La Ertzaintza ha detectado 359 casos de estafa en Euskadi desde junio hasta finales de octubre, vinculados a una vulnerabilidad de WhatsApp. Del total, 211 se registraron en Bizkaia, 83 en Gipuzkoa y 65 en Araba.
La Jefatura de Coordinación de Ciberseguridad ha identificado un posible nexo con una campaña de ataque denominada zero-click, que no requiere abrir enlaces ni archivos. El método aprovecha una vulnerabilidad de iOS y WhatsApp para enviar mensajes a los contactos desde las cuentas comprometidas.
Cómo funciona el engaño
Los mensajes piden dinero para atender una supuesta urgencia y proporcionan una cuenta bancaria para efectuar el pago. Según la información de la Ertzaintza, el atacante obtiene material criptográfico del teléfono relacionado con el inicio de sesión de WhatsApp y puede crear una nueva instancia que duplica las sesiones, sin que el dispositivo original reciba avisos de vinculaciones o inicios de sesión.
El análisis de los registros de eventos ha detectado intentos continuados de resincronización con los servidores de WhatsApp cuando las dos sesiones tratan de mantener el control de la cuenta. Una vez que lo consigue, el atacante solicita dinero a los contactos.
Los primeros casos se detectaron en Italia en mayo de 2026. La brecha de seguridad ya ha sido corregida mediante parches, concretamente con la actualización de iOS a la versión 16.7.12 y de WhatsApp a la versión 2.25.21.78.
Recomendaciones de seguridad
La Jefatura de Coordinación de Ciberseguridad está coordinando las tareas de investigación. La Ertzaintza recomienda actualizar iOS antes de actualizar WhatsApp y mantener también al día la aplicación.
Si una cuenta está comprometida, la Ertzaintza recomienda avisar a los contactos por otro canal, conservar las pruebas y denunciar ante la Ertzaintza. También aconseja eliminar y volver a instalar WhatsApp para recuperar el control de la cuenta, siempre después de actualizar iOS.
Entre las demás recomendaciones figuran activar la verificación en dos pasos y revisar los dispositivos vinculados, cerrando las sesiones desconocidas. Si se recibe una petición de dinero, aconseja no responder desde ese chat y llamar directamente a la persona por un canal diferente para verificar el mensaje.
