Recibes un mensaje de WhatsApp de un amigo de verdad, alguien a quien conoces desde hace años. Te pide que hagas clic en un enlace y votes por su hijo en un concurso de baile, por su perro en un concurso de fotos, o por su colegio en alguna recaudación de fondos. Nada en el mensaje grita estafa: no te pide la contraseña del banco, y viene de un contacto de confianza, en una conversación que llevas años teniendo.

Esa es precisamente la cuestión. Investigadores de seguridad de Malwarebytes documentaron este patrón a principios de agosto de 2026: el mensaje no proviene de un número suplantado. Proviene de la cuenta de WhatsApp real de tu amigo, que ha sido secuestrada. El atacante no se hace pasar por él: está dentro de su cuenta, enviando mensajes como si fuera él, a todos los contactos de su lista, incluido tú.

Cómo se toma el control de la cuenta sin necesidad de contraseña

WhatsApp permite que una misma cuenta permanezca conectada en hasta cuatro dispositivos adicionales a la vez —tu teléfono, más WhatsApp Web en un navegador, una aplicación de escritorio, etcétera— a través de una función llamada dispositivos vinculados. Vincular un nuevo dispositivo normalmente implica abrir WhatsApp en tu teléfono, ir a Ajustes y escanear un código QR que aparece en el nuevo dispositivo. No hace falta contraseña, porque tu teléfono ya está conectado y da fe de la nueva sesión.

La estafa secuestra ese proceso en lugar del inicio de sesión propiamente dicho. La víctima hace clic en un enlace —a veces en el dominio real wa.me— que la guía por lo que parece ser una "configuración de WhatsApp Web", o le indica que escriba un código en su propia pantalla de dispositivos vinculados. Seguir esos pasos logra exactamente una cosa: aprueba el dispositivo del atacante como una nueva sesión vinculada en la cuenta de la víctima. A partir de ese momento, el atacante puede leer y enviar mensajes como si fuera el dueño de la cuenta, desde un dispositivo que la víctima nunca ve.

Por eso no activa ninguna de las alarmas que la gente está acostumbrada a vigilar. No hay cambio de contraseña, así que no llega el correo de "se cambió tu contraseña". No hay ningún intento de inicio de sesión fallido, así que no salta ninguna alerta de seguridad. El propio teléfono del dueño de la cuenta sigue funcionando con total normalidad. El único rastro es una entrada adicional y desconocida que queda ahí, silenciosa, en la lista de dispositivos vinculados, y casi nadie revisa esa lista a menos que sepa que debe hacerlo.

Revisa ahora mismo tus propios dispositivos vinculados

Haz esto hayas recibido o no uno de estos mensajes, ya que lleva menos de dos minutos y no cuesta nada:

  • En iPhone o Android: abre WhatsApp → toca Ajustes (o el menú de tres puntos en Android) → Dispositivos vinculados.
  • Revisa cada entrada. Cada una muestra un tipo de dispositivo (Chrome, Windows, Mac, otro teléfono) y cuándo estuvo activa por última vez. Si solo usas WhatsApp en tu propio teléfono, esta lista debería estar vacía. Si sí usas WhatsApp Web en un ordenador de casa o del trabajo, deberías reconocer cada una de las entradas.
  • Todo lo que no reconozcas, elimínalo de inmediato. Toca el dispositivo y luego "Cerrar sesión", o usa "Cerrar sesión en todos los dispositivos" si no estás seguro de cuál entrada es el problema. Esto corta al instante el acceso del atacante; no hace falta cambiar tu contraseña ni tu número de teléfono.

Después, cierra la puerta detrás de ti

Eliminar el dispositivo intruso detiene el acceso inmediato, pero no impide que alguien vincule uno nuevo de la misma manera. Hay dos pasos adicionales importantes:

  • Activa la verificación en dos pasos. Ajustes → Cuenta → Verificación en dos pasos → Activar. Esto añade un PIN de 6 dígitos que se exige para ciertas acciones sensibles y dificulta que alguien recupere el control aunque vuelva a engañarte.
  • Nunca introduzcas un código en los ajustes de tu propio WhatsApp porque un mensaje te lo pida. Ese es precisamente el mecanismo de esta estafa. La vinculación legítima de dispositivos siempre empieza cuando tú mismo abres WhatsApp Web o de escritorio y escaneas un código QR con la cámara de tu teléfono; nunca se inicia escribiendo un código que llegó en un chat, un mensaje de texto o un enlace. Si alguna página te pide que hagas eso, ciérrala.

Si el mensaje vino de un amigo, no de ti

No hagas clic en el enlace y no envíes dinero si la conversación deriva en una petición de ese tipo; eso suele ser el siguiente paso una vez que el atacante tiene acceso, ya que un mensaje pidiendo dinero urgente desde la cuenta de un amigo real resulta mucho más convincente que el mismo mensaje enviado por un desconocido. En vez de eso, contacta a ese amigo por un canal completamente distinto: una llamada telefónica, un mensaje de texto, un correo electrónico, cualquier cosa que no sea la propia conversación de WhatsApp, ya que puede que quien esté detrás de ella no sea realmente él. Cuéntale lo que recibiste y sugiérele que revise su propia lista de dispositivos vinculados. Si resulta que su cuenta fue comprometida, también debería avisar a sus otros contactos de la misma manera, porque toda la estrategia del atacante depende de que el mensaje parezca tan fiable como lo parece justo ahora.

Nada de esto requiere un antivirus, un gestor de contraseñas ni ninguna herramienta más allá del propio menú de ajustes de WhatsApp. Requiere saber que "dispositivos vinculados" es una lista que vale la pena revisar, y que una petición de favor de alguien real no es prueba de que la petición realmente venga de esa persona.