Una campaña de fraude está recorriendo WhatsApp con un objetivo claro: apoderarse de cuentas enteras. Para lograrlo, los atacantes no necesitan conocer tu contraseña. Solo necesitan que tú hagas clic en un enlace de votación y autorices, sin saberlo, un nuevo dispositivo vinculado.

El anzuelo: ‘vota por mi amigo’

El engaño llega como un mensaje de un contacto cuya cuenta ya ha sido comprometida. Ese contacto pide apoyo para un amigo o familiar en un concurso online. Las temáticas cambian: puede ser un certamen de ballet, un concurso de perros o un evento escolar. El mensaje suena cercano y en ocasiones transmite urgencia, todo pensado para provocar un clic casi automático.

Malwarebytes ha detectado la campaña mediante los envíos anonimizados de su servicio Scam Guard. Según la firma, WhatsApp es el tercer canal más habitual en el que aparecen estafas, por detrás de los sitios web y del correo electrónico.

El clic que lo cambia todo

El enlace del supuesto voto no conduce a una web de votación real. Quien hace clic aterriza en una página con apariencia relacionada con WhatsApp, con frecuencia apoyada en el dominio legítimo wa.me. A partir de ahí, la víctima recibe instrucciones para completar un paso de conexión o verificación.

En algunas versiones, el paso de verificación consiste en teclear un código de seis dígitos. Al hacerlo, la víctima está dando el visto bueno para enlazar su cuenta con un equipo controlado por el atacante. En otras variantes, el mensaje o la página indican que la víctima abra WhatsApp, entre en ‘Dispositivos vinculados’ y teclee un código facilitado por el estafador.

La función ‘Linked devices’, convertida en trampa

WhatsApp permite usar la cuenta en varios dispositivos, como un navegador o una aplicación de escritorio. Lo normal es escanear un código QR desde el móvil y confirmar la operación.

Pero también es posible vincular un dispositivo con un número de teléfono y un código de un solo uso. Esa vía es la que están explotando los ciberdelincuentes. Con la sesión activa, el atacante obtiene acceso a los chats, puede escribir en nombre de la víctima y seguir las conversaciones casi en tiempo real.

Con ese acceso, el estafador puede suplantar a la víctima, reenviar el timo a sus contactos, pedir dinero con excusas de ‘emergencia’ o reunir información personal y sensible. Al no existir un inicio de sesión clásico, el ataque no genera correos de restablecimiento de contraseña ni alertas de acceso fallido: el equipo del atacante aparece como una sesión vinculada más.

Cómo protegerte

  • Desconfía de las peticiones de voto inesperadas, incluso si proceden de un conocido.
  • No hagas clic en enlaces que te pidan verificar, conectar o vincular tu cuenta.
  • Nunca compartas tu código de verificación de seis dígitos.
  • Revisa periódicamente Ajustes > Dispositivos vinculados y cierra sesión en los dispositivos que no reconozcas.
  • Activa la verificación en dos pasos en WhatsApp.
  • Si un mensaje te resulta extraño, confírmalo con el remitente por otro canal.

Meta responde

Meta ha explicado que la aplicación ahora alertará cuando las señales de comportamiento sugieran que una solicitud de vinculación puede ser sospechosa. Esas alertas mostrarán el origen de la petición y advertirán de que podría ser peligrosa.

Un portavoz de WhatsApp ha insistido en que «los usuarios nunca deben compartir su código de seis dígitos con otras personas» y ha recordado que la aplicación ofrece una visión general de su configuración de privacidad.

Si sospechas que alguien ha accedido a tu cuenta, cierra la sesión de todos los dispositivos vinculados cuanto antes y avisa a tus contactos para que no caigan en la misma trampa.