WhatsApp informó que detectó y bloqueó intentos de ingeniería social relacionados con herramientas de espionaje. Los atacantes buscaban convencer a sus objetivos de abrir enlaces maliciosos que llevaban a páginas externas. El caso demuestra que el cifrado de extremo a extremo no elimina todos los riesgos: una conversación puede estar protegida, pero el usuario todavía puede ser engañado para salir de la aplicación y entregar acceso a su dispositivo.
Este tipo de ataque no suele comenzar con una pantalla llena de códigos. Puede aparecer como un mensaje urgente, una invitación, un documento, una supuesta alerta de seguridad o un enlace enviado por una persona conocida cuya cuenta fue comprometida.
Qué detectó WhatsApp
La compañía explicó que investigó reportes de usuarios y logró interrumpir intentos de spear phishing vinculados a NSO Group. Los atacantes trataban de llevar a las víctimas hacia sitios externos mediante enlaces diseñados para parecer confiables.
WhatsApp también identificó cuentas y grupos de prueba utilizados por los responsables y procedió a eliminarlos. La investigación refuerza una idea importante: el ataque puede utilizar WhatsApp como punto de contacto, pero el intento de infección puede continuar en el navegador, el correo, los mensajes de texto u otra aplicación.
Qué es el spear phishing
El phishing común se envía de forma masiva. El spear phishing es más personalizado. El atacante investiga a la víctima, conoce su trabajo, sus contactos o sus intereses y crea un mensaje diseñado específicamente para ella.
Una persona puede recibir un enlace que parece enviado por un compañero, una entidad pública, una empresa, un medio de comunicación o un familiar. El mensaje puede incluir información real obtenida de redes sociales para aumentar la credibilidad.
Ejemplos de mensajes utilizados
- “Mira el documento donde apareces mencionado”.
- “Tu cuenta será suspendida, verifica ahora”.
- “Te enviaron una citación o una factura pendiente”.
- “Estas son las fotos del evento de ayer”.
- “Necesito que revises esta propuesta urgente”.
- “Alguien intentó entrar a tu cuenta, confirma tu identidad”.
¿Un enlace puede instalar spyware?
En algunos ataques, el enlace lleva a una página falsa que roba contraseñas. En otros, puede intentar aprovechar una vulnerabilidad del navegador o del sistema operativo. Los ataques más sofisticados están dirigidos a objetivos específicos y pueden utilizar fallas desconocidas o recientemente descubiertas.
No todos los enlaces instalan automáticamente un programa espía, pero ninguno debe abrirse por presión o curiosidad. El riesgo aumenta cuando el celular está desactualizado, se utilizan navegadores antiguos o se instalan aplicaciones fuera de las tiendas oficiales.
Qué puede hacer un spyware en el teléfono
Un programa espía avanzado puede intentar acceder a mensajes, fotografías, archivos, ubicación, micrófono, cámara o información almacenada en el dispositivo. Las capacidades dependen del ataque, del sistema y de los permisos obtenidos.
Algunas infecciones generan señales visibles, como calentamiento, consumo de batería o aplicaciones desconocidas. Otras están diseñadas para pasar desapercibidas. Por eso, la ausencia de síntomas no garantiza que un dispositivo esté limpio, y un consumo elevado de batería tampoco demuestra por sí solo que exista espionaje.
Cómo proteger WhatsApp y el celular
1. Actualiza el sistema operativo
Instala las actualizaciones de Android o iOS tan pronto como estén disponibles. Muchas correcciones cierran vulnerabilidades que ya son conocidas por investigadores y atacantes.
2. Actualiza WhatsApp desde la tienda oficial
No descargues versiones modificadas, APK desconocidos ni aplicaciones que prometan funciones ocultas. Además del riesgo de bloqueo, pueden incluir código malicioso.
3. Activa la verificación en dos pasos
Entra en Configuración > Cuenta > Verificación en dos pasos. Crea un PIN único y agrega un correo de recuperación protegido con autenticación adicional.
4. Revisa los dispositivos vinculados
Abre la sección Dispositivos vinculados y cierra cualquier navegador, computadora o dispositivo que no reconozcas. Repite esta revisión con frecuencia.
5. Silencia llamadas de desconocidos
Esta opción reduce interrupciones y dificulta algunas campañas de acoso o engaño. Las llamadas seguirán apareciendo en el registro, pero no sonarán.
6. Utiliza los ajustes estrictos de la cuenta
WhatsApp presentó una modalidad de seguridad reforzada llamada Strict Account Settings. Está diseñada para aplicar configuraciones más restrictivas, como bloquear automáticamente ciertos archivos de remitentes desconocidos, silenciar llamadas y limitar funciones que podrían aumentar la exposición.
7. No abras enlaces por urgencia
Antes de tocar un enlace, confirma por otro medio que la persona realmente lo envió. Un contacto conocido también puede tener la cuenta comprometida.
Cómo revisar un enlace sin abrirlo
Mantén presionado el enlace para observar la dirección completa. Revisa si el dominio está escrito correctamente, si contiene caracteres extraños o si intenta imitar una empresa conocida. Un candado HTTPS no garantiza que el sitio sea legítimo; únicamente indica que la conexión está cifrada.
Evita servicios desconocidos que prometen “analizar” un enlace y terminan solicitando datos personales. Cuando el mensaje involucra una cuenta bancaria, una entidad oficial o una plataforma, entra escribiendo la dirección en el navegador o usando la aplicación oficial.
Qué hacer si ya abriste el enlace
- Cierra la página y no descargues archivos.
- No escribas contraseñas ni códigos.
- Actualiza el sistema operativo y las aplicaciones.
- Revisa aplicaciones instaladas recientemente.
- Cambia las contraseñas desde otro dispositivo confiable si las entregaste.
- Cierra sesiones abiertas en correo, redes sociales y banca.
- Contacta a la entidad financiera si compartiste datos bancarios.
- Guarda capturas del mensaje para reportarlo.
Si el ataque estaba dirigido específicamente contra ti por tu trabajo, actividad pública o acceso a información sensible, busca apoyo de un especialista en respuesta a incidentes. Evita restaurar o manipular el equipo sin conservar evidencia, especialmente si puede existir una investigación.
Señales de una posible cuenta comprometida
- Mensajes enviados que no recuerdas.
- Sesiones desconocidas en dispositivos vinculados.
- Códigos de verificación que no solicitaste.
- Cambio inesperado de foto, nombre o información.
- Contactos que reciben solicitudes de dinero desde tu cuenta.
- Pérdida repentina de acceso a WhatsApp.
Estas señales suelen estar relacionadas con robo de cuenta y no necesariamente con spyware avanzado. Aun así, requieren una respuesta inmediata.
Preguntas frecuentes
¿Pueden espiarme solo por recibir un mensaje?
La mayoría de los ataques necesita alguna acción, como abrir un enlace, instalar un archivo o entregar un código. Sin embargo, los ataques avanzados pueden aprovechar vulnerabilidades, por lo que mantener el sistema actualizado es esencial.
¿El cifrado de WhatsApp evita el spyware?
El cifrado protege el contenido durante el envío, pero no puede proteger un teléfono que ya fue comprometido ni impedir que una persona entregue voluntariamente sus credenciales.
¿Un antivirus detecta todos los programas espía?
No. Puede ayudar a identificar amenazas conocidas, pero las herramientas sofisticadas pueden evadir controles. La prevención, las actualizaciones y el análisis especializado siguen siendo importantes.
¿Debo cambiar de número?
No siempre. Cambiar el número no elimina una infección del dispositivo. Primero debes identificar si el problema es un robo de cuenta, una estafa, una aplicación maliciosa o un posible compromiso técnico.
¿Restaurar el celular soluciona todo?
Una restauración puede eliminar muchas amenazas comunes, pero también borra evidencia y no garantiza solucionar ataques muy avanzados. En casos sensibles se recomienda asesoría técnica antes de hacerlo.
Conclusión
La principal lección del nuevo reporte de WhatsApp es que los atacantes continúan utilizando la confianza y la urgencia. No necesitan romper el cifrado si logran convencer a la víctima de abrir una página, instalar un archivo o entregar un código.
Actualiza el celular, activa las funciones de seguridad, revisa dispositivos vinculados y confirma cualquier mensaje inesperado. En ciberseguridad, detenerse unos segundos antes de tocar un enlace puede evitar la pérdida de una cuenta, información privada o dinero.
Fuentes oficiales:
https://about.fb.com/news/2026/06/fighting-spyware-an-update-from-whatsapp/
https://about.fb.com/news/2026/01/whatsapp-strict-account-settings-safeguarding-against-cyber-attacks/
No responses yet