Alertan de una campaña de mensajes para acceder fraudulentamente a cuentas de WhatsApp con la excusa de votar en un falso concurso de baile

La Oficina de Seguridad del Internauta (OSI) del Instituto Nacional de Ciberseguridad (Incibe) alerta de una campaña de mensajes de WhatsApp fraudulentos con un falso concurso de baile que permite a los ciberdelincuentes utilizar la cuenta de la aplicación de mensajería de las víctimas para pedir dinero a sus contactos.

Los falsos mensajes solicitan votar por un familiar o conocido en un supuesto concurso de baile, llegan desde cuentas de contactos y contienen un enlace a una página fraudulenta. El objetivo es vincular un dispositivo externo a la cuenta de la víctima y así, escribir a sus contactos sin autorización.

¿Cómo funciona el engaño?

El Incibe señala que han tenido conocimiento de que en uno de los mensajes enviados por los ciberdelincuentes se solicita el voto para una niña llamada Sophie, presentada como la hija de unos amigos. El mensaje indica que el premio incluye una beca y un lugar en el escenario. Este reclamo busca que el destinatario acceda al enlace confiando en quien aparentemente le pide ayuda. Los nombres, los premios y las direcciones utilizadas pueden variar.

Al abrir el enlace, la persona llega a una página que simula gestionar la votación. Allí se le pide su número de teléfono y se le muestra un código acompañado de instrucciones para introducirlo en WhatsApp mediante la opción de vincular un dispositivo con el número de teléfono. El Incibe lo advierte claramente: ese código no sirve para registrar un voto, sino que autoriza la vinculación de un dispositivo externo a la cuenta.

Si se siguen los pasos, los ciberdelincuentes aprovechan así una función legítima de WhatsApp para utilizar la cuenta desde un dispositivo que controlan. La víctima puede seguir utilizando WhatsApp en su teléfono mientras los hackers envían mensajes desde la sesión vinculada. Por tanto, conservar el acceso a la aplicación no significa que nadie más esté utilizando la cuenta.

Una vez vinculados, los ciberdelincuentes pueden hacerse pasar por la víctima para pedir dinero a sus contactos o enviarles el mismo reclamo del concurso. De esta forma, el fraude se propaga aprovechando la confianza entre personas conocidas.

Recomendaciones

El organismo recomienda no acceder al enlace ni facilitar el número de teléfono u otros datos en la página fraudulenta. De haberlo hecho, aconseja a las víctimas cerrar la web y no continuar con las instrucciones que da, ya que recuerda que haber accedido al enlace o facilitar el número no implica que se haya vinculado la cuenta. Por lo que recomienda estar atento a solicitudes o mensajes sospechosos y mantener actualizadas las aplicaciones.

En el caso de haber realizado todos los pasos y haber vinculado la cuenta facilitando el código a los ciberdelincuentes, el Incibe recomienda cerrar las sesiones de WhatsApp que no reconozcamos, avisar por otro canal a los contactos y activar la verificación en dos pasos.

Si el fraude ha conseguido su objetivo final, el envío de dinero por parte de la víctima, el Incibe aconseja contactar inmediatamente con la entidad bancaria por los canales oficiales para intentar recuperar el dinero y presentar una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado aportando todas las pruebas disponibles.