La Guardia Civil alerta de una nueva estafa de WhatsApp que suplanta contactos y ya ha causado pérdidas de 2.000 euros.
Claves de la operación
- Cuatro casos detectados en iPhone con una pérdida de 2.000 euros. El Equipo de Delitos Telemáticos de La Rioja investiga una modalidad que no requiere que la víctima escanee códigos ni ceda verificaciones.
- El atacante usa una sesión invisible que no aparece en dispositivos vinculados. La suplantación se apoya en zero-click, un vector más sofisticado que el clásico GhostPairing.
- La Guardia Civil recomienda actualizar a iOS 18.7.8 o superior. Las versiones antiguas del sistema operativo de Apple presentan vulnerabilidades asociadas a este incidente.
Las estafas tradicionales en WhatsApp dependen de un gesto humano: un clic, un código compartido, una llamada que convence. La modalidad detectada en La Rioja rompe ese patrón. Los atacantes pueden mantener una sesión activa sin que aparezca en el listado de dispositivos vinculados, según ha explicado la Guardia Civil a través del Equipo de Delitos Telemáticos (EDITE).
De hecho, las víctimas no enviaron mensajes fraudulentos ni facilitaron códigos de verificación. Tampoco escanearon códigos QR para vincular nuevos dispositivos. Al revisar el apartado de WhatsApp, todo parecía normal: ningún acceso desconocido. Eso convierte cada conversación previa en una herramienta de engaño, porque el receptor del mensaje ve el número habitual, el nombre del contacto y un historial consistente.
El ciberdelincuente aprovecha una conversación reciente para hacerse pasar por el titular y solicitar una transferencia. Incluso facilita un número de cuenta bancaria que, en algunos casos, corresponde a una entidad extranjera. El perjuicio económico no es una hipótesis: una de las víctimas ya notificó pérdidas por 2.000 euros.
Los investigadores sitúan los casos en Calahorra, Haro y Logroño, y apuntan a que el ataque se ha producido principalmente en determinados modelos de iPhone. No se trata de un fallo generalizado de WhatsApp, sino de una vía de entrada ligada a versiones antiguas de iOS.
El fraude ya no necesita engañar al usuario: le basta con heredar su identidad digital sin dejar rastro.
Una suplantación sin rastro en los dispositivos vinculados
El término técnico que describe esta técnica es zero-click: compromete el dispositivo sin que la víctima llegue a percatarse. A diferencia de otras estafas, no hace falta abrir un enlace ni introducir una contraseña. La sesión maliciosa se oculta de la vista del usuario, lo que dificulta la detección durante las primeras horas posteriores al ataque.
La Guardia Civil diferencia esta modalidad del GhostPairing clásico. En aquel caso, el delincuente convence a la víctima para que vincule un dispositivo ajeno mediante ingeniería social. Aquí, los indicios apuntan a que el atacante mantiene una sesión activa sin reflejarse de la forma habitual. La consecuencia es directa: ni la víctima ni sus contactos tienen motivos para sospechar.
Este cambio altera el perímetro de defensa del usuario medio. Hasta ahora, las recomendaciones se centraban en no compartir códigos SMS y revisar los dispositivos vinculados. La nueva modalidad demuestra que esas comprobaciones pueden resultar insuficientes. La Guardia Civil subraya la importancia de actualizar el iPhone a la última versión compatible y, como mínimo, a iOS 18.7.8.
El agujero de seguridad que castiga a los iPhone con iOS antiguo
Las versiones anteriores a iOS 18.7.8 presentan vulnerabilidades relacionadas con estos incidentes. El aviso oficial de la Guardia Civil, difundido por la comandancia riojana, insta a actualizar el sistema de forma inmediata. La recomendación es explícita: no basta con cambiar la contraseña; hay que revisar el estado del propio dispositivo.
Activación de la verificación en dos pasos de WhatsApp, cierre de sesiones no reconocidas y copia de seguridad previa a cualquier reinstalación. La Guardia Civil también pide conservar capturas y mensajes si se detecta un fraude, avisar a los contactos afectados y comunicar los hechos a las Fuerzas y Cuerpos de Seguridad.
El consejo más contundente es, quizá, el que rompe con el hábito digital de medio país: ninguna aplicación de mensajería es un canal válido para verificar una petición de dinero. Ante una solicitud inesperada, la Guardia Civil recomienda confirmar por otra vía. Una llamada de teléfono basta.
Lo que este timo revela sobre la evolución del fraude digital en España
El ataque detectado en La Rioja no es un incidente aislado. Es la enésima señal de que el fraude en plataformas de mensajería se está sofisticando a una velocidad mayor que la concienciación del usuario medio. La suplantación de identidad representa una parte creciente de los ciberdelitos registrados en España, según los balances del Ministerio del Interior. En este caso, la novedad no es el robo de una cuenta, sino el uso invisible de la misma.
Desde que desembarcó en España a principios de la década de 2010, WhatsApp se convirtió en la principal herramienta de comunicación móvil del país, con más penetración que los propios servicios de SMS de las operadoras como Telefónica. Eso convierte cualquier brecha o técnica de suplantación en un problema de escala nacional. La compañía recomienda desde hace años activar la verificación en dos pasos y revisar los dispositivos vinculados, tal y como se detalla en su página oficial de seguridad. Sin embargo, la responsabilidad de parchear el sistema operativo recae en Apple y en el propio usuario.
En términos de negocio, el impacto es doble. Por un lado, la confianza es el activo más valioso de una aplicación de mensajería: si el usuario duda de quién está al otro lado, el canal se degrada. Por otro, las entidades bancarias que reciben transferencias hacia cuentas extranjeras se enfrentan a un reto de trazabilidad. La Guardia Civil no ha detallado cuántas transferencias se llegaron a completar, más allá de la pérdida de 2.000 euros ya comunicada por una víctima.
Hay un matiz que conviene no perder de vista. Los casos se concentran en iPhone con versiones antiguas de iOS. No se trata, por tanto, de una vulnerabilidad universal. La actualización del sistema reduce de forma drástica la exposición, y esa es una medida que no depende de los ciberdelincuentes. La Guardia Civil ha sido clara: el primer eslabón de la cadena defensiva está en la configuración del propio teléfono.
La pregunta que deja este episodio es si las aplicaciones de mensajería pueden detectar sesiones fantasma antes de que se utilicen para robar dinero. La Guardia Civil mantiene abierta la investigación. Mientras tanto, la recomendación de comprobar por teléfono cualquier petición de dinero es la barrera más barata y más eficaz.
