Robo de cuentas de WhatsApp: cómo los delincuentes consiguen el control de una cuenta y qué hacer para recuperarla

La pérdida de acceso a una cuenta de WhatsApp puede convertirse en el inicio de una estafa contra familiares, amigos y compañeros de trabajo. Una vez que consiguen el control del perfil, los delincuentes pueden suplantar la identidad del titular y utilizar sus conversaciones y contactos para solicitar transferencias de dinero.

Aunque algunos usuarios asocian estos episodios con el robo de información o la intervención de sus teléfonos, no siempre es necesario tener el dispositivo de la víctima en las manos. Los atacantes pueden recurrir a engaños para conseguir códigos de verificación, aprovechar sesiones que quedaron abiertas en otros equipos o intentar acceder a los mecanismos vinculados con la recuperación de la cuenta.

En el Perú estos tipos de ataques cibernéticos están en aumento. Tal es el caso de Joaquín León quien perdió el acceso a su cuenta de WhatsApp luego de que un tercero tomara el control de su número y comenzara a contactar a personas de su entorno. En la primera ocasión, el atacante escribió a cinco contactos haciéndose pasar por él y les pidió S/ 912 con el argumento de que necesitaba enviar un paquete y había alcanzado el límite de sus transferencias por una de las billeteras digitales.

León contó a El Comercio que descubrió lo ocurrido al despertar y comprobar que los mensajes que recibía no podían ser reproducidos, mientras que los que intentaba enviar quedaban con un solo check. Al revisar el teléfono de la persona a la que intentaba contactar, comprobó que alguien estaba escribiendo desde su cuenta y solicitando dinero en su nombre.

Horas después, su cuenta quedó inhabilitada. León intentó solucionar el problema cambiando de número dentro de la misma operadora, pero el episodio volvió a ocurrir días después. Posteriormente cambió de operadora y de número; sin embargo, hasta ahora no ha podido volver a abrir WhatsApp desde su equipo. Según relató, los representantes con los que se comunicó tampoco han podido determinar con precisión si el problema está relacionado con el dispositivo, el número, la conexión o algún otro factor.

El caso de León no es el único episodio cercano registrado durante la elaboración de esta investigación. Un equipo periodístico de El Comercio fue testigo directo de un intento de tomar el control de una cuenta de WhatsApp durante la noche del 20 de septiembre. En ese caso, la aplicación se cerró de manera repentina y apareció un aviso que indicaba que se intentaba iniciar sesión desde otro dispositivo.

En cuestión de segundos llegó al teléfono un mensaje SMS con un código de seis dígitos. Al ingresar ese código desde el propio equipo, fue posible recuperar la cuenta de manera inmediata. Como medida preventiva, se activó la verificación en dos pasos y se alertó a contactos frecuentes sobre lo ocurrido. De no haber tenido el teléfono a la mano en ese instante, el resultado pudo haber sido distinto.

Estos casos muestran que la pérdida de acceso a WhatsApp no siempre implica que un delincuente haya tenido físicamente el celular de la víctima.

Los atacantes pueden recurrir a engaños para conseguir códigos de verificación, aprovechar sesiones que quedaron abiertas en otros equipos o intentar acceder a los mecanismos vinculados con la recuperación de la cuenta.

En conversación con El Comercio, Erick Iriarte, abogado especialista en ciberseguridad, derecho digital, políticas públicas de internet y protección de datos, explicó las principales vías por las que una persona puede perder el control de su cuenta y las medidas que debe adoptar para reducir el riesgo.

Uno de los mecanismos más sencillos consiste en convencer a la propia víctima de entregar el código que permite verificar su número telefónico.

Iriarte explicó que un delincuente puede hacerse pasar por personal de WhatsApp y comunicarle al usuario que existe un supuesto problema con su cuenta o que se está realizando una configuración. A partir de ese engaño, puede solicitarle el código que llegará a su teléfono.

“Te dicen: ‘oye, soy WhatsApp, soy el área técnica de WhatsApp, estamos haciendo unas configuraciones, necesitamos que nos des el código que te va a llegar’”, relató.

El especialista calificó esta modalidad como una vulnerabilidad de ingeniería social, ya que el atacante no necesariamente vulnera técnicamente el dispositivo, sino que consigue que la propia persona le entregue la información que necesita para intentar tomar el control.

Por ello, el código de verificación debe mantenerse bajo control exclusivo del titular. Iriarte remarcó que una plataforma como WhatsApp no debería requerir que un usuario entregue ese código mediante un mensaje recibido dentro de la propia aplicación.

El código de verificación no necesariamente tiene que ser entregado de manera voluntaria para que exista un riesgo. Según Iriarte, si un atacante ya consiguió controlar un correo electrónico que está asociado al proceso de recuperación o verificación de la cuenta, podría encontrar otra vía para intentar acceder.

“Si ha tomado control del correo y WhatsApp está configurado para que el código de verificación se mande por correo, ahí tienes una manera de, sin tener control del celular, poder llegar a tener control de la verificación”, explicó.

El abogado también mencionó la posibilidad de que un tercero haya conseguido acceso previo al dispositivo o haya realizado algún tipo de clonación o suplantación vinculada al número. En estos casos, la víctima puede terminar desconectada de su propio equipo mientras el atacante intenta registrar la cuenta en otro dispositivo.

Sin embargo, Iriarte hizo una precisión sobre lo que suele entenderse como “clonación”. No necesariamente significa que dos teléfonos permanezcan funcionando como un espejo de manera simultánea. En determinados escenarios, el atacante busca activar el número en otro dispositivo y desplazar al usuario original.

Además, recordó que aplicaciones como WhatsApp pueden funcionar mediante una conexión a internet sin que el equipo tenga necesariamente una línea telefónica activa. Por ejemplo, un dispositivo puede continuar conectado a una red Wi-Fi y utilizar una aplicación de mensajería.

Otra de las vías identificadas por el especialista es el acceso a una sesión de WhatsApp Web o a otro dispositivo que permanezca vinculado a la cuenta. Esto puede ocurrir cuando una persona utiliza una computadora ajena, deja abierta su sesión y pierde posteriormente el control de ese equipo.

El riesgo también existe si el usuario deja vinculado un teléfono antiguo que ya no utiliza. En esos casos, no necesariamente se trata de un nuevo registro de la cuenta, sino de una sesión que continúa abierta.

Iriarte puso como ejemplo a una persona que utiliza WhatsApp Web durante un viaje o en una computadora y posteriormente olvida cerrar la sesión. Lo mismo puede ocurrir con un teléfono anterior u otro equipo que permanezca vinculado a la cuenta.

“Fuiste de viaje, necesitabas un WhatsApp web, lo conectaste a una computadora y te olvidaste de cerrar la sesión, allí aquel dispositivo aún tendría acceso a tu cuenta”, explicó.

Por ello, el especialista recomienda revisar periódicamente los dispositivos vinculados a la cuenta y cerrar aquellas sesiones que ya no se utilizan o que el usuario no reconoce.

El duplicado de una tarjeta SIM es otra de las modalidades que pueden facilitar el acceso a una cuenta. Si un delincuente consigue que una operadora active otro chip con el número de la víctima, podría recibir los mensajes o las llamadas destinados a esa línea y utilizarlos para intentar verificar la cuenta.

Iriarte explicó que la activación del número en otro dispositivo puede provocar que el teléfono original pierda el acceso a la línea o a la sesión correspondiente. Precisó que esto no significa necesariamente que se cree una copia idéntica de toda la actividad del teléfono.

“No es que hacen como un espejo, sino que asumen o hacen una suplantación de ti y tu dispositivo queda desconectado de la línea telefónica”, indicó a El Comercio.

El abogado también recordó que aplicaciones como WhatsApp pueden funcionar mediante una conexión a internet, incluso cuando el dispositivo no tiene una línea telefónica activa. Por ello, mantener el acceso a una red wifi no significa que el usuario conserve el control de su número o de su cuenta.

Ante una pérdida inesperada de señal telefónica, la aparición de avisos de registro en otro dispositivo o la imposibilidad de acceder a la cuenta, conviene contactar con la operadora para verificar si hubo algún cambio no autorizado en la línea. Sin embargo, estos indicios deben evaluarse junto con otras señales, pues no prueban por sí solos que haya ocurrido un robo de cuenta.

Las llamadas y videollamadas también pueden formar parte de un engaño. En algunos casos, el delincuente intenta convencer a la víctima de que active la función de compartir pantalla con el argumento de ayudarla a resolver un problema o verificar una operación.

Si durante la transmisión aparece una notificación con un código de seguridad, el interlocutor podría verlo en tiempo real. De esa manera, puede obtener información necesaria para intentar registrar la cuenta en otro dispositivo sin que la víctima le dicte directamente el código.

“Si tú compartes tu pantalla, alguien puede tener acceso a lo que tú estás haciendo y puede ser que de pronto te llegue el código de verificación y lo puedan ver, adueñándose al instante de esa información sensible”, señaló.

La precaución también se extiende a otras aplicaciones. Si el usuario muestra notificaciones, contraseñas o datos de acceso a servicios financieros durante una llamada, podría exponer información que facilite otros intentos de fraude.

Si una persona descubre que su cuenta fue registrada en otro dispositivo o que ya no puede acceder a ella, el primer paso es intentar recuperar el acceso desde la propia aplicación. Según Iriarte, este procedimiento permite resolver una parte importante de los casos.

El abogado señaló que los usuarios también pueden reportar lo ocurrido a la plataforma. Sin embargo, advirtió que obtener información sobre quién accedió a una cuenta o desde dónde se realizó una conexión puede ser más complejo.

“Lo primero que debe hacerse es tratar de recuperar la cuenta desde la misma aplicación de WhatsApp. Y, de hecho, la mayoría de los casos se logra recuperar de esa manera”, indicó en entrevista a El Comercio.

Si se sospecha que la cuenta está siendo utilizada para pedir dinero, también es importante alertar cuanto antes a familiares, amigos y compañeros de trabajo por otros medios. Una llamada telefónica, un mensaje de texto o una publicación en otra red social pueden servir para advertir que los mensajes enviados desde el perfil comprometido no son confiables.

Entre las principales recomendaciones del especialista figura activar la verificación en dos pasos de WhatsApp. Esta función añade un PIN que se solicita como una comprobación adicional al registrar la cuenta, por lo que no debe confundirse con el código de verificación que llega por SMS o llamada.

También aconsejó mantener el control de los dispositivos vinculados, utilizar contraseñas seguras en las cuentas asociadas y cerrar las sesiones de WhatsApp Web que ya no se necesiten.

No obstante, Iriarte remarcó que las medidas tecnológicas no bastan si el usuario termina convencido de entregar sus datos a un desconocido. Para el abogado, una parte importante de la prevención consiste en reconocer las señales de engaño y desconfiar de los mensajes que buscan provocar una reacción inmediata.

“El riesgo no es solamente tecnológico, la mayoría de los casos puedes verificar, activar el sistema de doble verificación, puedes tener ‘passwords’ fuertes, tenerlo solamente en un dispositivo bajo control, pero muchas veces la caída es porque al usuario lo engañan”, manifestó a El Comercio.

El especialista añadió que la formación en ciberseguridad debe comenzar desde edades tempranas y formar parte de los esfuerzos de educación digital. A su juicio, los usuarios necesitan aprender a proteger sus cuentas y reconocer las prácticas de suplantación que pueden afectarlos en distintas plataformas.