El ataque puede utilizar una cuenta legítima sin que el titular pulse enlaces ni vea los mensajes fraudulentos.
La Organización de Consumidores y Usuarios (OCU) ha alertado este 8 de septiembre de 2026 de una nueva modalidad de estafa mediante WhatsApp. Los delincuentes pueden utilizar una cuenta real para pedir dinero a familiares y amigos del titular. El afectado puede seguir usando la aplicación sin advertir los mensajes fraudulentos enviados desde su propio perfil. La alerta llega después de los casos investigados desde mayo y analizados por INCIBE-CERT.
El ataque puede producirse sin que la víctima pulse un enlace
INCIBE-CERT documentó el 28 de agosto varios incidentes detectados inicialmente en Italia durante mayo de 2026. Los casos analizados afectaban a modelos comprendidos entre el iPhone 8 y el iPhone 14. Todos utilizaban alguna versión de iOS 16. A diferencia de otras estafas digitales, las víctimas no habían pulsado enlaces ni autorizado previamente el emparejamiento de otro dispositivo.
La empresa de informática forense Forenser relacionó los incidentes con una posible combinación de dos vulnerabilidades, CVE-2025-43300 y CVE-2025-55177. INCIBE precisa que esta cadena sigue siendo una hipótesis técnica para explicar los casos observados. Tras acceder a la cuenta, los delincuentes pueden escribir a contactos recientes y solicitar transferencias urgentes. El receptor ve el número y la conversación habituales, lo que aumenta la credibilidad del engaño.
Los mensajes pueden desaparecer para el dueño de la cuenta de WhatsApp
Uno de los elementos que dificulta descubrir el fraude es que el titular puede continuar utilizando WhatsApp aparentemente con normalidad. Según la OCU, los atacantes pueden eliminar de su vista los mensajes enviados utilizando la función para borrarlos únicamente en ese dispositivo. Los familiares o amigos sí reciben la petición de dinero y pueden pensar que procede realmente del propietario de la cuenta.
Esta característica diferencia el fraude de campañas como el reciente SMS falso de la Seguridad Social. En aquel caso, el engaño conducía a una página fraudulenta. Aquí, el mensaje puede aparecer directamente dentro del chat habitual con una persona conocida. La OCU cita excusas como un pago urgente, un envío contra reembolso o la necesidad inmediata de comprar otro teléfono.
Actualizar el iPhone y WhatsApp corrige las vulnerabilidades conocidas
Las vulnerabilidades relacionadas con esta investigación no son nuevas y ya habían sido corregidas. Apple solucionó CVE-2025-43300 en iOS 16.7.12 y otras versiones posteriores. INCIBE la clasifica como crítica y confirma que las versiones anteriores permanecían afectadas. WhatsApp corrigió CVE-2025-55177 desde la versión 2.25.21.73 de su aplicación para iOS.
Por este motivo, mantener el sistema operativo y WhatsApp actualizados es una de las principales medidas preventivas. Revisar los dispositivos vinculados también resulta recomendable, aunque no garantiza detectar este ataque. En los casos estudiados por Forenser no aparecían dispositivos desconocidos asociados a las cuentas comprometidas.
Qué hacer si tus contactos reciben peticiones de dinero desde tu WhatsApp
Si familiares o amigos avisan de mensajes que el titular no reconoce, la OCU recomienda actuar inmediatamente. La prioridad es evitar nuevas transferencias, recuperar el control de la cuenta y conservar las pruebas del fraude. Las principales medidas recomendadas son:
- Avisar a los contactos mediante una llamada, SMS o correo electrónico.
- Revisar los dispositivos vinculados y cerrar cualquier sesión desconocida.
- Desinstalar y volver a instalar WhatsApp para registrar nuevamente la cuenta.
- Activar la verificación en dos pasos dentro de WhatsApp.
- Actualizar iOS y la aplicación a las versiones más recientes.
- Guardar capturas, mensajes y justificantes de cualquier transferencia.
- Denunciar los hechos ante la Policía Nacional o la Guardia Civil.
Si algún contacto ya ha enviado dinero, debe avisar también a su entidad bancaria cuanto antes. Puede solicitar medidas para intentar recuperar los fondos y aportar la denuncia correspondiente. INCIBE mantiene además su servicio gratuito 017 para consultas relacionadas con ciberseguridad. La información técnica sobre estos incidentes está disponible en INCIBE-CERT.
Antes de realizar una transferencia solicitada por WhatsApp, incluso desde una cuenta conocida, resulta recomendable confirmar la petición mediante una llamada o personalmente. El propio número de teléfono ya no permite descartar por sí solo una posible suplantación.
