Suplantación en WhatsApp: Policía e INCIBE advierten de fraudes que usan conversaciones reales para pedir dinero
Un trabajo de verificación publicado por RTVE este miércoles, con referencias a la Policía Nacional y al Instituto Nacional de Ciberseguridad (INCIBE), confirma la existencia de fraudes en los que delincuentes suplantan cuentas de WhatsApp para pedir dinero a contactos de confianza. Que un mensaje aparezca en una conversación conocida no garantiza que lo haya enviado quien figura como remitente.
Lo que se ha verificado
Los avisos de cuerpos policiales y organismos de ciberseguridad documentan situaciones en las que terceros consiguen utilizar cuentas comprometidas para dirigirse a familiares y conocidos. RTVE contrastó el fenómeno con los canales oficiales y diferenció este fraude de afirmaciones no verificadas que circulaban en redes sociales.
La confianza como vía de engaño
La eficacia de estas estafas depende del contexto social: el destinatario cree reconocer a una persona cercana y baja la guardia ante solicitudes urgentes. Las circunstancias técnicas concretas varían y no se puede atribuir automáticamente cada caso a una única vulnerabilidad de WhatsApp o a un único sistema operativo.
Recomendaciones públicas de protección
INCIBE aconseja mantener dispositivos y aplicaciones actualizados y acudir a su línea 017 ante incidentes. Si alguien recibe una petición inesperada de dinero, conviene verificarla mediante una llamada por otro canal. Si ya realizó un pago, debe contactar de inmediato con su entidad financiera y conservar las evidencias para la denuncia.
Qué no demuestra esta alerta
El material consultado no acredita una intrusión masiva que afecte a todos los usuarios ni permite concluir que una actualización concreta resuelva todos los intentos de fraude. La pieza se centra en la amenaza de suplantación y en sus efectos sobre las víctimas.
Una estafa que aprovecha la confianza en el interlocutor
VerificaRTVE publicó el 11 de noviembre una investigación sobre mensajes enviados desde cuentas de WhatsApp que parecían pertenecer a personas de confianza, en ocasiones dentro de conversaciones ya existentes. La consulta periodística a Policía Nacional e INCIBE confirmó que se trata de un fraude real. La señal más importante para las posibles víctimas es que reconocer un número de teléfono, una foto de perfil o un hilo de conversación previo no garantiza que el mensaje de solicitud económica proceda de su titular.
El artículo no presenta todos los incidentes como resultado de una sola técnica ni atribuye cada caso a un grupo de ciberdelincuencia organizado. Las autoridades han documentado diferentes situaciones de acceso abusivo o suplantación y recomiendan medidas generales de protección. Confundir los mecanismos técnicos con la conducta fraudulenta puede llevar a un diagnóstico incorrecto.
Qué originó la verificación pública
La información de RTVE surgió tras la difusión de un vídeo en redes sociales en el que una usuaria relataba que, mientras hablaba con una amiga, otra persona habría enviado una petición de dinero haciéndose pasar por ella. El contenido acumulaba una audiencia considerable y generó dudas sobre su autenticidad. Los verificadores cotejaron el relato con advertencias de organismos públicos y concluyeron que el tipo de fraude descrito existía, aunque el vídeo no constituye por sí mismo un análisis forense de una cuenta específica.
Una parte de los mensajes virales atribuye el problema a «hackeos de iPhone» de forma genérica. Esa expresión simplifica la realidad y puede hacer que usuarios con otros dispositivos ignoren señales de fraude. La identificación de un riesgo concreto depende de las versiones, configuraciones y circunstancias de cada caso.
Qué han explicado la Policía y los servicios de ciberseguridad
La Policía Nacional ha advertido de situaciones en las que un estafador envía mensajes desde la cuenta de una persona conocida para solicitar transferencias o pagos inmediatos. A veces el titular legítimo continúa usando la aplicación y no ve en su dispositivo ciertos mensajes enviados en su nombre. Es una descripción basada en alertas públicas que orienta sobre el tipo de engaño observado.
INCIBE ha relacionado algunas denuncias con equipos iPhone que utilizaban versiones antiguas de iOS 16, sin que ello implique que todos los usuarios de ese sistema hayan sido comprometidos o que exista una única vulnerabilidad confirmada para todas las víctimas. Las recomendaciones oficiales incluyen mantener los programas actualizados y revisar la seguridad de las cuentas.
El papel de la ingeniería social
La petición de dinero suele incluir una excusa urgente, como una limitación temporal de la tarjeta bancaria o la necesidad de realizar un pago inmediato. Esos relatos tratan de aprovechar la relación previa entre las personas. El problema central para el destinatario no es una terminología técnica complicada, sino la dificultad para comprobar si el remitente real es quien figura en la aplicación.
Desde la perspectiva de prevención, una solicitud económica inesperada siempre debe verificarse por una vía distinta de la conversación donde se recibe. La llamada telefónica realizada a un número conocido o una comprobación presencial son ejemplos de medidas sencillas que pueden interrumpir el engaño. No se trata de desconfiar de todas las relaciones personales, sino de separar identidad aparente e identidad confirmada cuando interviene dinero.
Diferenciar acceso a una cuenta y suplantación visual
Una cuenta puede mostrar mensajes aparentemente auténticos por razones técnicas diferentes, y el lector no tiene por qué determinar por sí solo el origen del incidente. Una captura de pantalla tampoco permite afirmar que alguien haya vulnerado el cifrado de extremo a extremo de toda la plataforma. La existencia de fraude no prueba una ruptura generalizada de la confidencialidad de todos los chats.
Los técnicos deberán examinar cada caso para identificar si hubo sesiones no autorizadas, problemas de seguridad de un dispositivo o utilización de credenciales ajenas. EL ESTÁNDAR evita difundir procedimientos específicos de intrusión y centra la explicación en hechos comprobados y medidas de autoprotección.
Qué hacer ante una petición sospechosa
La primera reacción prudente es no transferir dinero mientras no se haya confirmado la identidad de quien lo solicita por un canal alternativo. La Policía recomienda activar protecciones adicionales de la cuenta, mantener actualizados el sistema operativo y las aplicaciones y comprobar los dispositivos asociados al servicio. Son medidas preventivas que reducen riesgos, pero no prometen protección absoluta frente a cualquier intento de engaño.
La urgencia emocional es un factor frecuente en las estafas. Una persona puede recibir un mensaje en el que supuestamente un familiar necesita dinero en minutos. Confirmar la situación antes de pagar puede resultar más útil que intentar descubrir de inmediato qué fallo técnico se produjo. Los procesos de recuperación oficiales también deben utilizarse cuando la cuenta esté comprometida.
Qué hacer si la cuenta está siendo utilizada por terceros
Los organismos de seguridad aconsejan avisar a los contactos mediante otro canal, conservar pruebas del incidente y revisar las sesiones activas de la cuenta. En determinados casos puede ser necesario recuperar el acceso siguiendo los procedimientos oficiales de WhatsApp. No conviene borrar inmediatamente las comunicaciones si después pueden ser necesarias para una denuncia o una reclamación bancaria.
INCIBE presta orientación a través del teléfono 017. Una persona que haya perdido el control de su cuenta puede acudir a esa vía para entender las opciones disponibles. Los pasos concretos deben adaptarse al dispositivo y al incidente, evitando instalar programas desconocidos que se ofrezcan como supuestas reparaciones urgentes.
Qué hacer si ya se ha enviado dinero
La prioridad es contactar con la entidad bancaria cuanto antes, explicar que puede haberse producido un fraude y conservar los justificantes de pago. También es recomendable presentar una denuncia ante las autoridades competentes y aportar las comunicaciones relevantes, sin difundir públicamente información privada de posibles víctimas o de terceros. La posibilidad de recuperar fondos depende de circunstancias financieras y procesales que no pueden garantizarse.
Los bancos y cuerpos policiales necesitan información exacta de la transacción y de los hechos relatados. Atribuir el fraude a una persona concreta basándose únicamente en un número de teléfono aparente podría provocar errores, porque ese número puede pertenecer precisamente a una víctima de suplantación.
El dato clave para empresas y profesionales
Las pequeñas empresas, trabajadores autónomos y equipos que usan WhatsApp para coordinar pagos también pueden estar expuestos. Un mensaje que aparenta proceder de un proveedor o colaborador puede inducir cambios no autorizados de cuentas de cobro. La protección práctica consiste en verificar modificaciones financieras mediante canales establecidos y mantener un registro documental de autorizaciones.
Estas precauciones son especialmente pertinentes cuando el contacto cotidiano se desarrolla exclusivamente en una aplicación de mensajería. La confianza comercial no debe depender de la sola apariencia de un mensaje recibido en un chat conocido.
Una amenaza documentada, sin alarmismo técnico
El caso merece cobertura de ciberseguridad por la combinación de suplantación, confianza interpersonal y transferencias económicas, no porque demuestre que WhatsApp haya dejado de ser seguro para todos sus usuarios. Las autoridades recomiendan actualizaciones y verificación de identidad; el material consultado no acredita una vulneración universal del servicio.
Fuente principal: VerificaRTVE, 11 de noviembre, con información de Policía Nacional e INCIBE. Las recomendaciones son preventivas; cualquier denuncia individual requiere comprobación y la protección de los datos de las personas afectadas.
