Un mensaje de WhatsApp de un familiar, un amigo o una persona de confianza que solicita dinero para resolver una supuesta urgencia. La petición parece legítima, llega desde su número habitual y continúa una conversación que ya existía. Sin embargo, detrás de esa solicitud puede encontrarse un ciberdelincuente que ha conseguido tomar el control de su cuenta sin que el propietario haya tenido que pulsar ningún enlace ni descargar un archivo.
La Ertzaintza ha lanzado una alerta por una campaña de ciberestafas que aprovecha una vulnerabilidad de seguridad relacionada con iOS y WhatsApp. El fenómeno ha dejado 359 casos detectados en Euskadi entre junio y finales de octubre de 2026, según los datos difundidos por la Jefatura de Coordinación de Ciberseguridad de la policía vasca.
La dimensión del problema queda reflejada en el reparto territorial de las denuncias: 211 casos se han registrado en Bizkaia, 83 en Gipuzkoa y 65 en Álava. La advertencia, difundida este jueves, pone el foco en una modalidad de ataque especialmente peligrosa porque aprovecha la confianza que existe entre los usuarios de una misma agenda de contactos.
La Ertzaintza también ha explicado en la difusión de la alerta que los primeros casos relacionados con esta operativa se detectaron en Italia en mayo, pero, desde entonces, la campaña ha llegado a Euskadi y ha provocado un incremento de las denuncias durante los últimos meses.
Ya no necesitan clicks
La principal particularidad de esta modalidad es que no necesita la intervención de la víctima. A diferencia de las estafas tradicionales, en las que el usuario debe abrir un enlace sospechoso, descargar un documento o facilitar voluntariamente sus credenciales, los ataques denominados zero-click aprovechan vulnerabilidades técnicas para acceder a un dispositivo o comprometer una aplicación sin que sea necesario realizar ninguna de esas acciones.
En el caso detectado por la Ertzaintza, los investigadores han identificado una operativa que permite a los atacantes obtener material criptográfico del teléfono relacionado con el inicio de sesión de WhatsApp. Con esa información pueden crear una nueva instancia de la cuenta y duplicar las sesiones, sin que el dispositivo original reciba las habituales notificaciones de vinculación o inicio de sesión.
De esta manera, los delincuentes pueden utilizar la identidad digital de la víctima para ponerse en contacto con sus familiares, amigos y conocidos. El objetivo es conseguir transferencias bancarias aprovechando que los destinatarios creen estar hablando directamente con una persona de confianza.
Los mensajes suelen recurrir a situaciones de urgencia y solicitudes económicas inesperadas. Los estafadores facilitan una cuenta bancaria para realizar el ingreso y tratan de conseguir que el destinatario actúe rápidamente, sin comprobar previamente la autenticidad de la petición.
Una estafa de viejos conocidos
Uno de los elementos que hace especialmente peligrosa esta modalidad es que el mensaje no procede necesariamente de un teléfono desconocido. Puede aparecer en la conversación habitual que el usuario mantiene con un familiar o un amigo, lo que reduce las sospechas iniciales. Así, el delincuente no necesita crear un perfil falso ni convencer a la víctima de que agregue un nuevo contacto: Utiliza una cuenta legítima que ha conseguido comprometer para dar mayor credibilidad a sus peticiones.
Por eso, la recomendación de las autoridades es desconfiar de cualquier solicitud inesperada de dinero, incluso cuando aparentemente procede de alguien cercano. Antes de realizar una transferencia o un Bizum, conviene llamar directamente a esa persona y comprobar que realmente ha enviado el mensaje.
Las claves para evitar el ataque
La buena noticia es que la vulnerabilidad identificada ya dispone de soluciones técnicas mediante actualizaciones de seguridad. La Ertzaintza recomienda a los usuarios de dispositivos Apple actualizar primero el sistema operativo iOS y, una vez completado ese proceso, instalar la actualización correspondiente de WhatsApp.
En su comunicado, la policía vasca identifica las versiones iOS 16.7.12 y WhatsApp 2.25.21.78 como las actualizaciones que corrigen esta vulnerabilidad. No obstante, lo recomendable es instalar siempre la versión más reciente compatible que ofrezca el dispositivo y mantener actualizadas las aplicaciones.
Además, existen otras medidas que pueden ayudar a proteger la cuenta. Entre ellas, activar la verificación en dos pasos desde los ajustes de WhatsApp, en el apartado Cuenta, y revisar periódicamente los dispositivos vinculados para cerrar cualquier sesión que no se reconozca. También es fundamental no compartir con nadie los códigos de registro recibidos por SMS ni las claves de verificación, desconfiar de las peticiones de dinero inesperadas, aunque aparentemente procedan de números conocidos, y confirmar cualquier transferencia mediante una llamada telefónica o un canal alternativo antes de realizar el pago.
Qué hacer si han hackeado la cuenta
Si un usuario sospecha que alguien está utilizando su cuenta para enviar mensajes en su nombre, debe actuar cuanto antes. La primera medida es avisar a sus contactos por otro canal para impedir que realicen transferencias a los delincuentes. También es importante conservar las pruebas disponibles, incluidas las conversaciones, capturas de pantalla, números de teléfono y posibles justificantes de pagos. Posteriormente, debe denunciar los hechos ante las autoridades.
Desde la Ertzaintza recomiendan, en los casos afectados por esta vulnerabilidad, actualizar primero iOS y después eliminar y volver a instalar WhatsApp para recuperar el control de la cuenta. También aconseja revisar los dispositivos vinculados y activar la verificación en dos pasos. En el caso que ya haya realizado un pago, las autoridades policiales recomiendan contactar inmediatamente con la entidad bancaria para comunicar el fraude e intentar detener o recuperar la transferencia. La devolución no está garantizada, por lo que es importante actuar con rapidez y presentar la correspondiente denuncia.
De todas formas, desde Diario Sabemos recomendamos a todos los usuarios, que necesiten orientación sobre cómo actuar ante un incidente de ciberseguridad, contactar al Instituto Nacional de Ciberseguridad (INCIBE), que dispone del teléfono gratuito y confidencial 017, operativo todos los días de 8:00 a 23:00 horas.
La alerta de la Ertzaintza vuelve a poner de manifiesto que las estafas digitales evolucionan y aprovechan cada vez más las vulnerabilidades tecnológicas. En este caso, el peligro no está únicamente en los mensajes que llegan de desconocidos, sino también en aquellos que aparentemente envían las personas en las que más confiamos.
Añadir DiarioSabemos como fuente preferida de Google de forma gratuita
Mantente informado con las últimas noticias de actualidad.