Una modalidad de fraude en rápida expansión está poniendo en riesgo a usuarios de WhatsApp en distintos países, aprovechando una de las funciones más recientes de la aplicación: compartir la pantalla durante una videollamada. Lo que se creó como una herramienta útil para la asistencia técnica o el trabajo en equipo ha sido convertido por los ciberdelincuentes en un mecanismo para obtener información confidencial, usurpar identidades y sustraer grandes cantidades de dinero. Los casos se disparan en regiones como Reino Unido, India, Brasil y Hong Kong, donde una persona llegó a perder HK$5,5 millones (cerca de 600.000 euros) tras caer en una estafa cuidadosamente planificada.
La compañía de ciberseguridad ESET detalla el modo de actuación de estos fraudes y las pautas imprescindibles para evitar convertirse en víctima.
“Los estafadores son conscientes de que el miedo anula el razonamiento. Si consiguen generar pánico en los primeros instantes de la llamada, ya llevan gran ventaja”, explica Josep Albors, director de Investigación y Concienciación de ESET España. “El acto de compartir la pantalla otorga a los atacantes acceso total a la vida digital del usuario. Es como entregarles una llave que abre todas las puertas”.
Un fraude que explota la confianza y el miedo
A diferencia de ataques más técnicos, este fraude se apoya principalmente en la manipulación psicológica: generar confianza, introducir un problema urgente y obtener control sobre la víctima. El mecanismo suele seguir estos pasos:
- La llamada inicial: El engaño comienza con una videollamada de un número desconocido. El estafador puede hacerse pasar por un” empleado de un banco, servicio técnico de WhatsApp o Meta, o incluso simular ser un familiar con un problema urgente. Para dar credibilidad, suelen suplantar un número local y mantener su cámara apagada o con la imagen borrosa.
- La urgencia: El atacante plantea un falso escenario crítico, por ejemplo, un cargo sospechoso en la tarjeta, una sesión abierta en otro dispositivo, un premio pendiente o el riesgo de suspensión de la cuenta. La meta es activar el miedo y lograr que la persona actúe sin pensar.
- La “ayuda” mediante compartir pantalla: Para “resolver” el supuesto problema, el estafador solicita compartir la pantalla del móvil o incluso instalar aplicaciones legítimas de acceso remoto como AnyDesk o TeamViewer. En ese momento, puede ver códigos de verificación, mensajes entrantes y cualquier movimiento en tiempo real, lo que le permite tomar control del WhatsApp de la víctima.
- Acceso a datos sensibles: Con la visibilidad completa del dispositivo, los criminales pueden robar contraseñas, OTPs, SMS, códigos 2FA, o incluso guiar a la víctima para que abra su app bancaria y realizar transferencias bajo engaño. También pueden inducir a la instalación de malware, como keyloggers.
- Robo de cuentas y dinero: Una vez dentro, pueden vaciar cuentas bancarias, tomar control de redes sociales y continuar la cadena delictiva suplantando a la víctima para estafar a familiares y contactos.
Cómo protegerse de este tipo de estafas
El éxito del fraude se basa en tres factores: confianza, urgencia y control. Reducir el riesgo depende más de la conducta del usuario que de las herramientas tecnológicas. ESET recomienda:
- Nunca compartas la pantalla con desconocidos: Especialmente si la llamada es inesperada. Ante cualquier supuesta alerta bancaria o técnica, corta la llamada y contacta directamente a la institución por canales oficiales.
- No compartas contraseñas ni códigos: Ningún banco, servicio o empresa te solicitará claves, PINs o códigos de verificación mediante llamadas o mensajes no solicitados.
- Evita instalar aplicaciones de acceso remoto por indicación de terceros: Estos programas dan control total del dispositivo y son una de las puertas principales de este fraude.
- Verifica cualquier información alarmante: Los estafadores buscan generar pánico y acelerar decisiones. Lo mejor es detenerse, analizar la situación y comprobar todo de forma independiente.
- Activa la verificación en dos pasos en WhatsApp: En Configuración, Cuenta y Verificación en dos pasos, creando un PIN adicional que bloquea accesos no autorizados incluso si obtienen los códigos de inicio de sesión.
