Los 5 errores de seguridad que abren la puerta a las estafas por WhatsApp

En mi experiencia analizando la evolución de las plataformas de mensajería y los protocolos de ciberseguridad, he comprobado que el cifrado de datos más avanzado del mundo resulta inútil si el usuario entrega las llaves de su cuenta de forma voluntaria. En América Latina, WhatsApp cuenta con una tasa de penetración superior al 90 %, lo que la convierte en el terreno de caza más lucrativo para los ciberdelincuentes.

La firma de ciberseguridad ESET ha lanzado una advertencia crucial: los ataques han evolucionado de simples mensajes de texto prometiendo premios irreales a sofisticadas tácticas de ingeniería social. El objetivo de los criminales ya no es vulnerar el código de la aplicación, sino manipular psicológicamente al usuario. A continuación, detallo los cinco errores críticos de configuración que facilitan la clonación de cuentas y explico técnicamente cómo blindar tu dispositivo.

El factor humano como vulnerabilidad principal

David Gonzalez, investigador de Seguridad Informática de ESET Latinoamérica, señala que la inmensa mayoría de las intrusiones exitosas no son el resultado de complejos hackeos tecnológicos (exploits de día cero), sino de omisiones básicas en la configuración de privacidad. Los estafadores explotan la urgencia emocional y la curiosidad natural para que la propia víctima sea quien autorice el acceso no deseado.

1. La ausencia de verificación en dos pasos (2FA)

Este es, indiscutiblemente, el fallo de seguridad más destructivo. La mayoría de los usuarios asumen, erróneamente, que el código de seis dígitos enviado por SMS es un mecanismo de defensa infalible.

Los criminales utilizan la ingeniería social —haciéndose pasar por entidades bancarias, soporte técnico o tiendas online— para persuadir al usuario de que les dicte o reenvíe ese código SMS. Si la cuenta no posee una segunda capa de protección, el atacante tomará el control absoluto de la aplicación en milisegundos. Inmediatamente después, el delincuente activará su propio PIN de seguridad, bloqueando al propietario legítimo y procediendo a solicitar dinero a sus contactos bajo falsas emergencias médicas o financieras.

Solución técnica inmediata:

1. Accede a Ajustes dentro de WhatsApp.
2. Navega a Cuenta > Confirmación en dos pasos.
3. Selecciona Activar y establece un PIN numérico de 6 dígitos que no compartas con nadie.
4. Es imperativo añadir un correo electrónico de recuperación válido.

2. Interacción con enlaces maliciosos (Phishing)

La inmediatez de la aplicación facilita la propagación de enlaces fraudulentos. Estos mensajes suelen incluir URLs acortadas que prometen ofertas económicas irreales o beneficios instantáneos. Al hacer clic, el usuario es redirigido a una página que clona milimétricamente la interfaz gráfica de un banco o comercio legítimo.

El objetivo es capturar credenciales de acceso, datos de tarjetas de crédito o, en escenarios más graves, forzar la descarga de malware de tipo keylogger que registrará cada pulsación en el teclado del móvil. Las señales de alerta incluyen errores ortográficos sutiles, promesas de «dinero fácil» y dominios web con extensiones extrañas o letras intercambiadas.

3. Exposición pública de la foto de perfil

Este error de privacidad es el catalizador principal de la estafa del «número nuevo» o suplantación de identidad. En esta modalidad, el delincuente no necesita hackear la cuenta original. Simplemente, utiliza otro dispositivo (o la versión web) para obtener una captura de pantalla de la foto de perfil pública de la víctima.

Acto seguido, registra un número de teléfono diferente, coloca la foto robada y contacta a los familiares de la víctima argumentando que ha cambiado de número debido a un teléfono dañado o robado. Una vez establecida la confianza visual, solicita transferencias bancarias urgentes.

Solución técnica inmediata:

1. Ve a Ajustes > Privacidad.
2. Selecciona Foto de perfil.
3. Cambia la visibilidad de «Todos» a «Mis contactos» o «Mis contactos, excepto…».

4. Copias de seguridad en la nube sin cifrado

Un error técnico frecuente es proteger rigurosamente la aplicación local, pero descuidar los datos almacenados en servidores externos. WhatsApp realiza copias de seguridad automáticas de los historiales de chat en Google Drive (Android) o iCloud (iOS). Por defecto, estas copias no heredan el cifrado de extremo a extremo de la aplicación.

Si un atacante logra vulnerar el correo electrónico vinculado a la cuenta de Google o Apple de la víctima, podrá descargar el archivo de respaldo completo en otro terminal. Esto le otorgará acceso sin restricciones a fotografías de documentos, conversaciones privadas e información laboral sensible, ejecutando un robo de datos por la «puerta trasera».

Solución técnica inmediata:

1. Ingresa a Ajustes > Chats > Copia de seguridad.
2. Activa la opción «Copia de seguridad cifrada de extremo a extremo».
3. Crea una contraseña robusta; sin ella, ni siquiera Google o Apple podrán descifrar los datos.

5. Notificaciones visibles en la pantalla de bloqueo

Este fallo se clasifica como una vulnerabilidad de «acceso físico». Ocurre cuando un individuo malintencionado intenta registrar tu número de WhatsApp en su propio dispositivo mientras tu teléfono está cerca, pero bloqueado (por ejemplo, sobre el escritorio de la oficina).

El sistema enviará el código de verificación por SMS a tu teléfono. Si tienes activada la vista previa de mensajes en la pantalla de bloqueo, el atacante solo necesita mirar tu pantalla iluminada para leer los 6 dígitos, sin necesidad de conocer tu contraseña o huella dactilar.

Solución técnica inmediata:

1. Accede a los ajustes generales del sistema operativo (Android o iOS).
2. Dirígete a Notificaciones y busca la aplicación de mensajes SMS.
3. Configura la visualización para que el contenido del mensaje se oculte en la pantalla de bloqueo y solo se muestre tras autenticarte biométricamente.

La prevención técnica es la única defensa efectiva contra la ingeniería social. Estaré a tu disposición para redactar un informe detallado sobre cómo identificar aplicaciones de clonación o spyware oculto en dispositivos móviles si requieres expandir esta información en tu sitio web.