INCIBE alerta del falso concurso de baile que secuestra tu WhatsApp

El Instituto Nacional de Ciberseguridad, INCIBE, ha alertado de una campaña fraudulenta que utiliza un supuesto concurso de baile para conseguir acceso a cuentas de WhatsApp. El engaño llega, además, desde el perfil de una persona conocida, una de las razones por las que resulta especialmente convincente: parece el mensaje de un amigo o un familiar que únicamente pide un voto para ayudar a una niña.

La mecánica es bastante más seria de lo que aparenta. El enlace conduce a una página falsa que simula gestionar la votación y termina guiando a la víctima para vincular un dispositivo externo a su WhatsApp. El código que aparece durante el proceso no sirve para votar. Sirve para autorizar el acceso de los ciberdelincuentes.

Y hay un detalle particularmente incómodo: la víctima puede seguir utilizando WhatsApp con normalidad. No necesariamente aparece una pantalla de bloqueo ni desaparece la aplicación del teléfono. Mientras todo parece estar en su sitio, otra persona puede haber conseguido utilizar la cuenta desde un dispositivo vinculado.

El mensaje llega desde una persona conocida

El fraude comienza con una petición aparentemente inocente. Una persona guardada en la agenda escribe para pedir apoyo a un familiar o conocido que participa en un concurso de baile. En algunas de las versiones detectadas aparecen nombres como Sophie o Eliska, aunque INCIBE advierte de que los nombres, los premios y las direcciones web pueden cambiar.

El gancho también varía. Puede hablarse de una beca, una clase de baile o la posibilidad de actuar sobre un escenario. Nada particularmente extravagante. Precisamente ahí está la trampa: no parece el clásico mensaje mal escrito que promete una herencia de un príncipe remoto, sino un pequeño favor cotidiano enviado desde una cuenta auténtica que ya puede estar comprometida.

Que el mensaje proceda del número habitual de un amigo no significa, por tanto, que lo haya escrito esa persona. Los delincuentes explotan la confianza entre contactos y convierten cada cuenta comprometida en una nueva puerta de entrada.

El supuesto voto termina vinculando otro dispositivo

Al pulsar sobre el enlace, la víctima llega a una página diseñada para parecer una plataforma legítima de votación. Allí se solicita su número de teléfono y posteriormente aparece un código junto con instrucciones para introducirlo en WhatsApp mediante la función destinada a vincular dispositivos.

Ese paso es el decisivo. El código no confirma ningún voto ni participa en concurso alguno: permite añadir un dispositivo controlado por los atacantes a la cuenta de WhatsApp.

No hace falta, por tanto, que el delincuente tenga físicamente el móvil de la víctima. Está aprovechando una función legítima de WhatsApp, pensada para utilizar la misma cuenta desde otros dispositivos, pero induciendo al propietario a autorizarla mediante engaño.

La víctima puede no darse cuenta inmediatamente

Uno de los elementos más peligrosos de esta campaña es su discreción. Al tratarse de un dispositivo vinculado, el propietario puede continuar enviando mensajes y utilizando la aplicación. No siempre hay una señal aparatosa que revele la intrusión en la cuenta.

Mientras tanto, los atacantes pueden escribir a los contactos haciéndose pasar por la víctima, reenviar el falso concurso y tratar de ampliar la cadena. También pueden aprovechar la credibilidad de la cuenta para solicitar dinero o plantear otros engaños.

El fraude crece así de agenda en agenda. Una cuenta conocida genera confianza, esa confianza consigue una nueva vinculación y la nueva cuenta sirve para buscar más víctimas. No es una tecnología especialmente sofisticada; la sofisticación está en otra parte, en conseguir que el usuario haga voluntariamente lo que el atacante necesita.

Abrir el enlace no significa necesariamente haber perdido la cuenta

Hay una diferencia importante. Haber recibido el mensaje o incluso haber abierto la página fraudulenta no significa por sí solo que otra persona tenga acceso a WhatsApp.

El riesgo aumenta cuando se siguen las instrucciones de la web y se completa el proceso para vincular un dispositivo. Si únicamente se abrió el enlace, INCIBE recomienda cerrar la página, no continuar y comprobar los dispositivos asociados a la cuenta.

También conviene desconfiar de cualquier petición posterior de códigos, claves o información personal. La regla es sencilla: un código de verificación o vinculación no debe entregarse ni introducirse siguiendo instrucciones recibidas mediante un enlace sospechoso.

Cómo comprobar si alguien está utilizando tu WhatsApp

WhatsApp permite revisar qué ordenadores, navegadores o dispositivos están conectados a una cuenta. En Android, esta información aparece dentro de Dispositivos vinculados, accesible desde el menú de la aplicación; en iPhone se encuentra también en la configuración de WhatsApp.

Si aparece un dispositivo que el propietario no reconoce, INCIBE aconseja cerrar esa sesión cuanto antes. Cuando sea posible sin retrasar la desconexión, una captura de pantalla puede servir para conservar pruebas de lo ocurrido.

Después conviene avisar a los contactos mediante otra vía —una llamada, por ejemplo— de que pueden haber recibido mensajes fraudulentos. No tiene mucho sentido advertir del engaño reenviando precisamente el enlace malicioso.

La verificación en dos pasos añade otra barrera. WhatsApp permite configurar un PIN de seis dígitos y asociar un correo electrónico de recuperación. No impide que alguien intente engañar al usuario, pero reduce las posibilidades de que una maniobra similar termine comprometiendo la cuenta.

Qué hacer si ya han enviado mensajes desde tu cuenta

Si alguien está escribiendo desde la cuenta sin autorización, la prioridad es expulsar los dispositivos desconocidos y revisar después que no vuelvan a aparecer conexiones extrañas. INCIBE recomienda conservar las conversaciones, capturas de pantalla, direcciones utilizadas y cualquier otra prueba relacionada con el incidente.

Cuando persiste la actividad sospechosa o el usuario pierde el acceso a la cuenta, debe recurrirse al soporte oficial de WhatsApp. INCIBE mantiene también el teléfono 017, su Línea de Ayuda en Ciberseguridad, un servicio gratuito y confidencial para ciudadanos afectados por este tipo de incidentes.

Si el fraude ha terminado además en una transferencia o pago, la situación cambia de escala. La recomendación es contactar inmediatamente con la entidad bancaria para intentar detener o recuperar la operación y conservar las pruebas para presentar una denuncia ante las fuerzas y cuerpos de seguridad.

Mantener WhatsApp y el sistema operativo actualizados tampoco es un detalle menor, aunque en este caso el engaño se apoya fundamentalmente en la manipulación del usuario y no en una vulnerabilidad secreta de la aplicación.

El peligro está precisamente en que parece un favor normal

INCIBE ha clasificado esta campaña con un nivel de importancia alto. Su eficacia no depende de una historia extravagante, sino de algo mucho más cotidiano: recibir un mensaje de alguien conocido, leer una petición amable y pensar que votar cuesta apenas unos segundos.

El falso concurso de baile aprovecha ese gesto casi automático para conseguir algo completamente distinto. Por eso, ante peticiones inesperadas que incluyan enlaces, códigos o instrucciones para configurar WhatsApp, confirmar el mensaje por otro canal puede marcar la diferencia entre ayudar a un amigo y terminar prestando la propia cuenta a un desconocido.