Hace unos días me llegó un mensaje por Instagram con «ideas de inversión en bolsa». Entré en el grupo por curiosidad profesional y, en pocos minutos, me fueron apareciendo capturas de operaciones cerradas «con ganancias». Todo apuntaba a lo mismo: lo bueno estaba en el grupo VIP, al que se accedía con un enlace. Grabé el proceso en vídeo, porque lo que vino después merece ser contado: es la estafa del grupo VIP de bolsa, un intento de ingeniería social muy bien montado, y su objetivo no era mi dinero, sino mi WhatsApp.
Cómo funciona la estafa del grupo VIP de bolsa, paso a paso
- El anzuelo. Un perfil de Instagram o un mensaje directo ofrece «señales» o «ideas» de inversión. Es la excusa para sacarle de la red social y llevarle a un grupo de mensajería.
- La prueba social. En el grupo aparecen operaciones «cerradas en ganancias», testimonios y capturas. Casi todo es contenido preparado o cuentas falsas que aplauden. Su función es que usted desee entrar donde está «lo bueno».
- El muro VIP. Lo mejor se reserva para un grupo de pago o «exclusivo» y se le envía un enlace de acceso. Escasez y exclusividad: dos palancas clásicas.
- La prisa. Al abrir el enlace, una página le dice que va a recibir un código en el móvil y que tiene 10 segundos para introducirlo para entrar en el grupo. La prisa impide pensar, y esa es la trampa.
- El código que llega. El SMS que recibe no es ningún código de acceso a un grupo: es el código de verificación de WhatsApp de su propio número. En ese mismo instante, el estafador está intentando registrar su número de teléfono en WhatsApp en su móvil. Si usted escribe ese código en la página, se lo está entregando.
Qué consigue el estafador si usted le da el código
Con ese código de seis dígitos registra su número de teléfono en otro dispositivo. WhatsApp cierra la sesión en el suyo y la cuenta pasa a estar en sus manos. A partir de ese momento puede:
- Recibir los mensajes nuevos que lleguen a su número, incluidos los códigos de otros servicios que se verifican por WhatsApp.
- Ver sus grupos y sus contactos, y hacerse pasar por usted para pedir dinero o difundir la misma estafa a toda su agenda.
- Intentar acceder a otras cuentas asociadas a su número.
Conviene ser precisos: el historial antiguo de sus chats vive en su móvil y en sus copias de seguridad, y el código por sí solo no lo traslada automáticamente al estafador. Pero perder el control de la cuenta ya es grave, y más cuando usted trabaja con clientes, abogados o la familia.
Cómo reconocer el engaño en ese momento
- El SMS menciona «WhatsApp» y advierte de que no comparta el código con nadie. Si lo ve, no lo escriba en ninguna web ni se lo dé a nadie.
- Usted no estaba intentando abrir ni reinstalar WhatsApp: nadie debería necesitar «su» código de verificación para dejarle entrar en un grupo.
- Hay cuenta atrás, urgencia o «solo quedan plazas».
- Le piden salir de la red social para continuar en otro sitio, con enlaces acortados o dominios raros.
- Prometen rentabilidades altas y sin riesgo, algo que ninguna inversión legítima garantiza.
Qué hacer para protegerse
- Active la verificación en dos pasos de WhatsApp (Ajustes > Cuenta > Verificación en dos pasos). Con un PIN propio, aunque alguien obtenga el código del SMS, no puede registrar su número.
- Nunca comparta un código que le llegue por SMS, llamada o correo, ni siquiera con alguien que parezca conocido.
- Desconfíe de las «señales» y de los grupos VIP que le llegan sin haberlos pedido.
- Revise en WhatsApp, en Dispositivos vinculados, que no haya sesiones que no reconozca.
Encontrará más consejos prácticos en la Oficina de Seguridad del Internauta (OSI), el servicio de INCIBE para ciudadanos.
Si ya ha entregado el código
- Vuelva a registrar su número en WhatsApp cuanto antes: le llegará un código nuevo y, al introducirlo, la sesión del estafador se cierra.
- Active de inmediato la verificación en dos pasos.
- Avise a sus contactos y grupos de que pueden recibir mensajes extraños en su nombre.
- No borre nada: ni chats, ni el SMS, ni los mensajes del perfil o del grupo.
- Presente denuncia ante la Policía Nacional o la Guardia Civil y notifique el perfil y el grupo a Instagram y a WhatsApp.
Por qué importa conservar bien las pruebas
Una estafa así deja rastro: el perfil de Instagram, los mensajes, el enlace, el SMS con el código y la actividad en su cuenta. Pero también desaparece rápido, porque los estafadores borran perfiles y grupos en cuanto pueden. Una captura de pantalla suele ser insuficiente para un juzgado: conviene certificar el contenido con un perito informático, con cadena de custodia, antes de que se pierda. Si además usted ha sufrido un perjuicio (suplantación ante sus contactos, pérdida de dinero, daños profesionales), ese informe es la base de la denuncia y de una posible reclamación.
En GlobátiKa certificamos conversaciones de WhatsApp, perfiles y mensajes de redes sociales y analizamos el dispositivo cuando hace falta, siempre sobre lo que sigue presente en él. Si le ha ocurrido algo parecido, consulte nuestro servicio de perito de WhatsApp o contacte con nosotros; la primera valoración es confidencial y sin compromiso. Si la estafa terminó en una transferencia, le interesará también lo que explicamos sobre el fraude por Bizum y sobre el phishing y el fraude bancario.
Preguntas frecuentes
¿Qué hago si he escrito el código de WhatsApp en una web?
Vuelva a registrar su número en WhatsApp de inmediato para expulsar al estafador, active la verificación en dos pasos, avise a sus contactos y guarde todas las pruebas antes de denunciar.
¿Pueden leer mis chats antiguos con ese código?
El código no copia automáticamente el historial de su móvil, que está en el dispositivo y en sus copias de seguridad. Lo que sí consiguen es el control de la cuenta: reciben los mensajes nuevos, ven sus grupos y pueden suplantarle.
¿Por qué dan solo 10 segundos para introducir el código?
Porque el código de WhatsApp caduca, pero sobre todo porque la urgencia impide que la víctima se detenga a leer el SMS. Es una técnica de ingeniería social muy habitual en fraudes por mensajería.
¿Sirve una captura de pantalla como prueba en un juicio?
Puede aportarse, pero por sí sola tiene poca fuerza probatoria y es fácil de impugnar. Un informe pericial que certifica el origen, la integridad y la cadena de custodia de las pruebas es mucho más sólido.
¿Cómo puedo comprobar que no hay nadie más en mi WhatsApp?
En WhatsApp, entre en Ajustes > Dispositivos vinculados y cierre cualquier sesión que no reconozca. Si le aparece la pantalla de registro o pierde el acceso, vuelva a verificar su número.
