La Policía alerta de la estafa de Eliska para acceder a tu WhatsApp

La Policía Nacional ha alertado este lunes, 26 de octubre, de una estafa que circula por WhatsApp y utiliza una supuesta votación infantil para acceder a las cuentas de los usuarios. El engaño comienza con un mensaje que pide votar por Eliska, una niña que supuestamente participa en un concurso de baile. Lo que parece un favor inocente puede acabar permitiendo que los delincuentes se hagan pasar por la víctima y soliciten dinero a sus familiares y amigos.

El fraude consiste en conducir al usuario hasta una página web falsa que solicita su número de teléfono y le pide completar un proceso de verificación. El código no sirve para votar: permite vincular otro dispositivo a su cuenta de WhatsApp. Si la víctima sigue las instrucciones, los estafadores pueden utilizar su cuenta sin necesidad de quitarle el acceso a la aplicación.

La Jefatura Superior de Policía de La Rioja ha difundido una advertencia sobre esta modalidad de ciberdelincuencia, que ya había sido identificada por el Instituto Nacional de Ciberseguridad (Incibe). El organismo publicó el 21 de octubre un aviso de importancia alta por el uso fraudulento de supuestos concursos de baile para conseguir accesos no autorizados a WhatsApp.

El peligro está precisamente en la apariencia de normalidad. El mensaje puede llegar desde el número de un amigo, un familiar o un compañero de trabajo. No hace falta que el remitente sea un desconocido: los delincuentes aprovechan cuentas previamente comprometidas para extender el engaño entre personas que confían unas en otras.

El mensaje de Eliska que utiliza la estafa de WhatsApp

La campaña comienza con una petición breve: «¿Podrías votar por Eliska?». A continuación, el supuesto remitente explica que la niña es hija de unos amigos y que necesita votos para ganar una clase de baile gratuita.

El texto incluye un enlace a una página que aparenta organizar un concurso infantil. En algunas versiones aparecen fotografías de dos participantes, Eliska y Sofie, y referencias a una academia de ballet de Praga. La presentación busca dar credibilidad a la votación y evitar que el usuario sospeche.

La estrategia funciona porque el mensaje llega desde una cuenta conocida. Es posible que su verdadero propietario no sepa que alguien está utilizando su WhatsApp para enviar solicitudes fraudulentas.

También se han detectado variantes que utilizan el nombre de Sophie y prometen otros premios, como una beca de formación. Los investigadores advierten de que los nombres, las direcciones de las páginas y las recompensas pueden cambiar. El mecanismo es el mismo: conseguir que alguien siga unas instrucciones que terminan autorizando el acceso a su cuenta.

Cómo consiguen los delincuentes entrar en WhatsApp

El momento decisivo llega después de acceder a la supuesta votación. La página solicita un número de teléfono y muestra un código acompañado de instrucciones para introducirlo en WhatsApp mediante la función de vinculación de dispositivos.

Esa función es legítima. Permite utilizar una misma cuenta desde un ordenador u otros dispositivos compatibles. Los estafadores la aprovechan para que la propia víctima autorice, sin saberlo, la conexión de un equipo que ellos controlan.

No se está confirmando ningún voto ni participando en un concurso. Se está abriendo una sesión de WhatsApp que permite a terceros utilizar la cuenta.

El usuario puede seguir utilizando su teléfono con normalidad

Esta característica hace especialmente peligroso el fraude. A diferencia de otros ataques que bloquean inmediatamente el acceso, en esta modalidad la víctima puede continuar enviando mensajes y consultando sus conversaciones sin notar nada extraño.

Mientras tanto, los delincuentes pueden utilizar la sesión vinculada para comunicarse con sus contactos, hacerse pasar por ella y solicitar transferencias de dinero mediante falsas urgencias.

El Incibe explica que mantener el acceso a WhatsApp no garantiza que la cuenta esté protegida. Una sesión desconocida puede permanecer activa sin que el propietario sea consciente de ello.

Conviene distinguir, no obstante, entre abrir una página fraudulenta y autorizar realmente el acceso. Entrar en el enlace o facilitar únicamente el número de teléfono no implica, por sí solo, que los delincuentes hayan conseguido vincular un dispositivo. El riesgo principal aparece cuando se completan las instrucciones de emparejamiento.

Qué hacer si has recibido el mensaje o has votado por Eliska

La Policía Nacional recomienda desconfiar de las solicitudes inesperadas para participar en concursos, especialmente cuando incluyen enlaces y requieren facilitar información personal. Aunque procedan de alguien conocido, lo prudente es confirmar la petición mediante una llamada telefónica.

Si has recibido el mensaje, no debes seguir el enlace ni reenviarlo. Puedes conservar una captura de pantalla para comunicar el intento de fraude y avisar al contacto que aparentemente lo ha enviado por otra vía.

Si has accedido a la página y facilitado tu número, pero no has completado la vinculación, cierra la web y revisa las sesiones de WhatsApp por precaución.

Si has seguido todas las instrucciones, es importante actuar cuanto antes.

Cómo desconectar a los estafadores de tu cuenta

En un teléfono Android, abre WhatsApp, pulsa el menú de los tres puntos y entra en Dispositivos vinculados. En un iPhone, accede a Configuración > Dispositivos vinculados.

Revisa los equipos que aparecen conectados. Si encuentras alguno que no reconoces, selecciónalo y pulsa la opción para cerrar la sesión. Si es posible hacerlo sin retrasar la desconexión, conserva antes una captura de su información.

Después, activa la verificación en dos pasos desde los ajustes de WhatsApp, dentro de Cuenta. Establece un PIN y añade una dirección de correo electrónico de recuperación. Esta medida mejora la protección, aunque no sustituye la necesidad de cerrar las sesiones desconocidas.

También es recomendable mantener actualizados WhatsApp y el sistema operativo. Si continúan apareciendo conexiones extrañas o mensajes que no has enviado, contacta con el soporte oficial de la aplicación.

Qué hacer si los estafadores han pedido dinero a tus contactos

Una vez obtenido el acceso, los ciberdelincuentes pueden utilizar la identidad de la víctima para solicitar dinero a sus conocidos. Suelen aprovechar situaciones de urgencia que buscan una respuesta rápida, antes de que el destinatario compruebe quién está escribiendo realmente.

Por eso, si sospechas que alguien ha utilizado tu cuenta, avisa inmediatamente a tus familiares, amigos y demás contactos. Hazlo mediante una llamada, otra aplicación o cualquier canal que no dependa de la cuenta comprometida. Pídeles que no atiendan solicitudes de dinero ni sigan enlaces enviados en tu nombre.

Si alguien ya ha realizado una transferencia, debe comunicarse cuanto antes con su banco para intentar detener o recuperar el pago. La devolución no está garantizada, pero actuar con rapidez puede aumentar las posibilidades de evitar la pérdida económica.

La Policía Nacional aconseja presentar una denuncia y aportar todas las pruebas disponibles, incluidas capturas de pantalla, conversaciones, justificantes bancarios y direcciones de las páginas utilizadas. En La Rioja, los afectados pueden acudir a la Jefatura Superior de Policía.

El Incibe también dispone del teléfono gratuito y confidencial 017, donde ofrece orientación sobre fraudes digitales y problemas de seguridad.

La confianza entre contactos, el punto débil del fraude

La estafa de Eliska no necesita vulnerar técnicamente los sistemas de seguridad de WhatsApp. Su principal herramienta es conseguir que una persona autorice una conexión creyendo que está haciendo algo completamente distinto.

Los delincuentes utilizan una función normal de la aplicación y la confianza que existe entre los usuarios. Primero acceden a una cuenta, después contactan con sus conocidos y, si alguno sigue las instrucciones, pueden repetir la operación.

La advertencia policial también afecta a quienes reciben solicitudes de dinero desde números familiares. Conocer al remitente no demuestra que sea él quien está escribiendo. Una llamada para confirmar una transferencia puede evitar una estafa que, de otro modo, resultaría difícil de detectar.

El nombre de Eliska es solo el reclamo de esta campaña. Mañana puede ser otro concurso, otro premio u otra historia. Lo que no cambia es el riesgo de introducir códigos o autorizar dispositivos sin comprobar para qué sirven realmente.