Un código de verificación de WhatsApp no es un mensaje que debamos reenviar: es una llave temporal para registrar nuestra cuenta en otro teléfono. Si llega sin haberlo solicitado, alguien puede haber escrito nuestro número por error, pero también puede estar intentando apoderarse de la cuenta. La respuesta segura es la misma en ambos casos: no compartirlo, no pulsar enlaces recibidos a continuación y comprobar qué está ocurriendo desde la aplicación oficial.
El engaño funciona especialmente bien con adolescentes porque rara vez empieza con un desconocido que se presenta como delincuente. Puede comenzar con un mensaje aparentemente enviado por un amigo, un compañero de clase o un familiar cuya cuenta ya ha sido comprometida. La petición parece pequeña —«me ha llegado mi código a tu móvil», «pásamelo, que me he equivocado»— y el atacante añade urgencia para evitar que la víctima piense.
¿Qué es realmente el código de verificación de WhatsApp?
Al registrar un número de teléfono en WhatsApp, el servicio necesita comprobar que quien realiza el proceso controla ese número. Para ello envía un código de registro por SMS o utiliza los mecanismos de verificación disponibles. Ese código no identifica una conversación ni sirve para ayudar a un contacto: forma parte del acceso a la cuenta asociada al número.
Por eso debe tratarse como una contraseña de un solo uso. Aunque caduque, durante su periodo de validez puede permitir que otra persona complete un registro que nosotros no hemos iniciado. WhatsApp indica expresamente que no se debe compartir el código de registro con nadie, ni siquiera con familiares o amigos.
Recibirlo no demuestra por sí solo que la cuenta ya haya sido robada. Sí demuestra que se ha iniciado un intento de registro con nuestro número. Puede deberse a un error al escribirlo o a un intento deliberado. No es necesario adivinar cuál de las dos explicaciones es correcta para actuar bien: basta con conservar el código en privado.
¿Cómo se desarrolla el robo de una cuenta?
El atacante instala o abre WhatsApp en otro dispositivo e introduce el número de la víctima. El servicio envía el código al teléfono legítimo. Como el delincuente no puede leer ese SMS directamente, necesita convencer a su propietario para que se lo entregue.
La parte técnica es sencilla; la parte decisiva es la manipulación. INCIBE describe campañas en las que el delincuente se hace pasar por un contacto conocido y afirma que ha enviado el código al número equivocado. Si la cuenta desde la que escribe ya fue secuestrada, el mensaje llega desde una conversación real y con la fotografía correcta. Eso reduce la desconfianza y permite que el ataque se propague de contacto en contacto.
Las señales que deben detener la conversación
- Recibimos un código que no hemos solicitado.
- Alguien pide que se lo copiemos, dictemos o enviemos mediante una captura.
- La petición se justifica con un error confuso o una urgencia.
- El interlocutor evita una llamada normal o cambia de explicación.
- Después del código solicita también un PIN, un enlace o datos del correo.
No es necesario que aparezcan todas. La combinación «código no solicitado más persona que lo reclama» es suficiente para detenerse. Ningún amigo necesita nuestro código personal para activar su propio WhatsApp.
¿Por qué el mensaje puede parecer auténtico?
Muchas familias buscan errores ortográficos, números extranjeros o perfiles vacíos para reconocer una estafa. Esas pistas pueden ayudar, pero no son una garantía. Una cuenta auténtica comprometida conserva el nombre, la fotografía, los grupos y el historial visible para sus contactos. El mensaje puede estar bien escrito e incluso hacer referencia a una relación real.
La confianza debe basarse en la acción solicitada, no solo en la apariencia del remitente. Una petición de código, contraseña, PIN o aprobación de acceso es incompatible con una conversación normal. Es la operación la que resulta peligrosa, aunque la cuenta que la envía pertenezca realmente a una persona conocida.
La comprobación más eficaz: cambiar de canal
Si el mensaje procede de alguien conocido, conviene llamarlo por el número que ya teníamos guardado o hablar con esa persona presencialmente. No debemos usar un nuevo teléfono facilitado dentro de la misma conversación sospechosa. También puede servir otra vía que ya utilizáramos habitualmente y cuya identidad podamos confirmar.
En una familia resulta útil acordar una norma previa: cualquier petición inesperada de dinero, códigos o cambio de número se confirma mediante una llamada. Para situaciones en las que hablar no sea posible, puede establecerse una palabra familiar que no aparezca en redes sociales y que pueda cambiarse si llega a exponerse. No sustituye a la llamada, pero añade una barrera frente a engaños masivos y a futuras suplantaciones con voz sintética.
¿Qué hacer si recibes el código y no lo compartes?
- No respondas a quien lo solicite. No copies el código ni envíes una captura en la que pueda leerse.
- No pulses enlaces posteriores. Un segundo mensaje puede intentar llevarte a una página falsa o pedirte otros datos.
- Comprueba que sigues teniendo acceso a WhatsApp. Hazlo abriendo la aplicación instalada, no desde enlaces recibidos.
- Revisa los dispositivos vinculados. Cierra cualquier sesión que no reconozcas.
- Activa o revisa la verificación en dos pasos. Añade un PIN que no sea una fecha, una repetición simple ni un código utilizado en otros servicios, y mantén actualizado el correo de recuperación.
- Avisa al supuesto remitente por otra vía. Su cuenta puede haber sido comprometida.
Si solo llegó el SMS y no hubo más interacción, no hace falta difundir el código ni intentar identificar al solicitante. La prioridad es impedir que salga del teléfono y reforzar la cuenta.
¿Qué hacer si ya has enviado el código?
Hay que actuar de inmediato, pero sin pagar a quien prometa devolver la cuenta. WhatsApp dispone de un procedimiento oficial de recuperación de cuentas comprometidas. El primer objetivo es volver a registrar el número desde el teléfono legítimo siguiendo las instrucciones del servicio. Al introducir el código recibido por SMS, la sesión del tercero puede quedar cerrada.
Puede aparecer una dificultad adicional si el atacante ha activado la verificación en dos pasos. En ese caso hay que seguir el proceso oficial y sus plazos; no recurrir a supuestos técnicos que contacten por redes sociales ni pagar por una recuperación que no pueden garantizar.
Después conviene realizar estas acciones:
- Revisar y cerrar dispositivos vinculados desconocidos.
- Comprobar que el correo asociado y las opciones de recuperación son correctos.
- Avisar a los contactos de que ignoren peticiones recientes de dinero, códigos o enlaces.
- Guardar capturas, números, horas, SMS y conversaciones antes de eliminar nada.
- Revisar si se han producido pagos, compras o accesos a otras cuentas.
- Cambiar la contraseña del correo si existe cualquier indicio de que también fue comprometido.
Si se ha producido una estafa económica, una extorsión o una utilización de la identidad para perjudicar a terceros, debe contactarse cuanto antes con la entidad de pago y valorarse la denuncia ante las Fuerzas y Cuerpos de Seguridad. La Guardia Civil admite denuncia electrónica para determinados supuestos de estafas y cargos fraudulentos cometidos mediante medios informáticos, aunque las circunstancias del caso pueden exigir atención presencial.
El papel de la verificación en dos pasos
La verificación en dos pasos añade un PIN que WhatsApp puede solicitar cuando se intenta verificar el número. Es una defensa importante porque el código del SMS deja de ser la única barrera. No convierte la cuenta en invulnerable: el PIN también debe mantenerse secreto y el correo de recuperación debe estar protegido.
Para una familia, la configuración segura no consiste en que todos conozcan el PIN del menor. Lo razonable depende de su edad y autonomía. En niños pequeños, el adulto responsable puede custodiar la recuperación; en adolescentes, conviene acordar dónde quedan los datos de emergencia sin normalizar el intercambio diario de credenciales. Compartir todas las contraseñas por mensajería crea un nuevo riesgo.
También debe evitarse reutilizar el mismo PIN en el desbloqueo del teléfono, tarjetas bancarias u otros servicios. Una medida de seguridad pierde valor cuando una sola combinación abre varias puertas.
¿Qué deben aprender los menores?
La regla tiene que ser comprensible y fácil de recordar: si un código llega a tu teléfono, no se lo das a nadie. Después pueden aprender los matices, pero esa frase resuelve la mayoría de las situaciones urgentes.
Conviene ensayarla sin culpabilizar. Podemos plantear un ejemplo: «Un amigo te escribe diciendo que su código ha llegado por error. ¿Qué haces?». La respuesta esperada es detener la conversación, no compartir nada y llamar al amigo por otra vía. Practicar antes reduce la probabilidad de que la presión del momento decida por ellos.
También es importante explicar que pedir ayuda rápidamente no conllevará un castigo automático. Cuando un adolescente teme perder el móvil, puede ocultar el incidente y dar al atacante tiempo para contactar con otras personas. La reacción adulta debe centrarse primero en recuperar la cuenta, contener el daño y conservar las pruebas.
Errores frecuentes después del intento
Borrar todos los mensajes inmediatamente
Bloquear al atacante puede ser necesario, pero antes conviene conservar las pruebas si hubo acceso, amenazas o dinero. Las capturas deben mostrar el número, la fecha y el contexto suficiente.
Confiar porque la fotografía coincide
Una fotografía puede copiarse y una cuenta real puede ser secuestrada. La identidad se confirma por otra vía, no observando únicamente el perfil.
Pagar para recuperar la cuenta
El pago no garantiza la devolución y puede confirmar al delincuente que la víctima está dispuesta a seguir negociando. La recuperación debe realizarse mediante los canales oficiales.
Proteger WhatsApp pero olvidar el correo
El correo es una pieza central en la recuperación de muchas cuentas. Debe tener una contraseña exclusiva y un segundo factor adecuado. Si se compromete, el atacante puede conservar vías de acceso aunque cambiemos otros datos.
Un protocolo familiar de un minuto
- Parar: no responder bajo presión.
- Ocultar: no mostrar códigos, PIN ni capturas.
- Confirmar: llamar por un canal conocido.
- Revisar: comprobar sesiones y seguridad desde la aplicación oficial.
- Avisar: pedir ayuda a un adulto y alertar al contacto suplantado.
Este protocolo sirve también para Instagram, videojuegos, correo y otras cuentas. Cambia el servicio, pero la lógica se mantiene: un código de acceso pertenece a quien controla la cuenta y nunca al interlocutor que lo reclama.
Si este artículo te ha servido para prevenir una estafa, un engaño o un robo de cuenta, no lo dejes solo en lectura: compártelo con familiares, amigos o grupos donde pueda evitar un daño. La prevención funciona mejor cuando llega antes que el engaño; entre todos podemos construir una comunidad más atenta, más informada y más difícil de manipular.
Conclusión
El robo mediante el código de verificación no requiere conocimientos técnicos avanzados: necesita que la víctima entregue voluntariamente una llave que debía permanecer privada. La defensa principal tampoco es complicada. Ningún código recibido en nuestro teléfono se copia, se dicta ni se fotografía para otra persona. Si la petición parece proceder de alguien conocido, se confirma por una vía distinta.
Convertir esta conducta en una norma familiar ofrece una protección duradera. No depende de memorizar cada nueva estafa, sino de reconocer una frontera que no debe cruzarse: las credenciales y códigos de acceso no forman parte de una conversación.
Fuentes
INCIBE
Guardia Civil
