La plataforma de mensajería WhatsApp continúa siendo un objetivo prioritario para ciberataques, y las estafas en WhatsApp son cada vez más sofisticadas.
De hecho, según información de lasexta, el número de ataques de phishing contra usuarios en España creció en un 40% en el primer trimestre de 2025.
Este artículo es una guía estratégica sobre los esquemas de estafa más recientes. Con el análisis de nuestro equipo de expertos en ciberseguridad, se desglosará cómo proteger tus activos digitales y evitar ser víctima de fraude, además de presentar tácticas aplicables para el uso seguro de la aplicación.
¿Cuáles son las estafas más comunes en WhatsApp?
Las estafas en WhatsApp más comunes son aquellas que utilizan ingeniería social para engañar al usuario. Estas tácticas incluyen el envío de virus disfrazados de aplicaciones oficiales, la suplantación de identidad de entidades gubernamentales o bancarias para robar cuentas, el uso de enlaces de phishing en mensajes atractivos y, más recientemente, la creación de deepfakes de voz para solicitar dinero de forma urgente.
Nuevas Tácticas de Fraude en WhatsApp para 2026
Nuestro equipo de expertos emite una advertencia clara: en 2026, los ataques a través de WhatsApp se intensificarán. A continuación, se presenta un análisis detallado de 11 nuevas estafas por WhatsApp que todo usuario de esta plataforma debe dominar.
1. Virus Disfrazado de Aplicación Oficial
Recibes una llamada de un supuesto “empleado del banco” alertando sobre una “operación sospechosa”. A continuación, el atacante intenta migrar la conversación a WhatsApp para una “comunicación segura” y te solicita que descargues una aplicación especial que, en realidad, es un virus. Este tipo de troyano informático puede ser devastador.
Por ejemplo, el troyano SpyMax se enmascara como un “cliente bancario” o una “actualización de seguridad” y ejecuta las siguientes acciones:
- Bloquea la pantalla mostrando el mensaje: “Tu dispositivo está infectado. Llama al número…”.
- Intercepta en segundo plano la autenticación de dos factores (códigos de SMS o Google Authenticator).
- Escanea documentos almacenados en la memoria del teléfono (fotos de pasaportes, contratos escaneados).
2. Vulneración de Cuentas Gubernamentales Mediante Pantalla Compartida
El esquema operativo es el siguiente:
- Una llamada de un “agente del Ministerio del Interior” te informa: “¡Tu cuenta en el portal de servicios del gobierno ha sido vulnerada! Activa inmediatamente la función de compartir pantalla para que podamos solucionar el problema“.
- La víctima activa la pantalla compartida e inicia sesión en el portal gubernamental.
- El estafador utiliza la función “Recuperar acceso” para iniciar el envío de un código por SMS.
- El código aparece en la pantalla de la víctima, otorgando el control total de la cuenta a los criminales.
¿Qué pueden hacer los atacantes con este acceso?:
- Formalizar microcréditos a tu nombre.
- Extorsionar con la amenaza de filtrar tus datos.
- Comercializar el acceso a tu cuenta en el mercado negro.
3. Virus en Tarjetas de Felicitación
Un 52% de los usuarios españoles recibe imágenes de felicitación en WhatsApp que pueden contener enlaces de phishing o archivos maliciosos, como un archivo con un virus o un programa para “ver una presentación”. Si recibes uno de estos, es crucial saber qué hacer si haces clic en un enlace de phishing.
No abras archivos multimedia de contactos desconocidos y utiliza la autenticación de dos factores.
Recomendación de Kaspersky Lab
4. Alquiler de Cuentas para Actividades Fraudulentas
Los estafadores proponen a los usuarios “alquilar” sus cuentas de WhatsApp, prometiendo entre 15 y 20 euros al día. Estos anuncios se publican en foros, sitios de empleo y canales de Telegram. Tras obtener el consentimiento de la víctima, los delincuentes solicitan acceso a la cuenta, por ejemplo, pidiendo el código de un SMS para iniciar sesión desde un nuevo dispositivo.
Una vez que los atacantes obtienen el control, comienzan a enviar mensajes a los contactos de la víctima solicitando transferencias de dinero o información personal.
¿Cuáles son los riesgos?:
- El propietario de la cuenta corre el riesgo de convertirse en sujeto de una investigación penal si se cometen actos ilícitos desde su perfil.
- Recuperar el acceso a la cuenta después de un bloqueo es prácticamente imposible.
5. Encuestas Falsas que Redirigen a Sitios de Phishing
Los estafadores combinan el robo de cuentas de WhatsApp y Telegram con la distribución de encuestas de phishing. La táctica se ejecuta en dos fases:
- Primera fase: Los atacantes se presentan como especialistas de RR. HH. y ofrecen un empleo. Tras una larga negociación, envían a la víctima un archivo de “currículum” donde debe introducir sus datos personales. En realidad, el documento contiene un script malicioso que transmite la información a los estafadores.
- Segunda fase: Desde una cuenta robada, envían mensajes para participar en una encuesta sobre hábitos de consumo a cambio de un vale de 100 €. El enlace lleva a una página falsa que solicita la descarga de una “app de la encuesta”, que en realidad es un troyano bancario.
Según el informe de ESET, el troyano bancario Grandoreiro ha tenido una fuerte actividad en la región, afectando principalmente a México, Brasil y España.
6. Explotación de Perfiles Inactivos
Muchos usuarios no son conscientes de que su antigua tarjeta SIM sigue vinculada a WhatsApp. Los estafadores vulneran estas cuentas mediante:
- Ataques de diccionario para adivinar la contraseña (si el número no está protegido con autenticación de dos factores).
- Phishing: correos “de parte de WhatsApp” exigiendo “confirmar la cuenta”.
Así es como son las estafas por WhatsApp que se aprovechan de perfiles robados:
- Cambian el avatar y el nombre a “Soporte CaixaBank” o “Mi Carpeta Ciudadana” (portal de servicios del gobierno).
- Llaman a usuarios de edad avanzada ofreciendo “reemitir una tarjeta” o “verificar su pensión”.
- Solicitan el código de un SMS, que en realidad es la confirmación de una transferencia de dinero.
7. Falsa Aceleración de Internet
Los usuarios reciben mensajes de su “proveedor de internet” con una oferta para acelerar el Wi-Fi mediante la instalación de un archivo APK. En dispositivos Android, esto resulta en la infección con un troyano que obtiene acceso a las aplicaciones bancarias.
Existe un escenario alternativo: los estafadores te piden que actives la pantalla compartida para “configurar el router” y, en el proceso, interceptan los códigos SMS.
8. Suplantación de Identidad de la Agencia de Protección de Datos
Los estafadores se hacen pasar por personal de la Agencia Española de Protección de Datos (AEPD) e informan sobre una “denuncia por vulneración de datos en su contra”, exigiendo su número de DNI para “paralizar el expediente”. Las llamadas se realizan por WhatsApp desde números virtuales. El objetivo es el robo de datos para posterior extorsión.
Importante: Ninguna institución pública o fuerza de seguridad del Estado solicita datos personales o realiza notificaciones oficiales a través de WhatsApp.
9. Phishing a través de Votaciones en Concursos Infantiles
Los estafadores envían mensajes de parte de conocidos pidiendo que votes por su “hijo/a” en un concurso a través de un enlace. La autorización en el sitio web falso (requiere iniciar sesión con Google o Facebook) conduce al robo de la cuenta.
Consejo del equipo editor de Esgeeks: instala un antivirus y verifica los enlaces sospechosos contactando directamente a tus conocidos por vías oficiales.
10. Fraude en Chats Vecinales mediante Códigos QR
Los delincuentes se unen a chats grupales de residentes escaneando códigos QR en los portales de los edificios y ofrecen:
- Comprar plazas de aparcamiento.
- Contratar reparaciones a bajo coste con pago por adelantado.
- Transferir dinero para “causas benéficas”.
Exige reuniones presenciales y formaliza siempre contratos por escrito. Se recomienda a los administradores de chats que los configuren como privados.
11. Deepfakes de Voz de Familiares
Este es uno de los métodos de engaño más alarmantes y viles. Mediante IA, los estafadores sintetizan la voz de personas para solicitar dinero a sus familiares. Por ejemplo, una llamada del “hijo” que “sufrió un accidente y necesita una transferencia urgente”. Puedes aprender más sobre qué es un deepfake y su tecnología en nuestra guía completa.
Cómo identificar la falsificación:
- Pausas o entonaciones antinaturales.
- Dificultad para responder a preguntas de seguimiento específicas.
- Solicitudes de dinero que no son características de tu familiar.
Consejo Geek: ante una llamada de este tipo, cuelga y contacta tú directamente a tu familiar a través de su número de siempre.
Cómo Evitar Estafas por WhatsApp: Directrices de Expertos
La mejor defensa es el conocimiento. Dmitry Anikin, jefe de investigación de datos en Kaspersky Lab, ofrece comentarios estratégicos sobre los deepfakes, una de las nuevas estafas por WhatsApp más preocupantes.
¿Qué tipo de deepfakes han desarrollado los estafadores?
Crear un deepfake de video o audio verdaderamente convincente sigue siendo un desafío para los atacantes debido a las limitaciones tecnológicas de las redes neuronales. Para los deepfakes de video, por ejemplo, necesitan recopilar un gran conjunto de imágenes de la víctima potencial para que el resultado sea realista. De lo contrario, se notarán artefactos: reflejos en los ojos, piel demasiado lisa, o problemas con la mímica o la articulación.
Para una falsificación de voz se requieren menos datos, pero el resultado puede ser inestable; por ejemplo, el timbre de voz de una persona aún es difícil de replicar con precisión por una red neuronal. Por ello, los estafadores emplean diversas tácticas para ocultar las imperfecciones de los deepfakes de audio. Por ejemplo, envían videos borrosos y de baja resolución en formato de círculos pequeños en las apps de mensajería. En el caso de los deepfakes de voz, utilizan mensajes de audio pregrabados y falsificados a los que superponen ruido de fondo.
¿Cómo diferenciar los deepfakes?
Existen soluciones comerciales para la detección de deepfakes, pero, como cualquier tecnología, no ofrecen una garantía del 100%. Por lo tanto, es crucial que los usuarios implementen las siguientes recomendaciones de seguridad digital:
- No acceder a enlaces ni descargar archivos de correspondencia dudosa.
- Verificar si la persona es realmente quien dice ser.
- Mantener una postura crítica ante cualquier mensaje recibido en línea.
- Utilizar soluciones de seguridad robustas que bloqueen el acceso a páginas de phishing o scam, notifiquen sobre llamadas de posibles estafadores e impidan la instalación de software malicioso en el dispositivo.
El deepfake es una tecnología neutral. Desafortunadamente, los delincuentes la utilizan como una herramienta de ingeniería social para crear señuelos y dar mayor credibilidad a sus engaños.
¿Cuáles son las principales señales de un estafador en WhatsApp?
Para saber qué hacer ante estafas por WhatsApp, primero hay que identificarlas. Las principales señales se pueden describir con varios rasgos característicos. Primero, debes alertarte al recibir mensajes inesperados con ofertas de ayuda o premios. Los estafadores a menudo proponen ingresos adicionales, para lo cual informan de la necesidad de acceder a un enlace que ellos proporcionan.
El segundo factor clave son las solicitudes para compartir información personal, como contraseñas o códigos de SMS. Además, pueden ejercer presión sobre la víctima potencial, creando una falsa sensación de urgencia o amenazando con un bloqueo.
La vigilancia y la precaución reducen significativamente el riesgo de enfrentarse a estafadores. Si surge una sospecha, se recomienda contactar al servicio de soporte del operador a través de su número oficial, sin confiar en los datos de contacto del mensaje. Recuerda que las empresas legítimas nunca solicitan contraseñas u otros datos personales.
Pasos Finales para Proteger tu Cuenta de WhatsApp
El aumento de los ataques a través de WhatsApp exige una mayor vigilancia por parte de los usuarios. Para evitar estafas por WhatsApp, implementa estas reglas de seguridad fundamentales:
- No accedas a enlaces sospechosos.
- No abras y, sobre todo, no descargues archivos adjuntos de desconocidos.
- Jamás compartas con nadie códigos de SMS, números de tarjeta u otros datos personales.
- No actives la función de compartir pantalla durante las llamadas.
- Verifica toda la información: llama tú mismo al banco, a tu familiar o al conocido que necesita dinero urgentemente.
- Considera aumentar la seguridad general de tu dispositivo con guías de protección avanzadas.
