“¡Hola! Sophie, la hija de mis amigos, está en un concurso donde el premio incluye una beca y un lugar en el escenario. ¿Me ayudas con el voto? (sic).” El fraude comienza con un WhatsApp como este en el que se pide el voto para que la hija de un familiar o conocido gane un concurso de baile. En el mensaje, se incluye un enlace a través del cual la víctima debe, supuestamente, registrar su voto.
Sin embargo, este mensaje que pide tu voto para ganar un concurso es una estafa. Así lo advierten desde el Instituto Nacional de Ciberseguridad (INCIBE) y la cuenta de X de la Guardia Civil. Los ciberdelincuentes se aprovechan de la confianza de la víctima para que pulse en el enlace y, en realidad, apoderarse de sus datos personales.
El falso concurso de baile en WhatsApp que busca apoderarse de tus datos personales
Desde el Instituto Nacional de Ciberseguridad (INCIBE) explican que la estafa comienza con un mensaje de WhatsApp en el que se solicita al usuario votar por un familiar o conocido en un supuesto concurso de baile. “El mensaje indica que el premio incluye una beca y un lugar en el escenario. Este reclamo busca que la persona destinataria acceda al enlace confiando en quien aparentemente le pide ayuda. Los nombres, los premios y las direcciones utilizadas pueden variar”, señala el organismo.
El modus operandi es el siguiente: en enlace del mensaje redirige a una página web fraudulenta que simula gestionar la votación. Allí se le pide su número de teléfono y se le muestra un código acompañado de instrucciones para introducirlo en WhatsApp mediante la opción de vincular un dispositivo con el número de teléfono. “Ese código no sirve para registrar un voto: autoriza la vinculación de un dispositivo externo a la cuenta”, advierten desde INCIBE.
Mediante este método, los ciberdelincuentes abusan de una funcionalidad legítima de WhatsApp para tomar el control de la cuenta desde un dispositivo remoto. Cabe destacar que conservar el acceso a la aplicación en el teléfono móvil no excluye la presencia de terceros, ya que los atacantes pueden operar de manera paralela desde la sesión vinculada.
Tras concretar el enlace, suplantan la identidad de la víctima para solicitar dinero a sus contactos o difundir el mismo reclamo fraudulento, facilitando la propagación del ataque mediante técnicas de ingeniería social.
¿Han vinculado un dispositivo no autorizado a tu cuenta y están enviando mensajes en tu nombre? Te explicamos cómo solucionarlo siguiendo las pautas de seguridad de INCIBE.
- Cierra las sesiones que no reconozcas. En Android, abre WhatsApp y entra en el menú de los tres puntos > Dispositivos vinculados. En iPhone, accede a Configuración > Dispositivos vinculados. Selecciona cada dispositivo desconocido y pulsa «Cerrar sesión». Si puedes hacerlo sin retrasar la desconexión, guarda antes una captura de la información de esa sesión.
- Avisa a tus contactos por otro canal. Explica que pueden haber recibido mensajes que no has enviado y que no deben abrir el enlace, seguir sus instrucciones ni realizar pagos. No reenvíes el enlace fraudulento para advertirles.
- Conserva las pruebas y reporta el fraude. Guarda las conversaciones, las capturas, la dirección de la página y las fechas. Pide a tus contactos que conserven los mensajes recibidos y comunícaselo a INCIBE a través del servicio de reporte de fraude.
- Activa la verificación en dos pasos. En los ajustes o la configuración de WhatsApp, entra en Cuenta > Verificación en dos pasos. Establece un PIN y añade un correo electrónico de recuperación al que solo tú tengas acceso. No compartas el PIN ni los códigos de registro.
- Comprueba que ha cesado la actividad. Revisa de nuevo los dispositivos vinculados. Si aparecen nuevas sesiones desconocidas, se siguen enviando mensajes sin tu autorización o has perdido el acceso, contacta con el soporte oficial de WhatsApp.
Si tú o alguno de tus contactos habéis realizado un pago a raíz de estos mensajes, contactad inmediatamente con el banco a través de sus canales oficiales. Explicad lo ocurrido y solicitad que se intente detener o recuperar la operación, aunque la devolución no está garantizada. Presentad una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado, aportando todas las pruebas disponibles.
Fuentes
Instituto Nacional de Ciberseguridad (INCIBE)
