Una nueva modalidad de fraude a través de WhatsApp ha activado las alertas de la Policía Nacional. En las últimas semanas se ha identificado un conjunto de denuncias con características similares en las que los ciberdelincuentes consiguen utilizar fraudulentamente una cuenta para pedir dinero a familiares, amigos y conocidos de la víctima.
La particularidad de estos casos es que la persona afectada no pierde el acceso a WhatsApp. Puede continuar utilizando la aplicación con normalidad y, por ese motivo, no necesariamente detecta de inmediato que alguien está empleando su identidad.
Mientras tanto, algunos de sus contactos reciben mensajes procedentes aparentemente de su cuenta en los que se solicita dinero con urgencia. Además, esas conversaciones fraudulentas no aparecen en el terminal de la víctima, aunque sí quedan reflejadas en las conversaciones reales de quienes reciben los mensajes.
La Jefatura Superior de Baleares ha advertido sobre este patrón después de las denuncias detectadas durante las últimas semanas. Las cantidades solicitadas suelen oscilar entre 950 y 1.000 euros y los delincuentes recurren a mensajes diseñados para aprovechar la confianza existente entre la víctima y sus contactos.
La estafa de WhatsApp que no expulsa a la víctima de su cuenta
Uno de los elementos que dificulta descubrir el fraude es precisamente el funcionamiento que ha observado la Policía Nacional. En estos casos, el usuario legítimo mantiene el acceso normal a su cuenta de WhatsApp. No queda expulsado de la aplicación y puede seguir utilizándola como habitualmente.
Paralelamente, los ciberdelincuentes consiguen enviar mensajes en su nombre a personas con las que mantiene una relación real. Los destinatarios pueden ser familiares, amigos o conocidos, circunstancia que permite aprovechar la confianza previa para hacer más creíble la solicitud económica.
La víctima, por tanto, puede no advertir ninguna anomalía directamente en su teléfono. Los mensajes enviados por los atacantes no aparecen en su terminal, pero sí en las conversaciones de los contactos que los reciben. Esta circunstancia provoca que, en muchos casos, la primera noticia del fraude llegue desde fuera. Las personas afectadas suelen descubrir lo que está ocurriendo cuando alguno de sus contactos las llama o les escribe por otra vía para comprobar si realmente han solicitado dinero.
Ni siquiera los “Dispositivos vinculados” siempre revelan el fraude
La detección puede complicarse todavía más al revisar las opciones de seguridad de WhatsApp. Según ha comprobado la Policía, cuando se accede a la sección de “Dispositivos vinculados”, no siempre aparece un dispositivo desconocido que permita identificar rápidamente que la cuenta ha sido comprometida. Por ello, la ausencia de un dispositivo extraño en ese apartado no garantiza que la cuenta esté segura.
El mecanismo descrito contempla además dos fases delictivas. Una vez que el atacante consigue utilizar la identidad de la víctima, lo que supondría un primer delito al hackear el terminal, comienza una campaña de ingeniería social dirigida a contactos reales.
El objetivo de esta segunda fase es cometer una estafa económica. La campaña detectada presenta un comportamiento muy homogéneo. Los delincuentes no se dirigen de manera indiscriminada a desconocidos, sino que utilizan la identidad comprometida para contactar con personas que ya mantienen una relación previa con la víctima.
“Necesito tu ayuda”: los mensajes utilizados para pedir dinero
La Policía Nacional ha identificado varios esquemas que se repiten en las conversaciones fraudulentas. El atacante intenta crear una situación de urgencia y necesidad económica recurriendo a mensajes como “Necesito tu ayuda”, “Se me ha roto el móvil”, “Uno nuevo cuesta unos 980-1.000 euros”, “No puedo hacer una transferencia ahora”, “¿Puedes adelantarme el dinero?” o “Te paso el IBAN del comerciante”. La finalidad es conseguir que el contacto interprete que está hablando realmente con una persona conocida que atraviesa una dificultad puntual.
También se han detectado otras fórmulas para justificar la transferencia. Entre ellas figura el mensaje: “Hazme una transferencia de 980 euros para liquidar unas facturas”. Otro de los ejemplos identificados es: “Me he pasado del límite, no me deja mandar una transferencia de 995 euro, me puedes hacer el pago con la transferencia inmediata? Mañana sin falta te lo devuelvo”. En todos estos casos, la petición económica aparece acompañada de una explicación destinada a justificar por qué la supuesta persona conocida necesita que el destinatario adelante el dinero.
Las cantidades se mueven entre los 950 y los 1.000 euros
Los importes tampoco son aleatorios dentro del patrón detectado por la Policía Nacional. Las cantidades solicitadas se sitúan habitualmente entre los 950 y los 1.000 euros. Los ejemplos identificados incluyen peticiones de 980 y 995 euros.
Existe además otra característica destinada a reforzar la credibilidad del engaño. Los delincuentes evitan solicitar que el ingreso se realice en una cuenta a nombre de la propia víctima suplantada. En su lugar, proporcionan una cuenta correspondiente supuestamente a un vendedor o a un tercero.
De esta forma, el relato utilizado para pedir el dinero pretende explicar también por qué la transferencia debe enviarse a un IBAN diferente al de la persona que aparentemente está solicitando la ayuda. La combinación de una identidad conocida, una necesidad urgente, cantidades concretas y la petición de una transferencia inmediata constituye la base de la ingeniería social descrita por la Policía.
La Policía pide avisar a los contactos por otra vía
Ante el incremento de este tipo de fraude, la Policía Nacional ha difundido una serie de recomendaciones destinadas tanto a proteger las cuentas como a reducir las posibilidades de que los contactos terminen realizando una transferencia.
Una de las primeras medidas consiste en avisar a familiares, amigos y otros contactos mediante un canal alternativo a WhatsApp. La comunicación puede realizarse mediante una llamada, un mensaje de texto o un correo electrónico, con el objetivo de advertirles de que deben ignorar cualquier solicitud económica recibida a través de la cuenta comprometida.
Esta medida resulta especialmente relevante por el propio funcionamiento del fraude: la víctima puede continuar utilizando WhatsApp mientras los atacantes envían mensajes en su nombre sin que esas conversaciones aparezcan en su terminal.
Códigos SMS, PIN y códigos QR: qué no debe facilitarse
La Policía Nacional también recomienda no proporcionar bajo ningún concepto determinados datos relacionados con la seguridad y el acceso a WhatsApp. Entre ellos se encuentran los códigos de WhatsApp, los códigos recibidos por SMS, el PIN correspondiente a la verificación en dos pasos y los códigos QR.
Las recomendaciones incluyen además mantener actualizado tanto el dispositivo como la propia aplicación. En concreto, se aconseja instalar la última versión de seguridad disponible que sea compatible con el sistema operativo del teléfono móvil y actualizar WhatsApp a su versión más reciente.
También se recomienda comprobar periódicamente el apartado “Dispositivos vinculados”, aunque con una advertencia importante: que no aparezca ningún dispositivo desconocido no significa necesariamente que la cuenta no haya sido comprometida. Otra de las medidas aconsejadas es activar la verificación en dos pasos de WhatsApp.
Qué hacer si ya se ha producido la suplantación
Cuando se detecta una estafa o incluso un intento de estafa, la Policía establece dos actuaciones. Por un lado, se debe reportar la suplantación mediante los mecanismos oficiales de soporte de WhatsApp.
Por otro, es necesario acudir a dependencias policiales para interponer la correspondiente denuncia. La alerta difundida por la Jefatura Superior de Baleares llega después de que la Policía Nacional haya detectado durante las últimas semanas varias denuncias con características semejantes.
