La Policía Nacional de Burgos detecta un fraude en WhatsApp que suplanta al usuario sin cerrar su sesión

Los delincuentes contactan con familiares y amigos desde la cuenta comprometida y solicitan entre 950 y 1.000 euros con la excusa de comprar un nuevo teléfono móvil

La Policía Nacional ha detectado en las últimas semanas un nuevo patrón de uso fraudulento de cuentas de WhatsApp en el que los delincuentes consiguen enviar mensajes en nombre de las víctimas sin que estas pierdan el acceso a su cuenta.

El modus operandi presenta una particularidad que dificulta su detección: mientras el usuario legítimo continúa utilizando WhatsApp con normalidad, algunos de sus contactos reciben mensajes aparentemente enviados por él en los que se solicita dinero con carácter urgente.

Las víctimas suelen descubrir el fraude cuando un familiar, amigo o conocido se pone en contacto con ellas por otra vía para confirmar si realmente han pedido dinero. Los mensajes fraudulentos no aparecen en el teléfono de la persona afectada, aunque sí quedan registrados en las conversaciones de los destinatarios.

Además, la revisión de la función de «Dispositivos vinculados» no siempre permite identificar un dispositivo desconocido, por lo que la Policía advierte de que la ausencia de conexiones sospechosas no garantiza que la cuenta no haya sido comprometida.

Peticiones de hasta 1.000 euros

Una vez que los atacantes consiguen utilizar la identidad de la víctima, despliegan una campaña de ingeniería social dirigida principalmente a contactos con los que esta mantiene una relación previa.

El mensaje sigue habitualmente un guion similar: el supuesto propietario de la cuenta asegura que se le ha roto el teléfono móvil, que necesita comprar uno nuevo por unos 980 o 1.000 euros y que no puede realizar una transferencia en ese momento. A continuación, solicita al contacto que adelante el dinero y le facilita el IBAN de un supuesto vendedor.

Las cantidades reclamadas suelen situarse entre los 950 y los 1.000 euros y, en lugar de pedir que el ingreso se realice directamente a nombre de la víctima, los delincuentes utilizan la cuenta bancaria de un supuesto comerciante o de un tercero. Según la Policía, esta circunstancia puede contribuir a reforzar la credibilidad del engaño.

El fraude combina así dos posibles conductas delictivas: por un lado, el acceso o uso fraudulento de la cuenta o del terminal de la víctima y, posteriormente, una estafa mediante ingeniería social dirigida a sus contactos.

El engaño puede comenzar con un código

La Policía Nacional mantiene abiertas varias posibilidades sobre la vía utilizada por los atacantes para comprometer las cuentas. Entre ellas se encuentran la obtención mediante engaño del código de registro de WhatsApp, campañas de phishing, técnicas de ingeniería social para hacerse con credenciales o códigos, la vinculación fraudulenta de un dispositivo o un compromiso previo del terminal o de la propia cuenta.

Los agentes han observado, además, una presencia significativa de terminales sin actualizar entre los casos analizados, una circunstancia que podría facilitar determinados vectores de ataque.

Qué recomienda hacer la Policía

Ante este tipo de fraude, la Policía Nacional recomienda avisar por una vía alternativa —como una llamada telefónica, SMS o correo electrónico— a familiares, amigos y otros contactos para que ignoren cualquier petición de dinero recibida a través de WhatsApp.

También recuerda que no se deben facilitar bajo ningún concepto códigos de WhatsApp, códigos recibidos por SMS, el PIN de la verificación en dos pasos ni códigos QR.

Entre las medidas preventivas se encuentra igualmente mantener actualizado tanto el sistema de seguridad del teléfono como WhatsApp a su última versión disponible, revisar periódicamente la sección de «Dispositivos vinculados» y activar la verificación en dos pasos.

Por último, ante una posible suplantación, la Policía aconseja utilizar los mecanismos oficiales de soporte de WhatsApp para comunicar el incidente.