INCIBE avisa de dous fraudes que rouban contas de WhatsApp para pedir diñeiro aos seus contactos

Que pasou

O 21 de outubro de 2026, INCIBE (o Instituto Nacional de Ciberseguridade) publicou un aviso de importancia alta sobre unha nova fraude en WhatsApp. Chega unha mensaxe dun contacto coñecido que pide votar a un familiar ou a un coñecido nun suposto concurso de baile, cunha ligazón a unha páxina fraudulenta.

Esa páxina pide o número de teléfono e mostra un código que hai que introducir en WhatsApp. Como explica INCIBE, «ese código non serve para rexistrar un voto»: é o que autoriza a vincular un dispositivo externo á conta da vítima. A partir de aí, os atacantes poden escribir aos seus contactos facéndose pasar por ela, para pedir diñeiro ou para seguir difundindo o falso concurso.

Unha semana antes, o 14 de outubro, INCIBE publicara outro aviso de importancia alta: contas de WhatsApp en iPhone sen actualizar que se están a usar para pedir diñeiro aos contactos do seu dono.

Que sabemos

• Por que funciona o concurso: a mensaxe chega desde a conta de alguén coñecido que xa caeu. INCIBE resúmeo así: que proceda do seu número habitual «non garante que a escribise ela».
• O caso dos iPhone: segundo INCIBE, as persoas afectadas «seguen tendo acceso a WhatsApp e non ven esas mensaxes no seu historial». As mensaxes piden unha transferencia urxente coa promesa de devolvela ao día seguinte; nos exemplos do aviso, de 980 e 970 euros, aínda que INCIBE aclara que «os importes e as escusas poden variar».
• Versións de iOS: nas consultas que atendeu INCIBE predominan os iPhone con versións anteriores a iOS 18, con algúns casos de iOS 26 anterior a 26.7. Iso non implica que todos os usuarios desas versións estean afectados.

Que non sabemos aínda

INCIBE non dá cifras de contas afectadas nin de diñeiro perdido, nin di quen está detrás. No caso dos iPhone, o aviso non explica como envían os atacantes as mensaxes; si sinala que, nos casos atendidos, actualizar iOS non sempre bastou por si só.

Por que importa

Os dous avisos apuntan ao mesmo obxectivo: usar unha conta real para pedir diñeiro a quen confía nela. Non fai falta un número descoñecido nin unha mensaxe mal escrita; a mensaxe sae do número de sempre, coa foto de sempre. E no concurso, o paso decisivo dao a propia vítima ao introducir un código pensando que vota.

Que significa para unha peme

En moitas empresas pequenas, WhatsApp é unha canle de traballo máis: con clientes, con provedores e dentro do equipo. Por iso unha conta roubada non é só un problema persoal:

• se cae a conta do xerente, os atacantes poden pedirlle á persoa de administración unha transferencia «urxente» que parece vir do seu xefe;
• se cae a dun empregado, poden escribir a clientes e provedores en nome da empresa;
• un concurso de baile é xusto o tipo de mensaxe que se reenvía nun grupo de traballo «por facer un favor».

É o mesmo mecanismo que a fraude do CEO (en castelán), pero por WhatsApp en lugar de por correo.

Que debería facer a túa empresa esta semana

1. Activa a verificación en dous pasos de WhatsApp (PIN e correo de recuperación, como recomenda INCIBE) nos móbiles de traballo, empezando polo xerente e por quen xestiona os pagamentos.
2. Revisa os dispositivos vinculados desas contas e pecha calquera sesión que non recoñezas.
3. Actualiza os iPhone e WhatsApp, e activa as actualizacións automáticas.
4. Fixa unha norma para todo o equipo: ningunha petición de diñeiro ou de cambio de conta que chegue por WhatsApp se atende sen unha chamada de confirmación ao número coñecido. E os códigos de WhatsApp non se comparten nunca, nin para votar nin por ningún outro motivo.
5. Se alguén xa caeu: pecha as sesións descoñecidas, avisa os contactos por outra vía e, se se enviou diñeiro, chama ao banco de inmediato e denúncialo. INCIBE atende de balde no 017.

Recoñecer este tipo de enganos a tempo é xusto o que traballamos na formación contra o phishing.