«¿Podrías votar por Eliska?»: la estafa de WhatsApp que secuestra tu cuenta

Elena recibe un WhatsApp de una compañera del colegio de su hija. «Hola, ¿puedo pedirte un pequeño favor? ¿Podrías votar por Eliska? Es la hija de unos amigos míos. El primer premio es una clase de baile gratis, ¡y sería una oportunidad realmente preciosa para ella!». El mensaje está bien escrito, sin faltas, sin urgencias raras. Viene de alguien de confianza. Elena pincha, introduce su número, copia el código que le llega por SMS y vota. Dos días después, sus contactos reciben un mensaje suyo pidiendo dinero urgente.

Elena no existe —o sí, y no lo sabe—, pero la escena es real y se ha repetido decenas de miles de veces en España desde mediados de octubre. La Policía Nacional, la Guardia Civil y el INCIBE han alertado de la campaña, bautizada por el nombre de su protagonista ficticia: la estafa de Eliska. Y funciona precisamente por lo que parece descartarla: no huele a estafa.

Un mensaje perfecto que viene de alguien de confianza

El primer rasgo que desmonta los viejos esquemas del phishing es la calidad. Olvídate del nigeriano con faltas de ortografía: el texto de Eliska es educado, cálido y verosímil. Apela a tres resortes clásicos de la ingeniería social —la amistad, los niños y el favor pequeño— y llega desde un contacto real, alguien con quien hablas habitualmente.

Ahí está la trampa estructural: quien te lo envía ya ha caído. Su cuenta fue secuestrada antes y ahora reenvía la petición sin saberlo, convertida en altavoz involuntario de la campaña. El inspector Antonino Flores, de la Unidad Central de Ciberdelincuencia de la Policía Nacional, lo explicaba así en la Cadena SER: los ciberdelincuentes buscan que la campaña «llegue al máximo número posible de potenciales víctimas» con envíos masivos «en torno a decenas de miles».

«Hay alguien desde un ‘scan center’ muy lejos de aquí realizando ese tipo de comunicación, y ahí descubrimos que es fraudulento.» — Antonino Flores, inspector de la Unidad Central de Ciberdelincuencia

La votación falsa y el código verdadero

El enlace del mensaje abre una web cuidada que simula un concurso infantil de ballet. Se puede «votar» por dos niñas, Eliska y Sofie, supuestas finalistas cuyo premio es una clase gratuita en un centro de danza que, según comprobó El País, existe realmente en Praga. Los estafadores no se molestaron en inventarse ni el premio.

Para votar, la página pide dos cosas: tu número de teléfono y un código de verificación que recibirás por SMS. Y aquí es donde el truco de magia se convierte en robo:

1. 1Introduces tu número en la web falsa. WhatsApp envía automáticamente un código de registro por SMS, como en cualquier inicio de sesión legítimo.
2. 2Copias ese código en la página «para votar». En realidad estás autorizando que tu cuenta de WhatsApp se vincule a un dispositivo de los estafadores.
3. 3El delincuente obtiene una sesión activa: puede leer tus conversaciones y enviar mensajes haciéndose pasar por ti.
4. 4Tu cuenta se suma a la campaña: tus contactos reciben «tu» petición de voto por Eliska —y, después, «tus» peticiones de dinero— y el ciclo se reinicia.

Por qué caemos: la confianza como arma

La Guardia Civil lo resumió en su cuenta de Instagram con franqueza: «No, no hay concurso de baile y Eliska y Sofía no existen». Pero el problema no es la historia, es el mensajero. Los ciberdelincuentes han entendido algo que las campañas de concienciación llevan años sin conseguir neutralizar: no desconfiamos de los enlaces, desconfiamos de los desconocidos. Si el enlace llega de tu cuñada, el cerebro baja la guardia.

A eso se suma la economía del favor: votar cuesta diez segundos y el supuesto beneficio (una clase de baile para una niña) activa la reciprocidad. La Policía insiste en que el móvil «va asociado a nuestro patrimonio y a nuestras confidencias», y que jamás debería pedirse un número de teléfono para participar en una votación infantil.

Un molde, cien disfraces: las variantes que ya circulan

Eliska y Sofie no son más que el reparto de estreno. La estructura del engaño —petición de voto, enlace, número de teléfono y código— es un molde que las redes criminales rellenan con lo que toque en cada ola. En los últimos meses, la Policía y el INCIBE han documentado variantes idénticas con concursos de dibujo infantil, mascotas perdidas, rifas solidarias del club deportivo del barrio y hasta votaciones para elegir el mejor escaparate navideño.

Todas comparten tres invariantes que sirven de test rápido: llegan por WhatsApp de un contacto conocido —cuya cuenta ya está secuestrada—, piden un número de teléfono para «gestionar el voto» y exigen introducir un código recibido por SMS. Si se cumplen las tres, es estafa con una probabilidad cercana al cien por cien. Ningún concurso legítimo necesita tu número ni, muchísimo menos, un código de verificación de WhatsApp.

La elección de la plataforma tampoco es casual. WhatsApp es la aplicación de mensajería dominante en España, con una penetración que roza la totalidad de los móviles, y su función de «dispositivos vinculados» —pensada para usar la misma cuenta desde el ordenador— permite operar una cuenta ajena sin que el dueño original pierda el acceso inmediato. La víctima puede tardar horas, o días, en notar que alguien más habla en su nombre.

Qué hacer si ya has votado (y qué hacer para no votar nunca)

Si has introducido el código, la velocidad importa. El protocolo que recomiendan Policía Nacional e INCIBE:

• ✓Avisa ya a tus contactos por otra vía (llamada, otra app) para que no piquen con mensajes enviados «por ti».
• ✓En WhatsApp, entra en Ajustes → Dispositivos vinculados y cierra cualquier sesión que no reconozcas.
• ✓Reinstala la aplicación y cambia las contraseñas sensibles (correo, banca) si sospechas acceso a tus datos.
• ✓Si alguien llegó a enviar dinero haciéndose pasar por ti, llama de inmediato a tu banco para intentar detener el pago.
• ✓Denuncia aportando capturas, conversaciones y el enlace recibido.

Y para no llegar nunca a ese punto, el blindaje cabe en dos gestos. Primero: la regla de la doble vía. Cuando un contacto te pida dinero o un favor extraño por WhatsApp, contrasta por otro canal —una llamada basta— antes de actuar. Segundo: activa la verificación en dos pasos (Ajustes → Cuenta → Verificación en dos pasos), un PIN de seis dígitos que se exige además del código SMS. Con ella activada, el código que te robe Eliska no vale para nada: sin tu PIN, no hay vinculación posible.

La estafa de Eliska no será la última con cara amable. Detrás vendrán votaciones de otros concursos, mascotas perdidas, rifas del colegio y cadenas solidarias perfectamente redactadas, porque el mecanismo —secuestrar la confianza entre conocidos— es barato, escalable y, de momento, rentable. La pregunta útil no es si te llegará otro mensaje así, sino si tendrás activado el PIN de seis dígitos cuando llegue.