El falso concurso de baile de WhatsApp: qué hace el código que te piden para «votar» y cómo recuperar tu cuenta

El Instituto Nacional de Ciberseguridad (INCIBE) publicó el 21 de octubre un aviso de importancia alta sobre un fraude que está circulando por WhatsApp. No hace falta descargar nada ni dar una contraseña: basta con escribir un código en la propia aplicación para que otra persona pueda usar tu cuenta.

Cómo funciona el engaño

El mensaje llega desde la cuenta de alguien que conoces. Te pide que votes a un familiar o conocido en un supuesto concurso de baile. En la captura que publica INCIBE se trata de una niña llamada Sophie, presentada como hija de unos amigos, y el premio incluye una beca y un lugar en el escenario. INCIBE advierte de que los nombres, los premios y las direcciones cambian.

El enlace lleva a una página que simula la votación. Allí te pide tu número de teléfono y te muestra un código, con instrucciones para escribirlo en WhatsApp en la opción de vincular un dispositivo con el número de teléfono.

Ese código no registra ningún voto. Lo que hace es autorizar que un dispositivo de los delincuentes quede conectado a tu cuenta, igual que cuando abres WhatsApp en el ordenador. A partir de ahí pueden escribir a tus contactos en tu nombre, pedirles dinero y reenviarles el mismo «concurso» para seguir sumando cuentas.

Lo más traicionero: tú sigues usando WhatsApp con normalidad. Que la aplicación te funcione no quiere decir que nadie más la esté usando.

Nuestra regla para no caer

Hay muchas variantes de este fraude, pero todas acaban en el mismo punto, así que nos quedamos con una regla sencilla: si una web te da un código para que lo escribas dentro de WhatsApp, te está pidiendo que le abras la puerta de tu cuenta. Ninguna votación, sorteo ni entrega de paquetes necesita eso. El único caso legítimo es cuando tú mismo estás conectando tu propio ordenador o tableta.

Y una segunda regla que repite INCIBE: que el mensaje venga del número habitual de tu amigo no garantiza que lo haya escrito él. Si su cuenta ya ha caído, el mensaje es suyo solo en apariencia.

Qué hacer según tu caso

Si te ha llegado y no has hecho nada

• No abras el enlace ni des tu número de teléfono en la página.
• Llama a la persona que te lo envió para comprobarlo. Una llamada, no un mensaje por el mismo WhatsApp.
• No reenvíes el mensaje ni el enlace. Si tu contacto lo está difundiendo sin saberlo, avísale por otro canal.
• Haz una captura, comunícalo al servicio de reporte de fraude de la web de INCIBE (o llamando al 017) y después borra el mensaje.

Si abriste el enlace o escribiste tu número

Cierra la página y no sigas sus pasos. Según INCIBE, abrir el enlace o escribir el número no basta por sí solo para vincular nada, porque para eso hace falta meter el código en WhatsApp. Aun así, revisa los dispositivos vinculados (lo explicamos justo abajo) y desconfía de cualquier aviso nuevo para conectar un dispositivo.

Si llegaste a meter el código o ya están escribiendo desde tu cuenta

1. Cierra las sesiones que no reconozcas. En Android: menú de los tres puntos > Dispositivos vinculados. En iPhone: Configuración > Dispositivos vinculados. Toca cada dispositivo desconocido y pulsa «Cerrar sesión». Si puedes hacerlo sin retrasarte, haz antes una captura de esa sesión.
2. Avisa a tus contactos por otro canal (llamada, SMS, otra red) de que pueden haber recibido mensajes que no son tuyos y de que no paguen nada. No reenvíes el enlace para avisarles.
3. Guarda las pruebas: conversaciones, capturas, la dirección de la página y las fechas. Pide a tus contactos que conserven lo que recibieron.
4. Activa la verificación en dos pasos: en WhatsApp, Ajustes > Cuenta > Verificación en dos pasos. Pon un PIN y un correo de recuperación al que solo tengas acceso tú.
5. Vuelve a mirar los dispositivos vinculados al cabo de un rato. Si aparecen sesiones nuevas, siguen saliendo mensajes o has perdido el acceso, contacta con el soporte oficial de WhatsApp.

Ojo con el orden: la verificación en dos pasos protege tu número de cara al futuro, pero no expulsa a quien ya está dentro. Lo primero es cerrar la sesión intrusa.

Si alguien ha enviado dinero

• Llamad al banco cuanto antes por sus canales oficiales y pedid que intente parar o recuperar el pago. No está garantizado que se pueda.
• Guardad los mensajes y los justificantes.
• Poned denuncia ante la Policía o la Guardia Civil con todas las pruebas.
• Para orientación, el 017 es la línea de ayuda en ciberseguridad de INCIBE: gratuita y confidencial.

No es el único fraude de WhatsApp de este mes

Hace diez días INCIBE alertó de otra campaña que usa cuentas de WhatsApp en iPhone sin actualizar para pedir dinero a los contactos. Te lo contamos en qué pasa con los iPhone sin actualizar y cómo protegerte. Son dos caminos distintos para lo mismo: hacerse con tu cuenta y aprovechar la confianza de tus contactos.

Lo que no sabemos: INCIBE no da cifras de cuántas cuentas se han visto afectadas ni desde qué páginas se está haciendo, y no hemos podido comprobar si WhatsApp ha tomado alguna medida específica contra esta campaña.