Es casi surrealista imaginarse estar hablando con un amigo, un familiar o una persona allegada por mensajes de WhatsApp y que de repente pida una transferencia urgente. “Por favor, mándame 1.434 euros a esta cuenta, los necesito”, aseguran, en la misma conversación, con la misma foto de perfil, por lo que nada parece extraño ni fuera de lugar, ¿no? Pero en realidad sí lo es: se trata de una nueva y sofisticada modalidad de fraude informático que ha puesto en alerta a las autoridades en España.
La Policía Nacional ha detectado un aumento significativo de casos donde ciberdelincuentes logran operar desde la cuenta de mensajería de una víctima sin que esta pierda el acceso ni perciba anomalías en su teléfono. A diferencia del secuestro de cuentas tradicional, donde el usuario queda expulsado de la aplicación tras la interceptación de un código SMS, este método permite al atacante enviar peticiones de dinero urgentes a contactos de la agenda utilizando el número y la foto de perfil reales de la persona afectada.
El Instituto Nacional de Ciberseguridad ha identificado que esta intromisión no requiere que el usuario haga clic en enlaces maliciosos ni descargue archivos sospechosos. La brecha de seguridad se explota de forma remota en dispositivos con versiones antiguas del sistema operativo iOS que carecen de las últimas soluciones de protección del fabricante. Al no interrumpirse el servicio habitual, la persona suplantada suele enterarse del incidente únicamente cuando familiares o amigos le advierten por una vía alternativa sobre solicitudes de transferencias que rondan los 1.000 euros.
La mecánica del ataque: suplantación imperceptible e ingeniería social
El procedimiento de invasión arranca habitualmente con un mensaje de ingeniería social o un enlace malicioso que incita a la víctima a interactuar con una interfaz clonada. A través de esta interacción engañosa, los atacantes logran autorizar un nuevo dispositivo en la cuenta mediante el protocolo multidispositivo de la plataforma de mensajería. Al completarse el enlace sin forzar la desconexión del teléfono móvil original, los ciberdelincuentes operan desde la sombra sin que el usuario perciba pérdidas de servicio o anomalías evidentes.
Una vez establecido el acceso, los intrusos utilizan el histórico de conversaciones y los patrones de comunicación de la víctima para suplantar su identidad con allegados y grupos de trabajo. Desde la cuenta comprometida se suelen emitir peticiones urgentes de transferencias económicas o envío de códigos de verificación. Como la cuenta de la víctima sigue activa y operativa en su terminal, las respuestas de los contactos pueden ser interceptadas o borradas remotamente por los atacantes, lo que dificulta que el usuario advierta la manipulación de su perfil a tiempo.
Medidas de verificación y pautas de protección activa
Frente a la invisibilidad de esta modalidad de fraude, las fuerzas de seguridad y las entidades especializadas en ciberseguridad instan a los usuarios a realizar auditorías periódicas dentro de la propia aplicación. Los avisos de ciberseguridad para usuarios de iPhone remarcan la necesidad de verificar las sesiones abiertas para identificar accesos no autorizados.
Para blindar la cuenta frente a este y otros vectores de ataque en entornos móviles, se recomienda incorporar los siguientes hábitos de seguridad:
- Revisión de dispositivos vinculados: Acceder con frecuencia a los ajustes de la aplicación y revisar la lista de navegadores o equipos autorizados. Ante cualquier sesión no reconocida o sospechosa, debe cerrarse de inmediato desde el propio menú.
- Activación de la verificación en dos pasos: Configurar un PIN de seguridad independiente y asociar un correo electrónico de recuperación para impedir la vinculación ilegítima de nuevos terminales.
- Protección biométrica de la aplicación: Activar la autenticación mediante Face ID o Touch ID para abrir la aplicación, añadiendo una capa extra de protección física al dispositivo.
- Bloqueo de enlaces desconocidos: Evitar pulsar en enlaces recibidos por SMS o mensajería que soliciten escanear códigos QR, actualizar aplicaciones fuera de las tiendas oficiales o verificar credenciales de acceso.
- Desconfianza ante solicitudes económicas: Confirmar siempre mediante llamada telefónica convencional cualquier petición de dinero, bizum o datos confidenciales proveniente de un familiar o conocido.