La Guardia Civil de Cantabria investiga más de veinte denuncias por una nueva modalidad de hackeo que permite a los ciberdelincuentes hacerse con el control de cuentas de WhatsApp y utilizarlas para pedir dinero a familiares y amigos de sus propietarios. El Equipo @ de la Guardia Civil ha alertado de estos ataques, que afectan a teléfonos iPhone con versiones antiguas del sistema operativo iOS.
El procedimiento resulta especialmente llamativo porque no requiere que la víctima pinche en un enlace, descargue un archivo o responda a una llamada. Los atacantes emplean una técnica conocida como zero-click, que permite acceder al dispositivo sin que el usuario tenga que realizar ninguna acción previa.
Una vez dentro de la aplicación, los delincuentes suplantan la identidad del titular y escriben a las personas de su agenda para solicitar transferencias bancarias o pagos mediante Bizum. Al recibir el mensaje desde el número habitual de un amigo o familiar, los contactos pueden confiar en la petición y enviar el dinero sin sospechar que están hablando con un tercero.
Cómo funciona el engaño y por qué puede parecer real
A diferencia de otras estafas en las que los delincuentes utilizan números desconocidos o perfiles falsos, en esta modalidad el mensaje llega desde la cuenta auténtica de la persona suplantada.
Los atacantes pueden aprovechar la confianza que existe entre los contactos para introducir un mensaje de urgencia y conseguir que el destinatario haga un Bizum o una transferencia. En algunos de los casos investigados, los ciberdelincuentes han llegado incluso a activar la verificación en dos pasos de WhatsApp, lo que puede dejar al propietario sin acceso a su propia cuenta.
La Guardia Civil ha situado los casos detectados en teléfonos con iOS de varios años de antigüedad que no están actualizados a las versiones más recientes. Según la información facilitada por el cuerpo, las versiones afectadas aumentan especialmente entre las anteriores a iOS 18. Por el momento, no se han detectado ataques de esta modalidad en dispositivos Android.
Qué hacer si un conocido te pide dinero por WhatsApp
La principal recomendación de la Guardia Civil para quienes reciben una petición de dinero es no realizar el pago sin comprobar antes que realmente procede de esa persona.
Si un amigo o familiar solicita un Bizum, especialmente si utiliza la urgencia como argumento, conviene:
-
Llamar directamente al contacto. Hay que verificar la petición mediante una llamada telefónica o por otra vía distinta de WhatsApp.
-
No responder únicamente al mensaje recibido. Si la cuenta está intervenida, quien contesta podría estar hablando con los propios estafadores.
-
Desconfiar de las prisas. Las solicitudes que exigen enviar dinero inmediatamente deben comprobarse antes de realizar cualquier operación.
-
No compartir códigos de verificación. Nunca se deben facilitar códigos recibidos por SMS ni datos de acceso para recuperar una cuenta.
La clave es no dar por válida una petición de dinero solo porque aparezca en una conversación habitual o proceda de un número conocido.
Cómo proteger tu cuenta de WhatsApp y tu iPhone
La Guardia Civil recomienda mantener actualizado el sistema operativo del teléfono e incorporar un segundo factor de autenticación para acceder a WhatsApp. Esta protección puede configurarse mediante un PIN, huella dactilar o reconocimiento facial, según las opciones disponibles en el dispositivo y la aplicación.
En el caso de los iPhone, conviene comprobar si existe una actualización pendiente en el apartado Ajustes > General > Actualización de software. Si el terminal es demasiado antiguo y ya no admite las versiones más recientes, el cuerpo recomienda reforzar especialmente la seguridad de WhatsApp mediante la autenticación adicional.
La Guardia Civil advierte de que desinstalar y volver a instalar la aplicación no es suficiente si no se corrigen las vulnerabilidades o se incorporan estas medidas de seguridad, ya que el dispositivo podría volver a ser atacado.
Qué hacer si ya has enviado el dinero
Si el usuario descubre que ha realizado un Bizum o una transferencia a raíz de una petición fraudulenta, debe ponerse en contacto inmediatamente con su entidad bancaria a través de sus canales oficiales. Es importante explicar que se trata de una operación vinculada a una estafa y solicitar que intenten detenerla o recuperar el importe, aunque no siempre será posible.
Si, por el contrario, se detecta que la cuenta propia de WhatsApp ha sido intervenida, la recomendación policial es avisar a los contactos por otros medios para que no envíen dinero a través de las peticiones que reciban desde ese perfil.
La investigación de la Guardia Civil en Cantabria suma ya más de una veintena de denuncias y pone el foco en una modalidad de fraude que aprovecha la confianza entre personas conocidas para conseguir pagos sin levantar sospechas.