La Policía Nacional ha alertado de un patrón de uso fraudulento de cuentas de WhatsApp detectado durante las últimas semanas que presenta una particularidad que dificulta especialmente descubrir el ataque: la víctima mantiene el acceso a su cuenta y puede seguir utilizando la aplicación con total normalidad mientras los delincuentes envían mensajes en su nombre.
Los investigadores han identificado un conjunto de denuncias con características similares. Los ciberdelincuentes consiguen hacerse pasar por el propietario de la cuenta para contactar con familiares, amigos o conocidos y solicitarles cantidades de dinero que habitualmente oscilan entre los 950 y los 1.000 euros.
La víctima, mientras tanto, no recibe ningún aviso evidente de que su cuenta pueda estar comprometida. De hecho, los mensajes enviados por los atacantes no aparecen en su teléfono, aunque sí figuran dentro de las conversaciones reales que reciben sus contactos.
En muchos casos, los afectados descubren lo ocurrido únicamente cuando algún familiar o amigo les llama o contacta por otra vía para comprobar si realmente han pedido dinero.
Un fraude difícil de detectar
Otra de las particularidades observadas por la Policía Nacional es que, al comprobar el apartado de «Dispositivos vinculados» de WhatsApp, no siempre aparece un dispositivo desconocido. Por tanto, esta comprobación por sí sola no permite descartar que la cuenta o el terminal hayan sido comprometidos.
Además, entre los casos analizados se ha detectado una concentración significativa de teléfonos que no estaban actualizados, una circunstancia que podría facilitar determinados vectores de ataque.
Una vez conseguida la suplantación de la identidad, los delincuentes ponen en marcha una estrategia de ingeniería social dirigida específicamente a personas con las que la víctima mantiene una relación previa. De esta manera, aprovechan la confianza existente para aumentar las posibilidades de que el engaño tenga éxito.
«Necesito tu ayuda» o «se me ha roto el móvil»
Los mensajes utilizados siguen patrones muy similares. El supuesto amigo o familiar asegura que necesita ayuda urgentemente, que se le ha roto el teléfono, que ha superado algún límite bancario o que en ese momento no puede realizar personalmente una transferencia.
A continuación solicita a su contacto que adelante el dinero y promete devolverlo al día siguiente. Entre los mensajes detectados aparecen peticiones para realizar transferencias inmediatas de alrededor de 980 o 995 euros, pagar determinadas facturas o incluso comprar supuestamente un nuevo teléfono móvil.
Los delincuentes evitan generalmente solicitar que el ingreso se realice directamente a nombre de la persona cuya identidad están utilizando. En su lugar, proporcionan el IBAN de un supuesto comerciante o de un tercero, una fórmula con la que pretenden dotar de mayor credibilidad a la operación.
Cómo protegerse
Ante este tipo de ataques, la Policía Nacional recomienda avisar inmediatamente por otra vía a familiares, amigos y contactos para que ignoren cualquier petición económica sospechosa recibida desde la cuenta de WhatsApp.
También insiste en que nunca deben facilitarse códigos recibidos por SMS, códigos de WhatsApp, el PIN de la verificación en dos pasos ni códigos QR, independientemente de quién los solicite.
Otra de las principales recomendaciones es mantener tanto el sistema operativo del teléfono como WhatsApp actualizados a sus últimas versiones compatibles, además de activar la verificación en dos pasos de la aplicación.
La Policía aconseja igualmente revisar periódicamente los dispositivos vinculados a la cuenta, aunque advierte de que no encontrar ningún dispositivo desconocido no garantiza por sí solo que no se haya producido una intrusión.
En caso de detectar una suplantación, intento de estafa o transferencia fraudulenta, los afectados deben reportar el incidente a través de los mecanismos oficiales de soporte de WhatsApp y acudir a dependencias policiales para presentar una denuncia.
