“Se me ha roto el móvil”: así funciona la nueva estafa de WhatsApp detectada en Castilla y León

La Policía Nacional ha detectado una nueva modalidad de uso fraudulento de cuentas de WhatsApp que permite a los delincuentes hacerse pasar por el usuario legítimo y enviar mensajes a sus contactos sin que la víctima pierda el acceso a su propia cuenta.

El fenómeno ha adquirido una especial incidencia en Castilla y León, donde se han contabilizado 82 denuncias en los últimos quince días. Según los datos facilitados por la Policía Nacional, los delincuentes han conseguido estafar en este periodo un total de 10.751 euros.

La particularidad de esta modalidad delictiva es que la persona afectada continúa utilizando WhatsApp aparentemente con total normalidad. No pierde el acceso a su cuenta, no se produce el habitual cierre de sesión y, en algunos casos, tampoco aparecen dispositivos desconocidos en el apartado de dispositivos vinculados.

Sin embargo, mientras el propietario legítimo de la cuenta sigue utilizando la aplicación, algunos de sus contactos reciben mensajes enviados aparentemente desde su propio número. Los delincuentes aprovechan así la confianza previa existente entre la víctima y sus familiares, amigos o conocidos para solicitar dinero con carácter urgente.

Ingeniería social

El engaño sigue un patrón muy homogéneo. Una vez comprometida la cuenta, los estafadores contactan con personas que mantienen una relación previa con la víctima y despliegan una campaña de ingeniería social basada en una situación aparentemente urgente.

Los mensajes suelen comenzar con peticiones como "Necesito tu ayuda" y continúan con una explicación: "Se me ha roto el móvil". A continuación, el supuesto afectado asegura que necesita adquirir urgentemente un nuevo terminal, cuyo precio sitúa habitualmente entre los 980 y los 1.000 euros.

El delincuente argumenta después que no puede realizar una transferencia en ese momento y pide al contacto que adelante el dinero. Para dar mayor credibilidad a la operación, no solicita necesariamente un ingreso en una cuenta a nombre de la persona suplantada, sino que facilita el IBAN de un supuesto comerciante o de un tercero.

Las cantidades reclamadas se sitúan habitualmente entre 950 y 1.000 euros, una cifra suficientemente elevada para generar un perjuicio económico importante pero que, según el patrón detectado, se presenta como el precio aproximado de un teléfono móvil nuevo.

El usuario no ve los mensajes fraudulentos

Otra de las circunstancias que está dificultando la detección del fraude es que los mensajes enviados por los delincuentes no aparecen necesariamente en el teléfono de la víctima. Mientras los destinatarios ven la conversación y reciben la petición de dinero aparentemente desde el contacto habitual, el propietario de la cuenta desconoce que esos mensajes se están enviando en su nombre.

En muchos casos, la víctima descubre lo ocurrido cuando alguno de sus contactos le llama por teléfono o utiliza otro medio para confirmar si realmente ha solicitado dinero.

La Policía ha constatado además que la revisión de la función de dispositivos vinculados no siempre permite localizar un acceso desconocido, por lo que la ausencia de terminales ajenos conectados a la cuenta no garantiza que esta no haya sido comprometida.

Entre los casos analizados se ha observado también una concentración significativa de terminales que no disponían de las últimas actualizaciones de seguridad, una circunstancia que podría facilitar determinados vectores de ataque.

Las posibles vías de acceso

Aunque la Policía Nacional continúa analizando las particularidades de este patrón, entre los posibles métodos empleados para comprometer las cuentas se encuentran la obtención mediante engaño del código de registro, campañas de phishing dirigidas a la víctima, técnicas de ingeniería social para conseguir credenciales o códigos de seguridad, la vinculación fraudulenta de un dispositivo o un compromiso previo del teléfono móvil o de la propia cuenta.

El procedimiento delictivo tendría, por tanto, dos fases. La primera consistiría en conseguir acceso fraudulento a la identidad digital de la víctima y la segunda en utilizar esa identidad para intentar estafar a sus contactos.

La clave del engaño reside precisamente en la confianza. El receptor del mensaje no cree estar hablando con un desconocido, sino con un familiar, amigo o persona conocida cuyo número tiene guardado en su agenda.

Qué recomienda hacer la Policía

Ante la detección de este tipo de fraude, la Policía Nacional recomienda avisar cuanto antes, utilizando medios alternativos como llamadas telefónicas, SMS o correo electrónico, a familiares, amigos y contactos para que ignoren cualquier solicitud económica que reciban a través de WhatsApp.

También insiste en que no se deben facilitar bajo ningún concepto códigos de WhatsApp, códigos recibidos por SMS, PIN de verificación en dos pasos ni códigos QR.

Entre las medidas preventivas figura mantener actualizado tanto el sistema operativo del teléfono como la aplicación de WhatsApp, revisar periódicamente el apartado de «Dispositivos vinculados» y activar la verificación en dos pasos.

Los investigadores recuerdan, no obstante, que la inexistencia de dispositivos desconocidos vinculados a la cuenta no garantiza que esta no haya sido comprometida. Por ello, ante cualquier aviso de un contacto sobre mensajes sospechosos enviados aparentemente desde nuestro número, la recomendación es actuar de inmediato y advertir al entorno para evitar que el fraude llegue a consumarse.