Robo de cuenta de WhatsApp en iPhone sin tocar un solo enlace: la Guardia Civil de Cantabria acumula más de veinte denuncias por una oleada de intrusiones que entra en el teléfono sin pedirle nada a su dueño. No llega un mensaje trampa, no hay archivo que abrir ni llamada que contestar. El Equipo @ de esa comandancia, el grupo especializado en ciberestafas, lleva las indagaciones, y las denuncias han crecido en los últimos días.
El blanco tiene un perfil muy concreto. Los casos analizados comparten terminales con iOS de varios años de antigüedad y sin actualizar a iOS 26, con mayor incidencia en las versiones por debajo de iOS 18. La Guardia Civil no ha detectado esta acción en Android. Y hay un detalle que tumba el consejo de siempre: la víctima no cometió ningún error. No existe enlace que aprender a evitar ni llamada que aprender a colgar.
La técnica tiene nombre técnico, «zero-click», y la propia Guardia Civil lo usa en su nota del 5 de noviembre. En términos generales, el atacante aprovecha fallos de seguridad de esas versiones viejas de iOS para entrar al dispositivo a distancia y hacerse con el control de la aplicación de mensajería. La nota oficial no identifica la vulnerabilidad concreta que se está explotando, y conviene decirlo tal cual: ese dato, de momento, no es público.
Con la cuenta en su poder, el delincuente se hace pasar por el dueño y escribe a sus familiares, amigos y contactos de trabajo. El guion es una urgencia: un problema económico, una emergencia familiar, y la petición de una transferencia bancaria o un Bizum inmediato. El mensaje llega desde la cuenta real, con su foto, su nombre y su historial de conversaciones, y eso multiplica las probabilidades de que el contacto pague. El método clásico de robo de cuentas de WhatsApp necesita que la víctima entregue su código de registro a un estafador; esta oleada ni siquiera necesita ese paso.
En algunos casos investigados el daño va más lejos. Los atacantes activaron la doble autenticación de la propia aplicación con un código suyo, y la víctima perdió el acceso de forma definitiva: el PIN dejó de ser suyo. La Guardia Civil lo advierte sin rodeos: desinstalar y recuperar WhatsApp no basta para cerrar el caso. Sin actualizar el sistema y sin el doble factor activado, la misma persona puede volver a perder la cuenta por la misma puerta.
iOS sin actualizar, la puerta de esta oleada
La primera defensa es aburrida y funciona: actualizar el iPhone. La ruta es Ajustes, General, Actualización de software, e instalar la versión que aparezca. La vigente es iOS 27.2, compatible con el iPhone 11 y los modelos posteriores, y en Applesfera recuerdan que esa sola actualización corrigió más de 160 fallos de seguridad. Apple publica además parches ocasionales para versiones antiguas, así que un terminal con años encima puede recibir todavía su ración de protección si el dueño no la deja pasar.
Dentro de WhatsApp vive la segunda defensa: la verificación en dos pasos. Se activa en Configuración, Cuenta, Verificación en dos pasos: un PIN de seis cifras que la aplicación pedirá a cualquiera que intente registrar tu número en otro teléfono, acompañado de un correo de recuperación por si el PIN se olvida. Donde la cuenta lo ofrezca, la llave de acceso suma otra cerradura. Y en Configuración, Dispositivos vinculados, se ven todas las sesiones abiertas de la cuenta: la que no se reconozca se cierra en el acto. Para quien ya no puede actualizar su iPhone por antigüedad, la Guardia Civil lo plantea como obligación y no como consejo: el doble factor es lo único que queda entre el ladrón y la cuenta.
Si la cuenta ya cayó, el reloj corre
WhatsApp fija el camino oficial de recuperación en su centro de ayuda: volver a registrar el número con el código de seis dígitos que llega por SMS o por llamada. Al completar ese registro, todas las demás sesiones se cierran de forma automática, incluida la del ladrón. Si al entrar aparece un PIN de dos pasos que no es el tuyo, la salida rápida es el correo de recuperación; sin ese correo, la propia WhatsApp marca una espera de siete días antes de permitir la verificación del número sin el PIN. Cambiar contraseñas no expulsa a nadie de una cuenta ya tomada: la única vía es el nuevo registro.
Mientras ese reloj corre, hay dos movimientos que salvan dinero ajeno. El primero: avisar a los contactos por otra vía, una llamada o un mensaje desde otro número, para que nadie pague en tu nombre. El segundo funciona al revés: si recibes tú el mensaje urgente de un conocido pidiendo dinero, la Guardia Civil pide verificar la petición con una llamada telefónica o por otro canal, nunca respondiendo al mismo chat. Y si el dinero ya salió, toca llamar al banco por sus canales oficiales y pedir que detengan o devuelvan la operación antes de que se consolide.
La investigación sigue abierta y los agentes no han puesto nombre todavía a los responsables de la oleada. Los casos confirmados se concentran en Cantabria, aunque en Applesfera sospechan que puede haber víctimas en otros territorios que aún no han unido los puntos entre un iPhone viejo, una cuenta perdida y un Bizum que salió de la agenda equivocada.
Fuente: MovilZona
