El fraude de WhatsApp aprovecha una vinculación autorizada mediante engaño. Conservar el acceso desde el móvil no demuestra que la cuenta esté protegida.
Un supuesto voto para un concurso de baile puede terminar dando acceso a tu cuenta de WhatsApp a otra persona. INCIBE publicó el 21 de octubre una alerta sobre mensajes que llegan desde contactos conocidos y conducen a una página fraudulenta. El engaño busca vincular un dispositivo externo para enviar mensajes sin permiso. La advertencia afecta especialmente a quienes siguieron las instrucciones, porque pueden continuar utilizando normalmente la aplicación mientras existe otra sesión activa.
El código del concurso puede autorizar una conexión ajena
Meta ya describió en marzo de 2026 este mecanismo: una web pide el teléfono y después un código para vincular dispositivos. También identificó variantes basadas en escanear un QR con una excusa falsa. La función utilizada es legítima; el engaño consiste en presentar la conexión como un paso necesario para participar. Esto diferencia el caso de otros fraudes iniciados por WhatsApp. Una petición aparentemente sencilla puede autorizar algo distinto de lo que anuncia el mensaje recibido.
El centro de ayuda de WhatsApp explica que cada dispositivo vinculado funciona de forma independiente. La aplicación permite utilizar una cuenta desde varios equipos, incluso cuando el teléfono principal está apagado. Por eso, apagarlo no constituye una solución suficiente frente a una conexión ajena. El cifrado de extremo a extremo sigue existiendo, pero no decide si la persona que maneja ese equipo tiene permiso real del titular. La comprobación útil consiste en identificar las conexiones y eliminar las que no se reconocen.
Cómo revisar las sesiones y reforzar la protección
En Android, el menú de los tres puntos permite acceder a Dispositivos vinculados. En iPhone, ese apartado aparece dentro de Configuración. Después hay que seleccionar el equipo desconocido y cerrar su sesión. Debe repetirse la operación si existen varias conexiones ajenas. INCIBE precisa que abrir el enlace o facilitar el teléfono, por sí solos, no equivale a autorizar la vinculación. Esa diferencia evita confundir la recepción de un mensaje con una cuenta ya comprometida y ayuda a elegir la respuesta adecuada.
La verificación en dos pasos añade otra protección y puede administrarse desde los ajustes de la cuenta. WhatsApp permite modificar sus credenciales y el correo asociado para recuperarlas. Su documentación recoge una transición del PIN a una contraseña, por lo que debe seguirse la opción disponible en cada aplicación. Activar esta función no sustituye el cierre de sesiones desconocidas. Tampoco debe entregarse una credencial porque alguien asegure necesitarla para ayudar. Las modificaciones deben hacerse dentro de WhatsApp, sin continuar las instrucciones de la supuesta votación.
Si alguien ha enviado dinero, debe avisar a su banco
Cuando el engaño desemboca en una petición económica, comprobar la identidad del interlocutor evita que el problema alcance a familiares o amigos. Una llamada por otro canal permite contrastar la solicitud antes de ordenar el pago. Si la transferencia ya se ha realizado, hay que comunicarlo cuanto antes a la entidad. La advertencia sobre suplantaciones de entidades bancarias también resulta pertinente. La gestión debe iniciarse desde los canales auténticos del banco, no desde teléfonos o enlaces enviados por el supuesto contacto.
El Banco de España explica que una transferencia ordenada por el cliente es un mandato de pago irrevocable. En sus orientaciones sobre pagos inducidos mediante engaño, señala que el banco debe realizar esfuerzos razonables para intentar recuperar el importe. Eso incluye contactar con la entidad receptora, pero no garantiza la devolución. El aviso rápido resulta útil, aunque no convierte automáticamente el pago en reversible. Esta explicación se refiere al dinero enviado por la víctima, sin equipararlo a operaciones que nunca haya autorizado.
Qué pruebas conservar y dónde comunicar el fraude
El servicio de reporte de INCIBE solicita una descripción lo más completa posible del incidente y datos que permitan analizarlo. Para preparar esa comunicación, puede ordenarse la información cronológicamente: llegada del mensaje, acceso a la web, vinculación y actividad posterior. Las capturas deben permitir entender qué ocurrió, sin volver a ejecutar los pasos del engaño. Si hubo una transferencia, el justificante añade información distinta a la conversación. La dirección de la página y los mensajes originales ayudan a documentar el origen del problema.
Comunicar el incidente a INCIBE y denunciar ante las fuerzas de seguridad son actuaciones diferentes. El organismo facilita orientación y un canal para reportar contenidos fraudulentos; su teléfono de ayuda es el 017. El aviso del 21 de octubre permite identificar esta campaña, mientras la ayuda oficial de WhatsApp explica las conexiones.
Para remitir información está disponible el servicio de reporte de fraude. Ninguno exige volver a abrir la votación para completar la comunicación.