El ataque tiene una particularidad que lo distingue de otros fraudes digitales: los usuarios no necesitan hacer nada. Se trata de lo que en la jerga técnica se conoce como zero-click, un método mediante el cual el atacante accede a la cuenta sin mediación de otra persona. El Instituto Nacional de Ciberseguridad (Incibe) de España confirmó un aumento inusual de casos de suplantación de cuentas, especialmente en versiones no actualizadas al aprovechar fallas técnicas.
El Instituto Nacional de Ciberseguridad (Incibe) de España confirmó un aumento inusual de casos de suplantación de cuentas de WhatsApp utilizadas para solicitar transferencias urgentes de dinero a familiares y amigos de las víctimas.
Aunque el organismo no dispone de cifras exactas sobre el alcance del fraude, su técnica en ciberseguridad, Raquel Loma, declaró que “este fraude tiene un impacto en la población más elevado de lo habitual”.
El ataque tiene una particularidad que lo distingue de otros fraudes digitales: la víctima no necesita pinchar ningún enlace, escanear un código QR ni descargar un archivo. Se trata de lo que en la jerga técnica se conoce como zero-click, un método mediante el cual el atacante accede a la cuenta sin que el usuario realice ninguna acción, lo que multiplica el efecto sorpresa.
A esto se suma que el pedido de dinero llega desde el perfil de una persona conocida, no de un desconocido, lo que reduce las sospechas de quien lo recibe.
Según explicó Loma al diario El País, los ciberdelincuentes explotan una falla de iOS en versiones anteriores a la 16.7.12. El único error de quienes sufren esta estafa es no tener actualizado el teléfono. Quienes mantienen al día tanto el sistema operativo como la aplicación de WhatsApp no corren riesgo, ya que ambas vulnerabilidades fueron resueltas por las compañías responsables.
El primer registro de este ciberataque se detectó en mayo en Italia, donde varias cuentas de WhatsApp vinculadas a iPhone con distintas versiones de iOS 16 fueron utilizadas sin autorización.
Investigación italiana
“Las víctimas descubrieron que, desde sus propias cuentas, se habían enviado mensajes a contactos, especialmente recientes, solicitando dinero”, detalló Loma. Lo llamativo de esos casos fue que no aparecía ningún dispositivo desconocido en el apartado de dispositivos vinculados de las cuentas afectadas.
La investigación italiana planteó como explicación una explotación en cadena de dos vulnerabilidades, una en iOS y otra en WhatsApp. A diferencia de fraudes anteriores, el delincuente no necesita engañar a la víctima para que entregue voluntariamente el código de verificación de la aplicación, sino que aprovecha directamente las fallas técnicas del sistema.
Pasos recomendados
Ante la sospecha de haber sido víctima de este fraude, Incibe recomienda avisar de inmediato a los contactos más cercanos —preferiblemente por llamada telefónica, mensaje de texto o correo electrónico— para advertir que los mensajes enviados desde WhatsApp podrían no ser legítimos. Si alguien ya realizó una transferencia, debe solicitar al banco la revisión o cancelación de la operación e indicar que se trata de un fraude.
El siguiente paso consiste en ingresar a la cuenta de WhatsApp, revisar el listado de dispositivos vinculados y cerrar cualquier sesión que no se reconozca. También se aconseja desinstalar y reinstalar la aplicación para reiniciar el proceso de registro con un único dispositivo, además de activar la verificación en dos pasos una vez recuperado el control.
Se recomienda conservar capturas de pantalla, mensajes y datos de las transferencias como respaldo, y presentar una denuncia policial si hubo perjuicio económico.
