«¿Me ayudas con tu voto?»: el código no era un voto

Ayer, miércoles 21, INCIBE publicó un aviso con importancia alta: «Un falso concurso de baile permite a los ciberdelincuentes utilizar tu cuenta de WhatsApp». El mensaje llega desde el WhatsApp de alguien conocido y, en la versión que recoge Maldita, dice esto:

¡Buen día! La hija de mis amigos, Sophie, está en una competencia donde se gana una beca y la chance de subir al escenario. ¿Me ayudas con tu voto?

Hay otra versión idéntica en la que la niña se llama Eliska. Los nombres cambian, el premio cambia y la dirección del enlace cambia. Lo que no cambia es lo que pasa cuando votas: no votas. Le das tu cuenta de WhatsApp a otra persona. Y el engaño consigue que esa autorización salga de tu propio teléfono, siguiendo unas instrucciones que parecen las de cualquier votación por internet.

El voto y el código están en una pantalla, y la cuenta acaba abierta en otra. Ilustración generada con IA para este artículo; no representa ninguna página ni mensaje reales del caso.

Lo que pasa de verdad

El viernes pasado conté aquí un caso muy distinto: cuentas de WhatsApp en iPhone antiguos que piden dinero sin que su dueño recuerde haber hecho nada, por un mecanismo que todavía no está explicado del todo. Aquí no hace falta ningún fallo: el mecanismo documentado consiste en engañar al usuario para que autorice una función normal de WhatsApp, usada tal y como se diseñó:

1. Abres el enlace. La página simula una votación y, antes de dejarte votar, te pide tu número de teléfono.
2. Por detrás, la página pide a WhatsApp que vincule un dispositivo nuevo a ese número. Es la opción de vincular con el número de teléfono en lugar de con el código QR: el dispositivo nuevo enseña un código y el dueño de la cuenta lo escribe en su móvil.
3. El dispositivo nuevo es un navegador que controla el atacante, así que el código lo recibe él. Y la página te lo enseña a ti, con instrucciones para escribirlo en WhatsApp.
4. Vas a WhatsApp, entras en Dispositivos vinculados y escribes el código. Crees que estás confirmando el voto.
5. Acabas de autorizar ese navegador como uno de tus dispositivos. A partir de ahí puede leer lo que sincronice tu cuenta, recibir tus mensajes nuevos y escribir a tus contactos y a tus grupos como si fueras tú.

El aviso lo resume en una frase que conviene leer despacio: «Ese código no sirve para registrar un voto: autoriza la vinculación de un dispositivo externo a la cuenta».

Y luego viene el detalle que hace que esto dure: tú sigues usando WhatsApp como siempre. No te echan, no te cambian la contraseña, no se te cierra nada. El navegador del atacante es un dispositivo más, como el WhatsApp Web del ordenador del trabajo. Según INCIBE, conservar el acceso a la aplicación «no significa que nadie más esté utilizando la cuenta».

El código no dice para qué sirve

El fallo de razonamiento que explota esto es muy humano, y no es de despistados. Llevamos años escribiendo códigos que nos manda alguien: el del banco, el de la paquetería, el de la cita del médico, el de entrar en una web. Hemos aprendido que un código es una formalidad, un trámite para demostrar que somos nosotros.

Pero un código no lleva escrito para qué sirve. Eso lo dice la pantalla donde lo escribes. Los mismos ocho caracteres pueden ser un voto en la página que te los enseña y una autorización en la pantalla de WhatsApp donde los tecleas, y lo que cuenta es lo segundo. La página falsa no tiene que engañar a WhatsApp, que hace exactamente lo que tiene que hacer. Le basta con contarte a ti una historia distinta sobre lo que estás haciendo.

La vinculación con número de teléfono da por hecho que las dos pantallas son tuyas: el ordenador donde quieres abrir WhatsApp y el móvil donde confirmas. Es lo razonable, porque así es como se usa. Y la confirmación sale de tu propio móvil, que es justo la prueba que WhatsApp pide para fiarse: el atacante no tiene que falsificarla, porque se la das tú. Gen Digital, que documentó la técnica en diciembre de 2025 con el nombre de GhostPairing, lo describe muy bien: el código está pensado para que lo vea solo el dueño de la cuenta, y la página del atacante se lo enseña a él.

La misma lógica de engaño aparece también en empresa, con otra tecnología debajo. En febrero de 2025, Microsoft describió una campaña que conseguía acceso a cuentas de Microsoft 365 invitando a la víctima a una reunión falsa y pidiéndole que iniciara sesión, en la página auténtica de Microsoft, con un código que había generado el atacante. Página verdadera, código verdadero, acceso para otro. Microsoft dejó claro que no era un fallo de sus productos, y tenía razón: en los dos casos, la otra pantalla está en manos de otro.

De ahí sale la única regla que hace falta recordar: antes de escribir un código, lee qué estás autorizando en la aplicación donde lo escribes. Si WhatsApp dice que vas a vincular un dispositivo, estás vinculando un dispositivo, aunque la web lo llame votar. Puede ser justo lo que quieres, cuando el ordenador que vinculas es el tuyo y lo tienes delante. Si lo que querías era votar, ver una foto o recoger un paquete, no lo es.

No te pide dinero. Te pide un favor de nada

Lo interesante del concurso de baile es lo poco que pide. No hay urgencia ni dinero, ni ningún «mándame el justificante». Te piden un voto, que es gratis, lleva diez segundos y es para una niña. Negarse queda peor que hacerlo, y nadie se para a desconfiar de un favor tan pequeño, pedido por alguien que conoce.

El dinero viene después, y no te lo piden a ti. Con tu cuenta en la mano, el atacante tiene dos opciones, y el aviso las recoge las dos: pedir dinero a tus contactos haciéndose pasar por ti, o mandarles el mismo concurso. La segunda es la que hace que esto crezca solo. Cada víctima es el remitente de confianza de la siguiente. El mensaje que te llegó a ti puede haber salido de su cuenta sin que lo supiera, y la persona a la que le llegue desde tu número tampoco sabrá que no eres tú.

Es fácil imaginar dónde entra con más facilidad: en un grupo de padres del colegio, donde votar por la hija de unos amigos es exactamente el tipo de cosa que se hace sin pensar.

El texto, por cierto, tiene pinta de traducido: «competencia», «la chance». Sería tentador quedarse con eso como pista, pero no conviene. La próxima puede llegar en perfecto castellano, o en euskera.

No es nuevo: es el disfraz el que cambia

Lo que cuenta INCIBE es lo que está llegando ahora a su línea de consultas. El truco lleva más tiempo en circulación:

Una foto, un concurso infantil, una beca: el disfraz se cambia en una tarde y lo de debajo sigue igual. Por eso aprenderse el disfraz sirve de poco. Lo que sirve es reconocer el gesto: escribir en tu WhatsApp, para vincular un dispositivo, un código que te ha dado otro.

La buena noticia: esta vez la comprobación funciona

En el caso del iPhone de la semana pasada, el consejo de siempre, el de revisar los dispositivos vinculados, no descartaba nada, porque no aparecía ninguno. Aquí es al revés: lo que hace el atacante es justamente añadir un dispositivo, y ese dispositivo está en la lista. Revisarla de vez en cuando cuesta medio minuto:

• Android: WhatsApp → menú de los tres puntos → Dispositivos vinculados.
• iPhone: WhatsApp → Configuración → Dispositivos vinculados.

Si ahí hay algo que no reconoces, tócalo y pulsa Cerrar sesión. Si te da tiempo sin retrasarlo, haz antes una captura de lo que pone, por si luego hay que denunciar.

Qué hacer, según dónde estés

Si te ha llegado el mensaje y no has hecho nada:

• No abras el enlace. Y si lo abres, no escribas ni tu número ni ningún código.
• Llama a quien te lo ha mandado. INCIBE lo dice muy claro: que llegue desde su número de siempre no garantiza que lo haya escrito esa persona. Preguntar «¿eres tú?» en el mismo chat no es una comprobación fiable: el atacante también puede responder.
• No lo reenvíes, ni siquiera para avisar: avisa por otro canal. Si quieres, repórtalo a INCIBE con una captura y luego bórralo.

Si abriste el enlace o escribiste tu número, pero no el código:

• Cierra la página. Según el aviso, abrir el enlace o escribir el número no basta por sí solo para vincular nada. Aun así, revisa Dispositivos vinculados y desconfía de cualquier petición de código que te llegue estos días.

Si escribiste el código, o tus contactos te dicen que les escribes cosas raras:

• Cierra la sesión de cualquier dispositivo que no reconozcas, como se explica más arriba. Es lo primero, y lo que de verdad echa al atacante.
• Avisa a tus contactos por otro canal: que pueden haber recibido mensajes que no son tuyos, que no abran el enlace y que no paguen nada.
• Activa la verificación en dos pasos, en Cuenta → Verificación en dos pasos, con un PIN y un correo de recuperación que sea solo tuyo. Protege contra otra forma muy común de robar cuentas, la del código de registro que alguien te convence de que le reenvíes. INCIBE avisa, eso sí, de que no sustituye a cerrar las sesiones desconocidas.
• Guarda pruebas: capturas, conversaciones, la dirección de la página y las fechas. Pide a tus contactos que no borren lo que les llegó.
• Vuelve a mirar los dispositivos vinculados al cabo de un rato. Si reaparece alguno, siguen saliendo mensajes o has perdido el acceso, toca escribir al soporte oficial de WhatsApp.

Si alguien ha pagado:

• Llamar al banco en ese momento, por sus canales oficiales, para que intente parar o recuperar la transferencia, cosa que no está garantizada. Conservar los justificantes y denunciar.
• Y si no sabes por dónde empezar, el 017 de INCIBE es gratis y confidencial.

Diez segundos y un favor

Lo que me parece más fino de este fraude es que no necesita convencerte de nada difícil. No te pide que te creas una herencia en Nigeria ni que un banco te escriba desde un número raro. Te pide algo que harías de todos modos por un amigo, y te hace llegar a la pantalla donde se entrega la cuenta pensando que estás en otra.

Ya escribí en el Mes de la Ciberseguridad que la petición se comprueba fuera del canal por el que ha llegado. Esto es su versión más pequeña, y por eso cuesta más acordarse: un voto no parece algo que haya que comprobar. Pero la comprobación está ahí mismo, en la pantalla donde escribes el código. La historia del concurso la cuenta la web; lo que de verdad estás haciendo lo dice WhatsApp. Todo el fraude consiste en que no leas lo segundo. Y un voto de verdad nunca necesita que vincules nada.

Lo que el artículo atribuye a INCIBE sale de su aviso a la ciudadanía del 21-10-2026. El texto del mensaje de Sophie es el que reproduce Maldita ese mismo día. El funcionamiento detallado de la vinculación por código y lo que puede hacer la sesión del atacante salen del análisis de Gen Digital del 15-12-2025; la campaña del Teatro Real, de la información de ESET recogida por Escudo Digital el 12-04-2025; y el caso de Microsoft 365, del blog de seguridad de Microsoft del 13-02-2025.