Un mensaje puede llegar desde la cuenta auténtica de un amigo y, aun así, no haberlo escrito él. Cuando un delincuente consigue controlar WhatsApp, hereda algo más valioso que un número: la confianza de todos sus contactos. Puede pedir códigos, dinero o descargas desde una conversación conocida, con el nombre y la fotografía correctos.
Esta modalidad explica por qué ya no basta con buscar perfiles extraños o errores evidentes. INCIBE ha documentado robos de cuentas en cadena: una víctima entrega su código de verificación, pierde el control y su cuenta se utiliza para engañar a la siguiente persona. Cada nuevo acceso amplía la red de contactos disponibles.
¿Qué significa que una cuenta sea auténtica pero el mensaje no?
Hay que distinguir dos situaciones. En una suplantación simple, alguien crea otro perfil con el nombre y la foto de una persona. En un secuestro de cuenta, el atacante entra en la cuenta real o consigue registrarla en otro dispositivo. Para el destinatario, la segunda situación resulta más convincente porque el mensaje aparece donde siempre hablaba con su amigo.
La aplicación no puede garantizar que cada texto lo esté escribiendo físicamente el propietario habitual. El cifrado protege la comunicación durante su transmisión; no impide que alguien con control de una cuenta envíe mensajes en nombre de su titular.
¿Cómo se propaga el robo en cadena?
- El delincuente inicia el registro de WhatsApp con el número de una primera víctima.
- La víctima recibe un código por SMS.
- Mediante engaño, el atacante consigue que se lo entregue.
- Con la cuenta controlada, escribe a sus contactos.
- Solicita nuevos códigos o dinero utilizando la confianza existente.
El mensaje puede afirmar que el código llegó por error, que el amigo cambió de teléfono o que necesita ayuda urgente. Ninguna de esas explicaciones hace legítimo compartir un código personal.
Señales que importan más que la fotografía del perfil
- Pide un código de registro, PIN o captura de un SMS.
- Solicita dinero de una manera que no encaja con la relación habitual.
- Insiste en que no se llame o inventa excusas para evitar una conversación.
- Envía un enlace o archivo que el contacto nunca habría enviado normalmente.
- Cambia bruscamente de tono, horario o forma de expresarse.
Estas anomalías no demuestran por sí solas que la cuenta esté comprometida. Sí justifican confirmar antes de actuar. La petición pesa más que la apariencia del perfil.
¿Cómo confirmar que realmente es tu amigo?
La comprobación debe hacerse fuera de la conversación sospechosa. Lo más directo es llamar al número habitual. Si no responde, puede utilizarse otro canal ya conocido o contactar con una persona cercana. No debemos confiar en un nuevo número o dirección facilitados por el mismo interlocutor.
Una pregunta privada puede ayudar, pero debe tratarse de información que no esté publicada en redes sociales. Tampoco conviene convertirla en una contraseña familiar permanente. Para operaciones sensibles, una conversación de voz o una comprobación presencial proporciona más contexto.
¿Qué hacer si confirmas que la cuenta de tu amigo fue robada?
No continúes la conversación con el atacante. Avisa al propietario por otra vía y explica exactamente qué se ha solicitado. Si compartiste un código, inicia de inmediato la recuperación de tu propia cuenta. Si enviaste dinero, contacta con la entidad de pago.
El propietario de la cuenta debe seguir el procedimiento oficial de recuperación de WhatsApp, revisar los dispositivos vinculados y alertar a sus contactos. El aviso debe ser concreto: «Mi WhatsApp ha sido comprometido; ignorad mensajes recientes que pidan dinero, códigos o enlaces». Una advertencia vaga puede no detener el engaño.
¿Cómo avisar sin aumentar la confusión?
Conviene utilizar canales que el atacante no controle: llamada, SMS, correo o una red social segura. No deben publicarse capturas que muestren códigos, números completos o información privada. Si se avisa en un grupo, se explica qué cuenta está afectada, desde qué momento y qué acciones deben ignorarse.
Medidas preventivas
- No compartir nunca códigos de registro o PIN.
- Activar la verificación en dos pasos y mantener actualizado el correo de recuperación.
- Revisar periódicamente los dispositivos vinculados.
- Proteger el correo electrónico asociado con una contraseña exclusiva y segundo factor.
- Limitar la información personal visible públicamente.
- Establecer una norma familiar para confirmar peticiones sensibles por otra vía.
¿Cómo explicárselo a un adolescente?
La frase útil es: «Confiamos en la persona, pero verificamos la petición». No se trata de sospechar de todos los amigos, sino de reconocer que sus cuentas también pueden ser robadas. Si una solicitud podría hacer perder dinero, privacidad o una cuenta, la amistad no elimina la comprobación.
También debe saber que pedir ayuda pronto reduce el daño. Si entregó un código por error, no debe esperar a ver qué ocurre ni ocultarlo. La familia puede actuar mientras todavía conserva acceso.
Un caso práctico sin datos personales
Un adolescente recibe un mensaje desde la cuenta de un compañero. Le explica que está cambiando de móvil y que, por error, el código de activación ha llegado al teléfono del adolescente. Como la conversación está en el chat habitual, la petición parece razonable. Sin embargo, el código recibido identifica la cuenta del destinatario, no la del compañero.
La respuesta correcta es no copiarlo y llamar al compañero. Si este confirma que no escribió el mensaje, se avisa a otros contactos comunes. El grupo no necesita investigar quién es el delincuente ni enfrentarse a él. Debe cortar la propagación y conservar la información disponible.
¿Qué puede hacer el propietario mientras recupera la cuenta?
La recuperación oficial puede no ser instantánea. Durante ese tiempo, el propietario puede comunicar el incidente mediante SMS, llamadas, correo y otras redes que continúe controlando. Si existen grupos escolares, deportivos o familiares, un administrador puede advertir a sus miembros y limitar temporalmente la actividad de la cuenta afectada.
Conviene elaborar una lista de personas que podrían recibir peticiones creíbles: familiares mayores, compañeros, responsables de actividades y contactos con los que se hayan realizado pagos. El aviso selectivo suele ser más eficaz que una publicación genérica que no todos verán.
Pruebas que conviene conservar
- Capturas completas donde aparezcan fecha, hora y número.
- SMS con códigos no solicitados, ocultando el código en cualquier aviso público.
- Correos sobre cambios de seguridad o recuperación.
- Justificantes de pagos y datos del destinatario.
- Relación aproximada de contactos que recibieron mensajes.
Las pruebas deben guardarse antes de eliminar conversaciones o restablecer el dispositivo. No se recomienda distribuirlas indiscriminadamente porque pueden contener información privada de terceras personas.
Errores frecuentes al intentar ayudar
Negociar con quien controla la cuenta. Pagar no garantiza su devolución y puede generar nuevas exigencias.
Crear inmediatamente otra cuenta con datos parecidos. Puede aumentar la confusión entre contactos. Primero se comunica el incidente y se sigue el proceso oficial.
Publicar el código o el número completo para denunciarlo socialmente. Esa exposición puede facilitar otros abusos. Las pruebas se entregan a la plataforma y, si procede, a las autoridades.
Suponer que todo terminó al recuperar el acceso. Después deben revisarse sesiones, correo, datos de recuperación y mensajes enviados durante el compromiso.
Si este artículo te ha servido para prevenir una estafa, un engaño o un robo de cuenta, no lo dejes solo en lectura: compártelo con familiares, amigos o grupos donde pueda evitar un daño. La prevención funciona mejor cuando llega antes que el engaño; entre todos podemos construir una comunidad más atenta, más informada y más difícil de manipular.
Conclusión
La identidad visible del remitente no basta para validar una acción sensible. Cuando una cuenta real es comprometida, la confianza se convierte en la herramienta del atacante. La defensa consiste en verificar la petición fuera de la conversación, no compartir credenciales y avisar con rapidez para romper la cadena.
