Le hackearon WhatsApp a mi madre: cómo una estafa bien preparada terminó secuestrando una cuenta
Daniel Bonina
5 min de lectura
Las campañas de robo de cuentas de WhatsApp no son nuevas. Sin embargo, siguen funcionando porque los delincuentes combinan ingeniería social, información real de sus víctimas y una sensación de urgencia que lleva a muchas personas a actuar sin detenerse a verificar lo que está ocurriendo.
Hace unos días le tocó a mi madre.
Todo comenzó con un mensaje de WhatsApp que aparentemente provenía de “Andreani”. El motivo del contacto parecía completamente legítimo: le informaban que tenían que entregarle su nuevo DNI.
Lo preocupante es que ella efectivamente había realizado el trámite para renovar su documento pocos días antes.
Ese detalle fue clave. El mensaje no era un intento genérico de estafa. Los delincuentes conocían información que coincidía con una situación real de la víctima. Esto genera una pregunta inevitable: ¿cómo obtuvieron ese dato?
No puedo afirmar el origen de la información (RENAPER?), pero resulta inquietante que supieran exactamente qué trámite estaba esperando. Ya sea por filtraciones, bases de datos comprometidas o algún otro mecanismo de obtención de información, los atacantes contaban con un dato que les permitió construir una historia creíble.
La trampa del código
Luego de una breve conversación, llegó el momento decisivo.
Le informaron que iban a enviarle un supuesto código relacionado con la entrega del documento y que debía proporcionárselo para validar su identidad.
Ese código no tenía nada que ver con Andreani.
Era el código de verificación de WhatsApp.
Al compartirlo, los atacantes pudieron registrar la cuenta en otro dispositivo y tomar el control de ella casi de inmediato.
En cuestión de minutos mi madre quedó desconectada de su propia cuenta y los delincuentes comenzaron a utilizarla para contactar a familiares, amigos y conocidos.
El verdadero objetivo: el dinero
Una vez que los atacantes obtienen una cuenta legítima, aprovechan algo extremadamente valioso: la confianza.
Los contactos no reciben mensajes de un número desconocido. Los reciben de alguien que conocen.
Por ese motivo, muchas personas bajan la guardia.
En este caso comenzaron a enviar distintos tipos de mensajes:
- Solicitudes de transferencias por supuestas emergencias.
- Pedidos de ayuda económica urgente.
- Ofertas de venta de dólares a precios atractivos.
- Conversaciones destinadas a generar confianza antes de solicitar dinero.
Uno de los contactos estuvo muy cerca de concretar una operación.
Los delincuentes mantuvieron una conversación durante varios minutos, respondieron preguntas y construyeron una historia creíble. La víctima ya estaba convencida de que estaba hablando con mi madre y estaba por transferir dinero para comprar dólares.
Afortunadamente, el banco detectó que la cuenta receptora tenía antecedentes sospechosos y bloqueó la transferencia antes de que pudiera completarse.
De no haber ocurrido eso, probablemente el dinero se habría perdido.
Recuperar la cuenta fue una batalla
Muchas personas creen que recuperar una cuenta de WhatsApp es simplemente cuestión de solicitar un nuevo código.
En la práctica puede ser mucho más complicado.
Mientras nosotros intentábamos recuperar el acceso, los delincuentes seguían solicitando códigos de registro de forma repetida.
Esto provocó que WhatsApp activara sus mecanismos de protección y comenzara a limitar temporalmente el envío de nuevos códigos.
Cada intento fallido aumentaba los tiempos de espera.
Durante aproximadamente 20 horas no pudimos recibir el SMS de recuperación. Cada vez que intentábamos nuevamente aparecían mensajes indicando que había demasiados intentos recientes y que era necesario esperar.
Recién después de muchas horas logramos recibir el código legítimo y recuperar el control de la cuenta.
Los delincuentes no se rindieron
Lo más llamativo fue lo que ocurrió después.
Una vez recuperada la cuenta, pensamos que el problema había terminado.
Nos equivocamos.
Los atacantes volvieron a utilizar el mismo número falso asociado a la supuesta empresa de mensajería y comenzaron a contactar nuevamente a algunas de las personas con las que habían hablado previamente.
Esta vez el objetivo era diferente.
Intentaban convencerlas de compartir sus propios códigos de verificación para secuestrar también sus cuentas de WhatsApp.
Es decir, utilizaban el éxito inicial para expandir el ataque a nuevas víctimas.
Qué podemos aprender de este caso
Hay varias lecciones importantes que surgen de esta experiencia.
- Ninguna empresa necesita tu código de WhatsApp
Si alguien te pide un código que acabás de recibir por SMS, asumí que se trata de una estafa.
Las empresas de correo, los bancos, los organismos públicos y los servicios de atención al cliente no necesitan los códigos de verificación de tu cuenta de WhatsApp.
- La información real no garantiza legitimidad
Muchos usuarios creen que si la persona conoce datos reales entonces debe ser quien dice ser.
Eso es falso.
Los delincuentes suelen trabajar con información obtenida de filtraciones, bases de datos robadas o datos públicos.
Que conozcan tu nombre, tu teléfono o un trámite reciente no significa que sean legítimos.
- Desconfiá de la urgencia
La mayoría de las estafas buscan que la víctima actúe rápido.
Cuando alguien insiste en que hagas algo “ahora mismo”, es una buena señal para detenerte y verificar la situación por otro canal.
- Confirmá siempre por fuera de WhatsApp
Si un familiar o amigo te pide dinero, llamalo por teléfono.
Si una empresa te contacta, buscá el número oficial y comunicate directamente.
Nunca tomes decisiones basándote únicamente en una conversación de WhatsApp.
- Activá la verificación en dos pasos
La verificación en dos pasos de WhatsApp agrega un PIN adicional que dificulta enormemente este tipo de secuestros de cuentas.
No es una solución perfecta, pero agrega una capa de protección muy importante.
Conclusión
Este incidente podría haber terminado con varias personas estafadas económicamente y con más cuentas comprometidas.
La técnica utilizada no involucró malware, exploits avanzados ni herramientas sofisticadas. Se basó únicamente en manipular a una persona para que entregara un código.
Y ahí está la principal enseñanza: en muchas ocasiones, el eslabón más atacado no es la tecnología sino la confianza.
Por eso vale la pena repetirlo una vez más:
Los códigos de verificación son personales e intransferibles. No deben compartirse con nadie, bajo ninguna circunstancia.
Ni con una empresa de correo.
Ni con un banco.
Ni con soporte técnico.
Ni con alguien que parece estar ayudándote.
Ni siquiera con la almohada
Daniel Bonina
www.danielbonina.com
Si vas a copiar este contenido en tu pagina web, por favor citá la fuente agregando un link a esta página.
