechazado. Lo que siguió es un patrón ya habitual en los casos de suplantación: los contactos comenzaron a recibir mensajes solicitando transferencias urgentes de dinero vía Bizum y peticiones para reenviar códigos recibidos por SMS.

Este procedimiento híbrido —mezcla de videollamada, manipulación emocional y el uso de datos en tiempo real— representa una evolución de los fraudes clásicos por mensajería y confirma que la ingeniería social es, probablemente, la amenaza más eficaz contra la seguridad digital de los usuarios.

Los pasos recomendados por INCIBE

Ante este incidente, la Línea de Ayuda en Ciberseguridad de INCIBE ofreció al usuario un protocolo detallado de respuesta, que puede servir de referencia si te ocurre algo similar. Estas son las pautas principales:

1. Avisar de inmediato a todos los contactos para que ignoren cualquier mensaje sospechoso o petición de dinero.

2. Contactar al supuesto remitente de la videollamada, que probablemente también haya sido víctima del secuestro de su cuenta.

3. Reinstalar la aplicación para forzar el envío de un nuevo código de verificación y recuperar la cuenta.

4. Si WhatsApp impone un periodo de espera (habitualmente entre 9 y 11 horas), esperar y volver a intentarlo.

5. En caso de no lograr el acceso, contactar con el soporte oficial de WhatsApp mediante el correo support@whatsapp.com.

6. Si no hay respuesta en un plazo razonable, elevar la queja al Delegado de Protección de Datos de WhatsApp.

7. Si la situación persiste durante un mes o la respuesta resulta insatisfactoria, presentar una reclamación ante la Agencia Española de Protección de Datos.

8. Recopilar todas las evidencias posibles (pantallazos, mensajes, datos de transferencia).

9. Denunciar los hechos ante las Fuerzas y Cuerpos de Seguridad del Estado por suplantación de identidad.

Cómo protegerse de este tipo de fraude

Aunque pueda parecer un ataque sofisticado, su éxito depende de dos factores muy humanos: la confianza y la distracción. Por eso, INCIBE recomienda:

• Activar siempre la verificación en dos pasos en WhatsApp (una segunda contraseña que el atacante no pueda conseguir solo con el código SMS).

• No compartir pantalla salvo con personas de absoluta confianza y nunca cuando se trate de gestiones que impliquen datos sensibles.

• Jamás entregar un código de verificación, aunque la petición provenga de un contacto conocido.

Esta última precaución es clave: en la mayoría de los fraudes, los ciberdelincuentes suplantan primero una cuenta legítima y luego continúan extendiendo el ataque por la red de contactos, generando un efecto dominó.