Las estafas por WhatsApp ya no clonan perfiles: se instalan dentro de la conversación real y piden hasta 1.000 euros. La Policía Nacional investiga en Málaga una brecha que abre sesiones paralelas en iPhones sin actualizar, sin que la víctima pierda el acceso ni vea los mensajes enviados en su nombre.
Claves de la operación
- El agujero está en el sistema operativo, no en el usuario. La intrusión combina una vulnerabilidad de WhatsApp con versiones antiguas de iOS —16 o anteriores— y no exige que la víctima pulse ningún enlace.
- El objetivo económico es la agenda de contactos, no el titular. Los importes reclamados, de 300 a casi 1.000 euros, se calibran para no levantar sospechas y se piden por Bizum o transferencia.
- La responsabilidad técnica queda en manos privadas. La Policía sitúa el origen en una quiebra de seguridad de servicios privados y reclama a Apple y a WhatsApp una solución definitiva.
La sesión fantasma que escribe en tu nombre sin aparecer en tu pantalla
El patrón se repite con una precisión incómoda. El titular conserva el móvil, la línea y el historial de chats; los atacantes entran por detrás y escriben desde el mismo número, con el mismo nombre y dentro del mismo hilo. La sesión paralela es invisible para el dueño del teléfono y solo se detecta cuando un tercero llama extrañado.
Andrés Román, inspector jefe de la Sección de Ciberdelincuencia de la Comisaría Provincial de Málaga, describe el modus operandi: doble vulnerabilidad, una en WhatsApp y otra en versiones antiguas de iOS. Mientras el propietario usa el teléfono con aparente normalidad, la intrusión actúa en la sombra y escribe en su nombre.
El caso de Félix, uno de los denunciantes, ilustra el coste real. Recibió una llamada de su pareja a las ocho de la mañana preguntando dónde estaba: desde su propio WhatsApp alguien reclamaba 1.000 euros alegando un saldo a cero y prometiendo devolverlos al día siguiente. Su pantalla no mostraba ni un solo mensaje de la conversación. Al dar de baja la línea y cambiar de número, bancos y Seguridad Social le bloquearon los accesos por seguridad.
La segunda afectada, con un iPhone 12 también sin actualizar, empezó a sospechar cuando varios familiares la llamaron extrañados por un mensaje escueto: ‘¿Me puedes ayudar?’. Después llegaba el relato de manual —móvil roto, tarjeta que no funciona— y la petición de 980 euros a una cuenta de ING, con justificante de pago inmediato. Escribieron a siete u ocho contactos y ninguno picó.
El fraude no se mide en euros sustraídos, sino en líneas quebradas, cuentas bloqueadas y semanas de trámites para demostrar quién eres.
Los autores calibran la petición para que duela poco. El responsable policial cifra los importes reclamados entre 300 euros y casi 1.000, una franja en la que muchas víctimas pagan rápido para resolver el problema de un familiar. En Málaga hay un goteo continuo de denuncias y el fenómeno se replica en el conjunto del país.
En Bizkaia la alerta ha llegado por otra vía, la del volumen creciente de estafas telemáticas que recoge el diario Deia, sin que por ahora exista una cifra pública comparable a la malagueña. El vector es el mismo aunque cambie la provincia y el perfil de la víctima suele repetirse: usuario con el sistema operativo atrasado.
De Málaga a Bizkaia: el fraude que ya no entiende de provincias
El Instituto Nacional de Ciberseguridad (INCIBE) ha detectado una oleada de consultas de usuarios de iPhone. INCIBE sitúa la mayoría de los casos por debajo de iOS 18, aunque también ha atendido incidencias en terminales con versiones previas a iOS 26.7. El protocolo que recomienda, junto a la Policía, tiene un orden estricto: alterarlo puede dejar la cuenta igual de expuesta.
Primero, avisar por llamada o SMS a los contactos y pedir capturas de los mensajes y de los números de cuenta antes de borrar nada. Segundo, actualizar iOS con copia de seguridad previa de los chats. Tercero, desinstalar WhatsApp por completo —no basta con retirar el icono de la pantalla de inicio— y reinstalarlo desde la App Store para expulsar cualquier sesión vinculada.
El cuarto paso es el que casi nadie ejecuta: el PIN de verificación es la barrera que casi nadie activa y, sin embargo, es la única que sobrevive a un teléfono sin parches. Conviene además revisar el apartado de dispositivos vinculados. Quien haya transferido dinero debe llamar a su banco y denunciar en comisaría; el teléfono 017 de INCIBE ofrece orientación gratuita.
Quién asume el coste: la banca cobra por Bizum y las tecnológicas no responden
Aquí aparece el flanco menos cómodo. El dinero se reclama por Bizum o transferencia, dos raíles que dependen de la banca española: Bizum es una sociedad participada por Santander, BBVA, CaixaBank y Sabadell, y por el resto de grandes entidades del IBEX 35. Estas compañías bloquean accesos cuando detectan el patrón, pero el reembolso no es automático: quien autorizó el pago debe demostrar que fue engañado.
La pelota técnica, mientras, sigue en Cupertino y en Menlo Park. La Policía sostiene que el origen es una quiebra de seguridad de servicios privados, de modo que corresponde a Apple —vía actualizaciones de iOS— y a WhatsApp —vía control de sesiones— cerrar el agujero. El antecedente español no invita al optimismo: la oleada del ‘hijo en apuros’ tardó meses en desactivarse y solo cayó cuando operadores y banca empezaron a filtrar patrones en origen.
El riesgo estructural es que una parte del parque de iPhones ya no recibe parches de seguridad. Ese usuario no puede actualizar para protegerse porque no hay actualización que instalar, y su única defensa es la verificación en dos pasos y la llamada de comprobación. La pauta del inspector Román es la más barata de todas: ante cualquier petición de dinero, llamar por voz al contacto. El titular legítimo mantiene la línea activa y desmiente el mensaje en segundos.
Seguimos de cerca la próxima tanda de actualizaciones de iOS y el detalle de las sesiones vinculadas que WhatsApp expone en sus ajustes. Ahí se verá si la brecha se cierra de raíz o si el goteo de denuncias se traslada, sin ruido, a nuevas provincias.
