Bitdefender ha contabilizado 177 dominios fraudulentos y 554 URL únicas en la última campaña de phishing en WhatsApp. El anzuelo llega desde un contacto conocido y pide un favor minúsculo: votar por Eliska en un concurso de baile que no existe. Detrás no hay un banco, ni una paquetería, ni una multa de tráfico.
Claves de la operación
- El coste para la víctima es cero y el premio, un voto. La estafa no reclama dinero ni datos bancarios en el primer paso, solo un número de teléfono y un código, lo que desactiva la desconfianza inicial.
- 177 dominios y 554 URL en una sola campaña. La rotación de direcciones mantiene la red operativa aunque los filtros bloqueen las primeras, y encarece la respuesta de plataformas y operadores.
- Meta asume el coste reputacional de un fraude que no rompe su sistema. El secuestro se ejecuta con la herramienta legítima de vinculación de dispositivos, sin vulnerar el cifrado.
Un favor de treinta segundos que cuesta la cuenta entera
El mensaje promete una clase de danza gratis y conduce a una web que imita una votación. Allí se pide el número de teléfono y, después, un código de ocho dígitos que hay que teclear en WhatsApp. Ese código no acredita ningún voto: es la llave de vinculación de un dispositivo externo. Quien lo obtiene entra en los chats, en la agenda y en todo lo que se comparte por esa cuenta, tal y como describe el catálogo de fraudes del INCIBE.
El vector se llama ghost pairing, emparejamiento fantasma, y no requiere instalar nada. Funciona igual que WhatsApp Web en el ordenador. La diferencia es que aquí el ordenador está en manos de otro. La estafa no pide dinero, pide un gesto social barato, y por eso baja la guardia incluso de quien desconfía de las urgencias económicas.
Las recomendaciones oficiales son mecánicas y pocos las aplican. No abrir el enlace. Si se abrió, no facilitar el número. Reportar con pantallazo al INCIBE y eliminar el chat. Activar la verificación en dos pasos desde Ajustes, Cuenta. Y si ya se introdujo el código, entrar en Dispositivos vinculados y cerrar todas las sesiones desconocidas. Echar al intruso exige hacerlo a mano, una sesión por una.
El negocio no está en el voto, sino en la lista de contactos
Con la cuenta en su poder, el atacante no necesita creatividad: reenvía el mismo anzuelo a toda la agenda y espera. El mensaje siguiente ya no habla de baile. Habla de una visita al dentista que se ha ido de precio o de una factura que no puede esperar, con un número de cuenta adjunto. La cuenta robada se convierte en una franquicia de fraude llave en mano, y la credibilidad la aporta el nombre de la víctima.
La estafa más rentable no es la que rompe un cifrado, sino la que convence a alguien de que está haciendo un favor.
La escala es el dato que separa esta campaña de un timo artesanal. Bitdefender ha identificado 177 dominios fraudulentos y 554 URL únicas asociadas al mismo guion. La red rota direcciones más rápido de lo que tardan los filtros en incluirlas en lista negra. Registrar un dominio nuevo cuesta poco; bloquearlo, en cambio, exige una actualización que siempre llega tarde.
No hay malware. Eso explica por qué ninguna herramienta antivirus firma este fraude: la sesión es legítima, la abre el propio usuario y viaja cifrada. La defensa ya no es técnica, es de comportamiento. Y el comportamiento, en una conversación con alguien de confianza, es la variable más difícil de programar.
Meta, los operadores y el negocio de vender confianza
WhatsApp no puede leer esos mensajes ni cerrar la sesión por su cuenta sin romper el cifrado de extremo a extremo, que es su principal argumento comercial frente a Telegram y Signal. Su margen real es la adopción de la verificación en dos pasos, disponible en la página de seguridad de WhatsApp. La verificación en dos pasos es opcional y su adopción, escasa. En esta redacción entendemos que ese es el punto débil de un modelo que prioriza la fricción cero sobre la seguridad por defecto.
Alrededor del agujero ha crecido un negocio. Telefónica Tech comercializa servicios de antifraude y ciberseguridad gestionada para pymes y administraciones, y los bancos, las aseguradoras, y los operadores han convertido la protección del cliente final en una línea de ingresos recurrentes. Se vende como servicio la protección que la aplicación no incluye. La paradoja es de manual: cuanto más gratis es el canal, más caro sale el seguro.
El sector mide el éxito en dominios caídos, no en cuentas recuperadas, y esa métrica oculta el coste real. Recuperar un número suplantado exige días, un informe y, con frecuencia, termina en una línea nueva. El daño se contabiliza en contactos estafados, no en la víctima original. El indicador que conviene seguir no es el recuento de direcciones bloqueadas, sino la reincidencia: si Eliska vuelve a los grupos de padres en la próxima temporada de concursos, la lección no habrá calado.
