Mensajes de WhatsApp que no has enviado: aviso de INCIBE

Estafa de WhatsApp en iPhone: lo que ha detectado INCIBE

Tu WhatsApp funciona como siempre, nadie te ha quitado la cuenta y, sin embargo, tu hermana acaba de recibir un mensaje tuyo que le pide 980 € para una urgencia. Es lo que cuentan las personas que han llamado a INCIBE en los últimos días, y el Instituto Nacional de Ciberseguridad lo recoge en un aviso de importancia alta publicado el 14 de octubre de 2026.

Los mensajes siguen un guion conocido: una urgencia, un número de cuenta bancaria, la promesa de devolver el dinero al día siguiente y la petición de un justificante del pago. En otro de los ejemplos, la excusa es haber superado el límite de transferencias del banco, y la cantidad, 970 €. INCIBE advierte de que los importes y los pretextos pueden cambiar.

Lo nuevo es lo que no ves. Las personas afectadas conservan el acceso a WhatsApp y esos mensajes no aparecen en su historial. Te enteras cuando alguien te llama para preguntar, o cuando ya ha pagado.

Qué iPhone están en riesgo

INCIBE no da una lista cerrada. En las consultas que ha atendido predominan los teléfonos con versiones anteriores a iOS 18, y también ha recibido algunas de personas con iOS 26 anterior a iOS 26.7. El propio aviso aclara que esos datos describen los casos atendidos: no significa que todos los iPhone con esas versiones estén afectados.

Tampoco explica cómo se toma el control de la cuenta. Remite, eso sí, a un análisis de INCIBE-CERT del 28 de agosto de 2026 sobre casos parecidos detectados en Italia en mayo, en modelos del iPhone 8 al iPhone 14 con iOS 16. Allí, una empresa de informática forense apuntaba como hipótesis a dos fallos corregidos en 2025, uno de Apple (CVE-2025-43300) y otro de WhatsApp (CVE-2025-55177), que se pueden aprovechar sin que la víctima toque nada. WhatsApp no ha confirmado esa relación. La conclusión práctica no cambia: un iPhone y un WhatsApp sin actualizar son la puerta de entrada.

Según las notas de seguridad de Apple, esto es lo que admite cada modelo y lo que te toca hacer:

Cinco minutos para cerrar la puerta

Estas son las cuatro comprobaciones que propone INCIBE, en este orden:

1. Actualiza iOS. Mira tu versión en Ajustes > General > Información y actualiza en Ajustes > General > Actualización de software, con una copia de seguridad hecha antes. Que no aparezca ninguna actualización no demuestra que tu teléfono se haya quedado sin soporte: compruébalo en la ayuda de Apple.
2. Actualiza WhatsApp desde la App Store y activa las actualizaciones automáticas, tanto de las aplicaciones como del sistema.
3. Activa la verificación en dos pasos en Ajustes > Cuenta > Verificación en dos pasos y añade un correo de recuperación al que solo accedas tú. WhatsApp está sustituyendo el PIN de seis dígitos por una contraseña, así que usa lo que te pida tu versión. No compartas esa clave, ni el código de seis dígitos que llega por SMS o llamada cuando registras el número: son cosas distintas.
4. Revisa los dispositivos vinculados en Ajustes > Dispositivos vinculados y cierra las sesiones que no reconozcas. Que la lista esté limpia no descarta el problema: en los casos italianos no había ningún dispositivo desconocido.

Si tus contactos ya reciben mensajes que no has escrito

Aquí el orden importa. INCIBE explica que, en algunos de los casos atendidos, actualizar solo iOS o reinstalar WhatsApp antes de actualizar el sistema no bastó. La secuencia que sí los ha resuelto es esta:

1. Avisa por otro canal. Llama o manda un SMS a tus contactos: no has pedido dinero y no deben pagar.
2. Guarda pruebas antes de tocar nada. Pide a quienes recibieron los mensajes que conserven la conversación y hagan capturas, y apunta fechas, números y datos de los pagos.
3. Actualiza iOS primero, a la última versión compatible con tu modelo.
4. Haz una copia de tus chats y comprueba que ha terminado. Si nunca la has configurado, en la guía para hacer la copia del móvil explicamos dónde se guarda y cuánto ocupa.
5. Borra WhatsApp por completo, no basta con quitar el icono de la pantalla de inicio. Descárgalo de nuevo desde la App Store, registra tu número con el código de seis dígitos y, si la tienes, la clave de la verificación en dos pasos. Restaura la copia cuando te lo ofrezca.
6. Revisa otra vez los dispositivos vinculados. Si los mensajes siguen saliendo, contacta con el soporte de WhatsApp y, en España, con el 017, la línea de ayuda en ciberseguridad de INCIBE, gratuita y confidencial.

Si te piden dinero a ti

• Comprueba antes de pagar. Llama a esa persona por teléfono o contacta con ella por otro medio, nunca en la misma conversación de WhatsApp. Su nombre, su foto o su número de siempre no garantizan que sea ella quien escribe.
• Si ya has pagado, llama a tu banco por sus canales oficiales, explica que se trata de un fraude y pide que intente detener o recuperar la transferencia. La devolución no está garantizada.
• Guarda los mensajes y el justificante y denuncia. En España, ante la Policía Nacional o la Guardia Civil. Fuera de España, los pasos técnicos son los mismos; la ayuda y la denuncia, las de tu banco y la policía de tu país.

El móvil del negocio, el eslabón débil

Si en tu negocio hay un iPhone antiguo dedicado a WhatsApp, el de los pedidos o el de la recepción, es exactamente el perfil que describe el aviso. Y con un matiz incómodo: los mensajes falsos no saldrían hacia tu familia, sino hacia tus clientes y proveedores, que están acostumbrados a hablar de pagos contigo por ese canal.

Tres decisiones que no cuestan dinero:

• Retira del trabajo el teléfono que no pasa de iOS 16. Puede seguir sirviendo para otras cosas, pero no para la cuenta de WhatsApp Business ni para atender a clientes.
• Activa la verificación en dos pasos en todos los teléfonos del equipo, incluido el de quien solo lo usa para cuadrar turnos.
• Pacta una regla con clientes y proveedores: ningún pago ni cambio de número de cuenta se da por bueno por WhatsApp sin una llamada de comprobación. Es la misma regla que conviene tener en casa.

Si además te preocupan los avisos falsos que llegan por SMS o correo, en este repaso de las falsas notificaciones de la DGT, Hacienda y la Seguridad Social explicamos dónde comprobar si un aviso es real.