Alertan sobre nueva modalidad de fraude que roba cuentas de WhatsApp a través del buzón de voz

En los últimos meses, se ha detectado un incremento de una modalidad de fraude que permite a los ciberdelincuentes apropiarse de cuentas de WhatsApp sin que la víctima tenga que hacer clic en enlaces ni descargar archivos. La vía de entrada: el buzón de voz.

El Instituto Nacional de Ciberseguridad (INCIBE) ha advertido sobre esta técnica basada en la ingeniería social, que aprovecha una vulnerabilidad común para tomar el control total de una cuenta y suplantar la identidad de la víctima frente a sus contactos.

Un ataque sin clic: así funciona el fraude del buzón de voz

De acuerdo con lo explicado, el proceso comienza cuando los atacantes intentan registrar el número de teléfono de la víctima en un dispositivo distinto. WhatsApp, como parte de su procedimiento habitual, envía un código de verificación mediante SMS o llamada.

Si el mensaje no se recibe —por ejemplo, si no se atiende la llamada—, la aplicación puede optar por enviar el código a través de una llamada de voz. En estos casos, si el buzón de voz está activado, el código queda grabado automáticamente.

Muchos usuarios no cuentan con un PIN seguro en su buzón de voz, lo que permite a los delincuentes acceder al mismo llamando desde otro dispositivo. Si logran ingresar, recuperan el código de verificación y consiguen tomar el control de la cuenta sin necesidad de interacción por parte del usuario.

Una vez que se ha tomado el control de la cuenta, los estafadores pueden hacerse pasar por la víctima en sus conversaciones individuales y grupales. Su objetivo suele ser económico: solicitan transferencias de dinero o distribuyen enlaces maliciosos, aprovechando la confianza que inspira una cuenta conocida.

Desde WhatsApp se recuerda que, cuando una cuenta es registrada en un nuevo dispositivo, la sesión anterior se cierra de forma automática. Por ello, es crucial actuar con rapidez al detectar un acceso no autorizado.

Otros peligrosos métodos de engaño

Además del ataque mediante buzón de voz, continúa vigente la modalidad tradicional en la que los delincuentes intentan engañar directamente a la víctima para obtener el código de verificación de seis dígitos enviado por SMS.

Un ejemplo habitual de mensaje fraudulento es: “Hola, lo siento. Te envié por error un código de 6 dígitos por SMS. ¿Me lo puedes pasar? Es urgente.”

Compartir ese código supone la pérdida inmediata del control de la cuenta. Por este motivo, INCIBE insiste en que nunca debe compartirse este código, ni siquiera con personas conocidas.

¿Qué hacer si la cuenta ya ha sido robada?

En caso de que los delincuentes se hayan apropiado de la cuenta, WhatsApp recomienda registrarla nuevamente lo antes posible con el mismo número de celular. Esto genera un nuevo código de verificación, y la sesión activa en otro dispositivo se cerrará automáticamente.

Sin embargo, si el intruso ha activado la verificación en dos pasos, será necesario esperar hasta siete días para recuperar el acceso sin el PIN. Durante este periodo, la cuenta no podrá ser recuperada.

Asimismo, se aconseja contactar con la operadora móvil para bloquear la tarjeta SIM en caso de pérdida del dispositivo, y revisar las sesiones abiertas en WhatsApp Web o Escritorio para cerrar accesos sospechosos.

Desde INCIBE y otros organismos oficiales se recomienda seguir estos pasos para intentar recuperar la cuenta y mitigar daños:

• Informar cuanto antes a los contactos, para evitar que sean víctimas de nuevas estafas.
• Enviar un correo a support@whatsapp.com explicando lo ocurrido y solicitando asistencia.
• Si no se obtiene respuesta, contactar con el delegado de protección de datos de WhatsApp.
• Reunir todas las pruebas posibles del fraude: capturas de pantalla, conversaciones, correos, etc.
• Cambiar de inmediato el PIN del buzón de voz o desactivarlo si no se utiliza.
• No responder a chantajes ni transferir dinero si el atacante se pone en contacto. Cortar la comunicación y reportar el caso.

Cómo prevenir el robo de cuentas de WhatsApp

Para proteger la cuenta, INCIBE recomienda adoptar las siguientes medidas:

• Activar la verificación en dos pasos desde Ajustes > Cuenta > Verificación en dos pasos, y crear un PIN seguro.
• Configurar un PIN robusto en el buzón de voz. Muchos servicios utilizan combinaciones por defecto como 0000 o 1234, fácilmente deducibles por los atacantes.
• No compartir nunca el código de verificación de seis dígitos con terceros.
• Restringir la visibilidad de la foto de perfil a “Mis contactos”, desde Ajustes > Privacidad.
• Desconfiar de mensajes que solicitan dinero o datos con urgencia. En caso de duda, contactar por llamada antes de realizar cualquier transferencia.

*Con información de Europa Press