Estafa por WhatsApp, SMS y correo: cómo detectarla y qué hacer

Una estafa por mensaje casi siempre junta tres cosas: prisa, una petición de dinero o de un código y un contacto que no puedes comprobar. Si el mensaje dice que es urgente, llega desde un número nuevo de alguien conocido o te pide un Bizum, una transferencia, un código de seis dígitos o que pulses un enlace, para y compruébalo por otra vía, llamando al número que ya tienes guardado. Si ya has pagado o has dado el código, avisa a tu banco de inmediato, recupera tu cuenta de WhatsApp con tu número, alerta a tus contactos y denuncia.

Cómo detectar una estafa por WhatsApp, SMS o correo

El INCIBE, el Instituto Nacional de Ciberseguridad de España, y la Febraban, la patronal de la banca brasileña, describen las mismas señales de alerta:

• Urgencia o amenaza: te van a bloquear la cuenta, el paquete se devuelve, tu hijo tiene que pagar algo ya. La prisa sirve para que no pienses.
• Una petición de dinero inesperada, casi siempre por un medio instantáneo como Bizum o una transferencia inmediata, difícil de recuperar.
• Petición de un código: el código de verificación de WhatsApp, un código recibido por SMS o una contraseña. Según la Febraban, ningún banco serio pide la contraseña por teléfono, SMS, WhatsApp o redes sociales.
• Un número desconocido que dice ser de alguien cercano, con la historia de que el móvil se ha roto, se lo han robado o ha cambiado de línea.
• Un enlace para actualizar datos, pagar una tasa o desbloquear algo, a veces con faltas de ortografía o una dirección parecida a la real.
• Petición de secreto: no se lo digas a nadie, resuélvelo solo conmigo.

Las estafas por WhatsApp más comunes

La estafa del hijo o del hola mamá: alguien escribe desde un número desconocido, a veces por SMS, diciendo que es tu hijo, que se le ha roto o le han robado el móvil y que le escribas por WhatsApp al número nuevo. Pronto llega la petición de un Bizum o una transferencia urgente. El INCIBE la llama la estafa del familiar en apuros, y en Brasil la misma táctica circula como oi, mãe, troquei de número, a veces con la foto de la víctima copiada de las redes sociales.

El robo de cuenta con el código de seis dígitos: el estafador se hace pasar por empleado de una tienda, de un banco o de una web donde tienes cuenta y dice que te va a enviar un código de confirmación o promocional. Ese código es el que WhatsApp envía por SMS cuando alguien intenta registrar tu número en otro móvil: quien lo comparte entrega la cuenta. A partir de ahí, el delincuente escribe a tus contactos haciéndose pasar por ti y pide dinero. Según el Centro de ayuda de WhatsApp, no puede leer tus conversaciones anteriores, que se guardan en tu dispositivo, pero sí hablar en tu nombre.

SMS falsos (smishing): falso paquete y falso banco

Según el INCIBE, el SMS suele parecer más fiable que el correo. Los modelos más vistos son el paquete retenido porque falta el número de la calle o por una tasa pendiente, el aviso de inicio de sesión desde un nuevo dispositivo, la tarjeta bloqueada y el cargo sospechoso que tienes que confirmar. Todos llevan un enlace a una web falsa que imita la de la empresa o a la descarga de una app maliciosa. Y el remitente puede estar suplantado para que parezca el de tu banco real.

Correos falsos (phishing): cobros y cuenta bloqueada

En el correo, los ganchos son cobros que no reconoces, avisos de cuenta bloqueada, premios y devoluciones de impuestos. Antes de pulsar, revisa estos puntos de la lista contra el phishing que publica la Febraban:

• ¿La dirección del remitente es de verdad la de la empresa, o solo lo es el nombre que se muestra?
• ¿Hay faltas de ortografía, un logotipo mal hecho o un formato extraño?
• ¿Te pide datos personales, una contraseña o el número de la tarjeta?
• ¿El enlace lleva a una dirección distinta de la web oficial, o el adjunto tiene un tipo de archivo poco habitual?

Ante la duda, abre la app oficial o escribe tú mismo la dirección de la web y comprueba si el cobro existe de verdad.

Cómo evitar una estafa por WhatsApp y otros mensajes

1. Activa la verificación en dos pasos

   En WhatsApp, entra en Ajustes, Cuenta y Verificación en dos pasos. Con ella activada, quien consiga el código de seis dígitos todavía necesita una segunda prueba. El Centro de ayuda indica que el antiguo PIN de seis dígitos pasa a ser una contraseña de al menos 8 caracteres, con al menos una letra y un número. Añade también un correo para poder recuperar la cuenta.

2. No compartas nunca el código

   El código de verificación de WhatsApp no se comparte con nadie, ni con amigos ni con familiares, según la propia WhatsApp. Si te llega un código que no has pedido, alguien está intentando registrar tu número: ignóralo.

3. Comprueba por otra vía

   Una petición de dinero solo vale después de llamar al número que ya tienes en la agenda, nunca al que te ha escrito. El INCIBE recomienda acordar una palabra clave en familia para estos casos.

4. No pulses: ve directamente a la fuente

   Paquete, banco o tienda: abre la app o escribe la dirección de la web oficial. Para comprobar un envío, consulta su estado en la web de la empresa de mensajería. Las apps, solo desde las tiendas oficiales del móvil.

5. Esconde lo que usa el estafador

   Deja la foto de perfil visible solo para tus contactos y activa en los ajustes de privacidad la opción de silenciar las llamadas de números desconocidos.

He caído en una estafa por WhatsApp: qué hacer paso a paso

1. Avisa al banco ya

   Si has enviado dinero por Bizum o transferencia, contacta con tu banco lo antes posible para que tome medidas e intente anular la operación. Cuanto antes, más opciones de que el dinero siga en la cuenta que lo recibió.

2. Recupera tu cuenta de WhatsApp

   En el móvil con tu SIM, abre WhatsApp y vuelve a registrar tu número con el código de seis dígitos que recibes por SMS o llamada. Eso desconecta al estafador y todos los dispositivos vinculados. Si activó la verificación en dos pasos, WhatsApp indica que esperes siete días y lo intentes de nuevo.

3. Avisa a tus contactos y grupos

   Cuenta por otra vía que alguien está usando tu nombre. WhatsApp recomienda intentar recuperar la cuenta antes de denunciarla, porque la denuncia puede acabar con la cuenta bloqueada.

4. Guarda las pruebas

   Haz capturas de los mensajes, apunta los números usados y guarda los justificantes del Bizum o la transferencia. El INCIBE menciona servicios de testigos online para certificarlas.

5. Denuncia

   Presenta denuncia ante la Policía Nacional o la Guardia Civil con las pruebas, y pide una copia para tu banco. En Brasil, el equivalente es el boletim de ocorrência en la comisaría o en la comisaría electrónica de cada estado.

6. Cambia contraseñas y activa protecciones

   Si escribiste una contraseña en una web falsa, cámbiala y activa la verificación en dos pasos.

Bizum, transferencia o Pix: cómo intentar recuperar el dinero

En España no hay un botón para deshacer un Bizum: lo que recomienda el INCIBE es contactar con el banco cuanto antes, con copia de la denuncia, para intentar cancelar la operación, y, si el banco no lo resuelve, elevar la reclamación al Banco de España. En Brasil, el Pix tiene un mecanismo propio, el MED (Mecanismo Especial de Devolución) del Banco Central, que vale incluso cuando la propia víctima autorizó la transferencia engañada y se puede pedir hasta 80 días después del pago, desde la app del banco o su servicio de atención. En los dos casos, la devolución depende de que el dinero siga en la cuenta que lo recibió, así que la rapidez es decisiva.

Cómo denunciar una estafa en WhatsApp

En el chat con el estafador, abre el menú de opciones y usa Bloquear y Reportar. La persona reportada no recibe ningún aviso, y WhatsApp recibe hasta cinco de los últimos mensajes de ese chat para revisarlos. Si el estafador usa otros números, hay que bloquear y reportar cada uno. El reporte en la app no sustituye a la denuncia ante la policía.

Dónde denunciar en España y en Brasil

• España: la Línea de Ayuda en Ciberseguridad del INCIBE atiende gratis en el 017, todos los días de 8:00 a 23:00, y también por WhatsApp (900 116 117) y Telegram (@INCIBE017). La denuncia se presenta ante la policía; en la Guardia Civil, las estafas y cargos fraudulentos cometidos por medios informáticos se pueden denunciar por internet, con firma electrónica.
• Brasil: boletim de ocorrência en una comisaría o en la comisaría electrónica de la Policía Civil de cada estado; el banco, para el MED del Pix; y reclamación ante el Banco Central si el banco no lo resuelve.
• En cualquier país: si se ha cometido un delito o no te sientes seguro, WhatsApp aconseja acudir a la policía o a las autoridades locales.