Recibes un mensaje de WhatsApp de un amigo de verdad, alguien a quien conoces desde hace años. Te pide que hagas clic en un enlace y votes por su hijo en un concurso de baile, por su perro en un concurso de fotos, o por su escuela en alguna recaudación de fondos. Nada en el mensaje grita estafa: no te pide la contraseña del banco, y viene de un contacto en el que confías, en una conversación que llevas años teniendo.

Ese es exactamente el punto. Investigadores de seguridad de Malwarebytes documentaron este patrón a principios de agosto de 2026: el mensaje no proviene de un número falsificado. Proviene de la cuenta de WhatsApp real y secuestrada de tu amigo. El atacante no está haciéndose pasar por él: está dentro de su cuenta, enviando mensajes como si fuera él, a todos los contactos de su lista, incluyéndote a ti.

Cómo se toma el control de la cuenta sin necesidad de una contraseña

WhatsApp permite que una cuenta permanezca conectada en hasta cuatro dispositivos adicionales a la vez —tu teléfono, más WhatsApp Web en un navegador, una aplicación de escritorio, etcétera— mediante una función llamada dispositivos vinculados. Vincular un nuevo dispositivo normalmente implica abrir WhatsApp en tu teléfono, ir a Configuración y escanear un código QR que aparece en el nuevo dispositivo. No se necesita contraseña, porque tu teléfono ya está conectado y respalda la nueva sesión.

La estafa secuestra ese flujo en lugar del inicio de sesión en sí. La víctima hace clic en un enlace —a veces en el dominio real wa.me— que la guía por lo que parece ser una "configuración de WhatsApp Web", o le indica que escriba un código en su propia pantalla de dispositivos vinculados. Seguir esos pasos hace exactamente una cosa: aprueba el dispositivo del atacante como una nueva sesión vinculada en la cuenta de la víctima. A partir de ese momento, el atacante puede leer y enviar mensajes como si fuera el dueño de la cuenta, desde un dispositivo que la víctima nunca ve.

Por eso no activa ninguna de las alarmas que la gente está entrenada para vigilar. No hay cambio de contraseña, así que no llega ningún correo de "tu contraseña fue cambiada". No hay intento de inicio de sesión fallido, así que no hay alerta de seguridad. El propio teléfono del dueño de la cuenta sigue funcionando con total normalidad. El único rastro es una entrada adicional y desconocida que aparece silenciosamente en la lista de dispositivos vinculados, y casi nadie revisa esa lista a menos que sepa que debe hacerlo.

Revisa tus propios dispositivos vinculados ahora mismo

Haz esto hayas recibido o no uno de estos mensajes, ya que toma menos de dos minutos y no cuesta nada:

  • En iPhone o Android: Abre WhatsApp → toca Configuración (o el menú de tres puntos en Android) → Dispositivos vinculados.
  • Revisa cada entrada. Cada una muestra un tipo de dispositivo (Chrome, Windows, Mac, otro teléfono) y cuándo estuvo activa por última vez. Si solo usas WhatsApp en tu propio teléfono, esta lista debería estar vacía. Si sí usas WhatsApp Web en una computadora de casa o del trabajo, deberías reconocer cada una de las entradas.
  • Cualquier cosa que no reconozcas, elimínala de inmediato. Toca el dispositivo y luego "Cerrar sesión", o usa "Cerrar sesión en todos los dispositivos" si no estás seguro de cuál entrada es el problema. Esto corta al instante el acceso del atacante; no requiere cambiar tu contraseña ni tu número de teléfono.

Luego, cierra la puerta detrás de ti

Eliminar el dispositivo intruso detiene el acceso inmediato, pero no impide que alguien vincule uno nuevo de la misma manera. Dos pasos adicionales son importantes:

  • Activa la verificación en dos pasos. Configuración → Cuenta → Verificación en dos pasos → Activar. Esto agrega un PIN de 6 dígitos que se requiere para ciertas acciones sensibles y hace más difícil que alguien recupere el control incluso si logra engañarte de nuevo.
  • Nunca ingreses un código en la configuración de tu propio WhatsApp porque un mensaje te lo pidió. Ese es el mecanismo real de esta estafa. La vinculación legítima de dispositivos siempre comienza cuando tú mismo abres WhatsApp Web o Desktop y escaneas un código QR con la cámara de tu teléfono; nunca se inicia escribiendo un código que llegó en un chat, un mensaje de texto o un enlace. Si alguna página te pide que hagas eso, ciérrala.

Si el mensaje vino de un amigo, no de ti

No hagas clic en el enlace, y no envíes dinero si la conversación escala hasta convertirse en una solicitud de ese tipo —eso suele ser el siguiente paso una vez que el atacante tiene acceso, ya que un mensaje pidiendo dinero de emergencia desde la cuenta de un amigo real resulta mucho más convincente que el mismo mensaje viniendo de un desconocido. En su lugar, contacta a ese amigo por un canal completamente distinto: una llamada telefónica, un mensaje de texto, un correo electrónico, cualquier cosa que no sea la propia conversación de WhatsApp, ya que puede que esa conversación en realidad no sea con él. Cuéntale lo que recibiste y sugiérele que revise su propia lista de dispositivos vinculados. Si resulta que su cuenta fue comprometida, también debería advertir a sus demás contactos de la misma manera, ya que toda la estrategia del atacante depende de que el mensaje se vea exactamente tan confiable como se ve en este momento.

Nada de esto requiere un antivirus, un administrador de contraseñas ni ninguna herramienta más allá del propio menú de configuración de WhatsApp. Requiere saber que "dispositivos vinculados" es una lista que vale la pena revisar, y que una solicitud de favor de alguien real no es prueba de que la solicitud realmente vino de esa persona.