WhatsApp clonado: 6 señales y qué hacer en los primeros minutos

Abres WhatsApp y te pide verificar tu número otra vez. O peor: la app abre normal, pero un amigo te escribe preguntando por qué le pediste R$ 800 prestados. En ambos casos, alguien más está usando tu cuenta. "Clonación" es el nombre popular, pero técnicamente casi nunca se copia nada: el estafador convence a la víctima de entregar el código de activación o de escanear un código QR, y pasa a operar la cuenta como si fuera el dueño.

Cómo se clona una cuenta de WhatsApp en la práctica

Según ESET, hay tres caminos comunes, y ninguno depende de una falla de la aplicación:

• Código de activación pedido con un pretexto: el estafador inicia el registro de tu número en WhatsApp y recibes un SMS con un código de seis dígitos. Luego te pide ese código diciendo que lo envió "por error", o que es de un sorteo o de una oferta de empleo. Quien da el código entrega la cuenta.
• WhatsApp Web mediante código QR: el atacante consigue que escanees un código QR, o usa tu celular desbloqueado por unos segundos, y deja una sesión abierta en su computadora. Sigues usando la app con normalidad, sin notar nada.
• Ingeniería social sobre la cuenta ya tomada: con el acceso, escribe a tus contactos pidiendo dinero. Es el mismo guion del fraude del "hola, mamá", solo que ahora llega desde tu número verdadero, lo que lo hace mucho más convincente.

Si el estafador controla tu tarjeta SIM, el código le llega directamente a él. Ese caso es distinto y se explica en SIM swap: el fraude del chip que vacía cuentas bancarias.

6 señales de que tu WhatsApp fue clonado

1. La app te pide verificar el número sin motivo, o avisa que el número ya está registrado en otro dispositivo. WhatsApp no permite la misma cuenta activa en dos teléfonos a la vez, así que un nuevo registro desconecta el tuyo.
2. Tus contactos reportan mensajes que no enviaste, casi siempre con pedidos de dinero o de un código.
3. Mensajes marcados como leídos y audios como reproducidos sin que hayas tocado nada. Es la señal típica de una sesión intrusa en WhatsApp Web.
4. En "Dispositivos vinculados" aparece uno que no reconoces, o un navegador en un horario en que no lo usabas.
5. Recibiste un SMS con un código de seis dígitos que no pediste. Alguien intentó registrar tu número, y que llegue el código indica que el intento está en curso.
6. Chats borrados o grupos de los que te sacaron sin explicación.

¿Cómo saber si alguien usa mi WhatsApp en una computadora?

Abre el menú de WhatsApp, entra en "Dispositivos vinculados" y revisa la lista. Toca cualquier sesión que no reconozcas y ciérrala con "Cerrar sesión". La pantalla muestra la hora del último uso, lo que ayuda a distinguir tu portátil de una sesión ajena.

Qué hacer en los primeros minutos

Todavía tengo acceso a la app

1. En "Dispositivos vinculados", cierra sesión en todo lo que no sea tuyo.
2. Activa ya la verificación en dos pasos (paso a paso más abajo). Esto bloquea un nuevo registro aunque el estafador consiga otro código por SMS.
3. Avisa a tus contactos por otro canal, o por tu estado, para que ignoren pedidos de dinero que lleguen de ti.

Perdí el acceso a la cuenta

1. Vuelve a instalar WhatsApp, ingresa tu número y pide el código por SMS. Si el chip es tuyo, el código te llega a ti y tu registro desconecta el del estafador.
2. Si aparece un PIN de seis dígitos que tú no creaste, el atacante activó la verificación en dos pasos en tu cuenta. En ese caso usa el soporte de WhatsApp (Ayuda > Contáctanos, o el correo de soporte que indica la propia pantalla) y espera el plazo de liberación.
3. Avisa a tus contactos y, si hubo algún Pix (el sistema de pagos instantáneos de Brasil), comunícate de inmediato con tu banco y presenta una denuncia policial.
4. Cambia la contraseña de tu correo y de otras cuentas que usen el mismo número como segundo factor.

Cómo activar la verificación en dos pasos en WhatsApp

Ruta citada por ESET: Configuración > Cuenta > Verificación en dos pasos > Activar. Creas un PIN de seis dígitos y lo confirmas. Desde entonces, cualquier registro de tu número en otro dispositivo exige ese PIN.

• Evita un PIN obvio: secuencias, tu fecha de nacimiento o parte del teléfono son lo primero que probaría alguien que te conoce.
• Registra un correo de recuperación al que realmente accedas y que tenga su propio 2FA activado.
• Nunca compartas el PIN ni el código SMS con nadie. Ningún soporte legítimo de WhatsApp los pide por mensaje.

Este PIN es distinto del 2FA por aplicación que se usa en otras cuentas, y conviene configurar ambos. Para el segundo hay una guía en cómo configurar 2FA con TOTP en Gmail, Instagram y WhatsApp.

Hábitos que reducen el riesgo

• No escanees códigos QR de origen dudoso. La variante con QR falso se detalla en quishing: el fraude del código QR falso.
• Bloquea el celular con biometría o una contraseña fuerte y reduce el tiempo de bloqueo automático.
• Revisa "Dispositivos vinculados" de vez en cuando, aunque no sospeches nada.
• Desconfía de cualquier mensaje urgente que pida dinero, incluso de un contacto conocido. Llama antes de pagar.

La lección de fondo

A WhatsApp casi nunca lo "hackean": se lo entregan. El ataque funciona porque el estafador necesita una sola cosa, un código de seis dígitos que la víctima escribe por su cuenta. Quien trata ese código como la contraseña del banco y activa el PIN de dos pasos cierra la puerta principal. Para entender por qué este tipo de fraude funciona incluso con antivirus instalado, lee ingeniería social: el ataque que ningún antivirus bloquea. Si esta guía te ayudó, los botones de compartir al final llevan la alerta a quien aún no activó el PIN.