Así secuestraban cuentas de WhatsApp en iPhone para pedir dinero sin que sus dueños vieran los mensajes

hace 4 horas

4 min de lectura

Logo de Whatsapp

INCIBE ha detectado casos en los que delincuentes enviaban peticiones de dinero desde cuentas reales de WhatsApp en iPhone, mientras sus propietarios seguían utilizando la aplicación y no veían esos mensajes. El fraude aprovechaba la confianza de familiares y amigos en el remitente.

Una petición de dinero desde la conversación de siempre

Los primeros casos investigados por la empresa de informática forense Forenser, en mayo de 2026, tenían varios elementos en común: los afectados utilizaban iPhone con iOS 16, alguien enviaba solicitudes de transferencias desde sus cuentas y no aparecían dispositivos desconocidos vinculados. Los usuarios tampoco recordaban haber autorizado ninguna conexión ni entregado códigos. 2

Los investigadores observaron que los atacantes parecían acceder a conversaciones recientes. Eso les permitía dirigirse a personas con las que la víctima acababa de hablar. Recibir una petición dentro de un chat conocido podía hacer que el destinatario bajase la guardia: el mensaje procedía de la cuenta auténtica de su contacto.

El problema también ha motivado avisos en España. El 5 de noviembre de 2026, la Ertzaintza comunicó 359 casos detectados en Euskadi entre junio y finales de octubre, relacionados con este patrón de estafa. Los mensajes alegaban una urgencia y facilitaban una cuenta bancaria para recibir el dinero. La cifra corresponde a los casos comunicados por ese cuerpo policial; no representa un recuento nacional.

Las vulnerabilidades conocidas ya tenían correcciones

La referencia a la «versión 16» corresponde a iOS, el sistema operativo del iPhone. La investigación inicial planteó que podían combinarse dos fallos: uno en el procesamiento de imágenes de Apple y otro en la sincronización de dispositivos de WhatsApp. INCIBE-CERT recogió esa explicación como una hipótesis técnica, sin una confirmación específica de WhatsApp sobre su uso en los nuevos casos de mayo de 2026.

Ambas vulnerabilidades tenían parches disponibles desde 2025:

Apple, CVE-2025-43300: corregida, entre otras versiones, en iOS 16.7.12, publicado el 15 de septiembre de 2025.
WhatsApp, CVE-2025-55177: corregida en WhatsApp para iOS 2.25.21.73. Para WhatsApp Business en iOS, la versión indicada era la 2.25.21.78.

Esas versiones identifican la corrección de esos dos fallos concretos. La medida adecuada hoy es instalar las actualizaciones más recientes compatibles con el teléfono y mantener también WhatsApp al día. Que exista un parche no protege automáticamente a los equipos que siguen sin actualizar.

Cómo podían ocultarse los mensajes y el dispositivo del atacante

La investigación avanzó. El 28 de septiembre de 2026, Forenser publicó un análisis posterior que relacionaba los dispositivos examinados con Coruna, un conjunto de herramientas maliciosas para atacar iPhone desactualizados. En ese escenario, la infección comenzaba al visitar una página maliciosa con Safari. 7

Tras comprometer el teléfono, un componente del programa manipulaba WhatsApp para:

Vincular un dispositivo controlado por el atacante, sin que el propietario tuviera que escanear un código QR.
Ocultar determinados dispositivos de la lista visible, de modo que la revisión de «Dispositivos vinculados» podía parecer normal.
Suprimir en el teléfono de la víctima los mensajes enviados por el dispositivo del atacante, aunque sus destinatarios sí los recibían. 7

Ese mecanismo explica los síntomas encontrados por Forenser en sus análisis. No demuestra que todas las denuncias respondan al mismo ataque, ni permite afirmar que en todos los casos bastase con recibir un mensaje sin hacer nada más.

Google había documentado que el kit Coruna analizado podía atacar versiones antiguas comprendidas entre iOS 13.0 y 17.2.1, y que no funcionaba contra la versión más reciente de iOS disponible al publicar su informe. Por tanto, el alcance de esa herramienta iba más allá de iOS 16. Google recomienda mantener el sistema actualizado; ese rango tampoco significa que todos los teléfonos con esas versiones hayan sido infectados.

Cómo proteger tu cuenta

Actualiza iOS y WhatsApp. Instala las versiones más recientes compatibles con tu equipo. Si ya hay indicios de uso fraudulento, empieza por actualizar el sistema del iPhone antes de reinstalar la aplicación.

Revisa los dispositivos vinculados. En WhatsApp, entra en Configuración y abre «Dispositivos vinculados». Cierra las sesiones que no reconozcas. Esta revisión es útil, aunque los casos investigados muestran que una lista aparentemente normal no basta para descartar un acceso indebido.

Activa la verificación en dos pasos y no compartas códigos. Es una protección adicional para la cuenta. La investigación inicial no había demostrado que evitara por sí sola este tipo de compromiso, por lo que no debe sustituir a las actualizaciones. 2

Confirma cualquier petición inesperada de dinero por otro canal. Llama a la persona por teléfono antes de pagar. Responder en el mismo chat puede dejarte hablando con quien está utilizando su cuenta.

Qué hacer si tus contactos ya reciben mensajes que no has enviado

Avisa a tus contactos por teléfono o SMS y conserva las pruebas antes de borrar nada. Para recuperar la cuenta, INCIBE indica actualizar primero iOS, hacer y comprobar una copia de seguridad de los chats y después eliminar completamente WhatsApp, reinstalarlo desde la App Store y volver a registrar el número. Si la actividad continúa, contacta con el soporte de WhatsApp o con el 017.

Recuperar la cuenta y eliminar una infección del teléfono son tareas distintas. Si se sospecha la presencia de un programa malicioso, puede ser necesaria una revisión técnica y el restablecimiento del dispositivo.

Si alguien ya ha pagado, debe contactar cuanto antes con su banco para intentar detener o recuperar la operación, guardar los justificantes y denunciar. La devolución del dinero no está garantizada.

Que WhatsApp siga funcionando en tu móvil no significa que seas la única persona que está utilizando tu cuenta. Mantenerlo actualizado y comprobar por teléfono una petición de dinero son dos medidas que protegen también a quienes confían en ti.