Un enlace en ‘WhatsApp’ para votar por una niña puede acabar en una estafa, advierte el INCIBE
El engaño permite a los delincuentes vincular otro dispositivo a la cuenta y suplantar la identidad de la víctima
(Imagen: E&J)
Un enlace en ‘WhatsApp’ para votar por una niña puede acabar en una estafa, advierte el INCIBE
El engaño permite a los delincuentes vincular otro dispositivo a la cuenta y suplantar la identidad de la víctima
(Imagen: E&J)
Un mensaje de un amigo pide ayuda para que una niña gane un concurso de baile. El enlace no sirve para votar: sirve para que unos ciberdelincuentes vinculen su propio dispositivo a tu WhatsApp. El Instituto Nacional de Ciberseguridad (INCIBE) ha emitido un aviso de importancia «alta» y las consecuencias pueden llegar al ámbito penal.
El engaño empieza con un mensaje que llega desde un contacto de confianza: «Sophie, la hija de mis amigos, está en un concurso donde el premio incluye una beca y un lugar en el escenario. ¿Me ayudas con tu voto?». Detrás hay un enlace. Es el ejemplo que recoge INCIBE en su aviso, aunque advierte de que los nombres, los premios y las direcciones pueden variar.
Al abrir la página, el usuario ve una supuesta gestión de la votación. Se le pide su número de teléfono y se le muestra un código con instrucciones para introducirlo en WhatsApp. Ese código no registra ningún voto: autoriza la vinculación de un dispositivo externo a la cuenta.
(Imagen: E&J)
Suscríbete a nuestra
NEWSLETTER
Una función legítima, usada con engaño
Los delincuentes no necesitan vulnerar nada: aprovechan la opción de dispositivos vinculados, pensada para usar WhatsApp en un ordenador o una tableta, y es la víctima quien la activa creyendo que vota. Según INCIBE, la persona afectada puede seguir usando la aplicación en su teléfono mientras los ciberdelincuentes escriben desde la sesión vinculada. Conservar el acceso, por tanto, no significa que nadie más esté usando la cuenta.
Desde ahí, pueden hacerse pasar por la víctima para pedir dinero a sus contactos o enviarles el mismo reclamo del concurso.
Qué dice el Derecho
El aviso es de divulgación y no entra en la calificación jurídica, pero los hechos pueden encajar en varios tipos penales según cada caso. Entrar en una cuenta sin autorización podría analizarse a la luz del artículo 197 bis del Código Penal (acceso ilícito a sistemas de información): el tipo se vincula a vulnerar medidas de seguridad y aquí es la propia víctima, engañada, quien introduce el código.
Si los contactos transfieren dinero, lo hacen ellos mismos, inducidos por el mensaje. Ese esquema se parece más a la estafa clásica del artículo 248.1 (engaño bastante y acto de disposición) que a la estafa informática, hoy en el artículo 249.1.a) tras la reforma de la Ley Orgánica 14/2022, que exige una transferencia no consentida por el titular.
La distinción también importa ante el banco. Si una operación de pago no está autorizada, el artículo 45 del Real Decreto-ley 19/2018 obliga a devolver su importe de inmediato y, como máximo, al final del siguiente día hábil, salvo la excepción legal prevista para los casos en que existan motivos razonables para sospechar fraude y se comuniquen al Banco de España. La ley también contempla la responsabilidad del cliente cuando ha actuado fraudulentamente o con negligencia grave.
Si la propia víctima ordenó una transferencia porque creyó el engaño, la devolución no está garantizada. INCIBE recomienda contactar de inmediato con la entidad, explicar lo ocurrido y pedir que intente detener o recuperar el pago.
(Imagen: E&J)
Qué hacer si ya has pulsado el enlace
Abrir el enlace o escribir el número no equivale, por sí solo, a haber autorizado la vinculación, pero conviene revisar los dispositivos vinculados. Si hay sesiones sospechosas, INCIBE propone cinco pasos:
- Cerrar las sesiones desconocidas. En Android, desde el menú de los tres puntos > Dispositivos vinculados; en iPhone, desde Configuración > Dispositivos vinculados. Si se puede sin retrasar la desconexión, guardar antes una captura de la sesión.
- Avisar a los contactos por otro canal, sin reenviar el enlace.
- Conservar las pruebas: conversaciones, capturas, dirección de la página y fechas.
- Activar la verificación en dos pasos (Cuenta > Verificación en dos pasos), con PIN y correo de recuperación, y no compartir nunca el PIN ni los códigos de registro.
- Comprobar que ha cesado la actividad. Si aparecen nuevas sesiones o se pierde el acceso, contactar con el soporte oficial de WhatsApp.
Quien haya enviado dinero debería conservar los justificantes y puede presentar denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado con todas las pruebas, igual que quien quiera denunciar el uso no autorizado de su cuenta.
Dónde pedir ayuda
INCIBE ofrece un servicio de reporte de fraude y la Línea de Ayuda en Ciberseguridad, el 017, gratuita y confidencial. Para cortar el engaño, lo más sencillo es comprobar la petición llamando al contacto: que el mensaje salga de su número habitual no garantiza que lo haya escrito él.
