¿Cómo pide dinero la nueva estafa de WhatsApp desde tu propia cuenta?

La nueva estafa que circula por WhatsApp tiene una diferencia inquietante respecto al conocido fraude del hijo en apuros: el mensaje puede llegar a familiares y amigos desde la propia cuenta de la víctima, dentro de conversaciones que ya existían. Para quien lo recibe, todo parece normal. El nombre es el correcto, la foto también y el chat tiene detrás meses o años de mensajes auténticos. Esa familiaridad es precisamente el anzuelo.

El objetivo vuelve a ser el de siempre: conseguir dinero rápido aprovechando la confianza entre personas cercanas. Lo que cambia es el disfraz. Los delincuentes intentan obtener acceso suficiente al teléfono, a la sesión de WhatsApp o a un dispositivo vinculado para escribir haciéndose pasar por el propietario de la cuenta. Después plantean una necesidad creíble, normalmente urgente y por una cantidad que no resulte tan grande como para activar inmediatamente todas las alarmas.

La estafa de WhatsApp que ya no necesita un número desconocido

Durante años, uno de los timos más repetidos comenzaba con un mensaje llegado desde un teléfono nuevo. Un supuesto hijo explicaba que había perdido o roto el móvil, que utilizaba temporalmente otro número y que necesitaba una transferencia. La historia tenía agujeros, pero la mezcla de urgencia, parentesco y dinero funcionaba con demasiada frecuencia.

El nuevo escenario elimina precisamente uno de esos agujeros. La petición puede aparecer en el chat habitual de la persona conocida. El fraude gana así algo mucho más valioso que una buena excusa: contexto.

Una de las vías que puede favorecer este tipo de ataques son las aplicaciones maliciosas o programas que consiguen privilegios excesivos en el teléfono. El usuario descarga una aplicación aparentemente inocente, acepta permisos casi por reflejo —ese velocísimo ritual moderno de pulsar «Aceptar» sin mirar demasiado— y puede terminar concediendo capacidades que no guardan una relación razonable con la función de esa aplicación.

Conviene introducir aquí un matiz técnico importante. En Android no existe, entre los permisos ordinarios del sistema, una autorización genérica denominada literalmente «enviar mensajes de WhatsApp en tu nombre». El peligro está en conceder permisos excesivos, instalar software malicioso o permitir accesos que posteriormente puedan utilizarse para controlar parte del dispositivo o de nuestras cuentas.

Ahí está el salto cualitativo. Si un amigo recibe un mensaje procedente de un número desconocido, todavía tiene una barrera mental: algo no cuadra. Cuando la petición aparece dentro del chat donde el sábado anterior se habló de una cena o donde esa mañana se compartió una foto, la sospecha baja varios peldaños.

El delincuente no necesita escribir una novela. Puede bastar con algo cotidiano: un pago que no funciona, una transferencia pendiente, una compra que supuestamente debe hacerse en ese momento. Cantidades moderadas y explicaciones sencillas pueden resultar más eficaces que una emergencia grandilocuente. Cuanto más corriente parece la escena, menos ruido produce.

Ese es precisamente uno de los elementos más delicados del fraude: los atacantes pueden aprovechar una identidad digital reconocible para solicitar favores económicos a los contactos de la víctima. Fijarse únicamente en el número o en la foto de perfil deja, por tanto, de ser una comprobación suficiente.

Cómo pueden entrar los delincuentes en un WhatsApp

No existe un único camino. Una aplicación maliciosa es una posibilidad, pero no la única. También conviene vigilar los dispositivos vinculados a la cuenta. WhatsApp permite utilizar una misma cuenta en otros equipos, de modo que una sesión desconocida o abierta donde no corresponde merece atención inmediata.

Ese detalle explica por qué una estafa puede resultar tan desconcertante. Un tercero que obtiene acceso válido a una sesión no necesita crear una imitación del perfil: puede operar dentro del entorno real de la cuenta. Y el cifrado de extremo a extremo, fundamental para proteger las comunicaciones durante su transmisión, no convierte en inexpugnable un dispositivo que ya ha quedado comprometido. La puerta puede ser magnífica; si alguien consigue la llave, el problema está dentro de casa.

Otro frente especialmente sensible son los códigos de registro y verificación. Nunca deberían compartirse con terceros. La autenticación en dos pasos añade una barrera adicional frente al acceso no autorizado, mientras que WhatsApp ha ido incorporando mecanismos de protección ligados al propio dispositivo y a las credenciales configuradas por el usuario.

Los permisos que no encajan son una señal de alarma

Una aplicación de linterna no necesita conocer media vida digital del propietario. Un editor sencillo de fotografías tampoco debería reclamar poderes que nada tienen que ver con editar fotografías. Parece evidente cuando se escribe así; delante de la pantalla, entre ventanas emergentes, avisos y condiciones interminables, lo evidente se vuelve sorprendentemente negociable. La pista está en los permisos que no tienen sentido.

Por eso merece más atención la coherencia del permiso que la longitud de las condiciones de uso. Android permite consultar posteriormente qué autorizaciones tiene concedidas cada aplicación y retirarlas desde los ajustes. También se pueden comprobar los permisos agrupados por categorías para localizar accesos innecesarios o sospechosos.

Un móvil que comienza a comportarse de manera anómala también merece atención. Lentitud repentina, anuncios que aparecen sin explicación, aplicaciones desconocidas o que los contactos reciban mensajes que el propietario no ha enviado son señales que conviene investigar. Una anomalía aislada no demuestra que exista malware; varias juntas dibujan una escena bastante menos inocente.

También interesa recordar qué se instaló recientemente. Juegos aparentemente gratuitos, aplicaciones descargadas fuera de las tiendas habituales, versiones modificadas de servicios conocidos o programas que prometen funciones demasiado generosas pueden convertirse en un caballo de Troya digital. A veces no hace falta una sofisticada película de hackers: basta una descarga, varios permisos concedidos deprisa y una puerta que quedó entreabierta.

Cómo detectar el fraude cuando escribe alguien conocido

El nuevo timo obliga a cambiar una costumbre. Reconocer al remitente ya no basta para autenticar un mensaje. Si una persona cercana solicita dinero de forma inesperada, especialmente con prisas, lo más fiable sigue siendo verificarlo mediante otro canal.

Una llamada telefónica tiene aquí un valor casi anticuado y precisamente por eso resulta eficaz. Si un hermano escribe pidiendo 250 euros porque no puede pagar algo, llamar antes de transferir rompe buena parte del mecanismo psicológico del fraude. El estafador necesita que la víctima actúe dentro del pequeño túnel que ha construido: mensaje, urgencia, pago. Sacar la conversación de WhatsApp puede derrumbar el decorado.

También importa el lenguaje. Cambios repentinos de tono, formas de dirigirse a nosotros que la persona nunca utiliza, respuestas evasivas cuando se pregunta algo personal o una insistencia extraña por pagar cuanto antes son señales de contexto. No demuestran por sí mismas una estafa, pero justifican detener la operación.

El dinero no debería enviarse únicamente porque el mensaje aparece debajo de una foto familiar. La identidad digital cada vez se parece más a una llave que puede copiarse, prestarse o robarse.

Qué hacer si están enviando mensajes desde tu cuenta

Cuando aparecen indicios de acceso ajeno, una de las primeras comprobaciones está dentro del propio WhatsApp: revisar Dispositivos vinculados y cerrar cualquier sesión que no se reconozca. Desde el teléfono pueden controlarse las conexiones asociadas a la cuenta y expulsar aquellos equipos que resulten sospechosos.

También conviene revisar las aplicaciones instaladas recientemente y sus permisos, eliminar software sospechoso, mantener actualizado el sistema operativo y WhatsApp y comprobar que nadie dispone de códigos de registro o credenciales de seguridad. La verificación en dos pasos añade otra barrera frente al acceso no autorizado.

Si ya se ha enviado dinero, el problema deja de ser únicamente informático. La persona que realizó la transferencia debe contactar cuanto antes con su entidad financiera para comunicar el fraude y conservar mensajes, capturas y justificantes que puedan resultar útiles en una denuncia. Borrar precipitadamente la conversación puede significar tirar a la papelera parte de las pruebas.

En España, el 017 de INCIBE ofrece asistencia gratuita y confidencial sobre problemas de ciberseguridad para ciudadanos, empresas y menores. Es uno de los recursos públicos disponibles cuando existen dudas sobre un posible fraude, una cuenta comprometida o un incidente relacionado con aplicaciones y servicios digitales.

Cuando confiar en el chat deja de ser suficiente

La parte más peligrosa de esta estafa no es una tecnología revolucionaria. Es algo mucho más mundano: utiliza nuestra confianza contra nosotros. El mensaje puede aparecer donde debería aparecer, con el nombre correcto y en mitad de una conversación auténtica. El envoltorio pasa el examen visual.

De ahí que la vieja comprobación de «conozco este número» empiece a quedarse corta. Lo realmente útil es valorar si esa petición tiene sentido para esa persona, en ese momento y de esa manera. Ante una solicitud inesperada de dinero, una llamada de treinta segundos puede valer bastante más que diez minutos mirando la foto de perfil.

WhatsApp puede reforzar sus controles, Android puede limitar permisos y los teléfonos pueden incorporar más capas de seguridad. Ninguna de ellas elimina del todo el último eslabón, el humano. Y ahí los estafadores siguen trabajando con una materia prima abundante: prisa, confianza y costumbre. El fraude cambia de traje; el mecanismo, en el fondo, continúa siendo extraordinariamente viejo.