Tu WhatsApp está pidiendo dinero y tú no lo ves

El miércoles 14, INCIBE publicó un aviso con importancia alta y un título que se explica solo: «Los ciberdelincuentes están utilizando cuentas de WhatsApp en iPhone sin actualizar para pedir dinero a sus contactos».

El mensaje en sí no tiene nada nuevo. Una urgencia, una cuenta bancaria, 980 euros que se devuelven mañana y «mándame el justificante cuando lo hagas». En otro ejemplo son 970, porque quien escribe dice que ha superado su límite de transferencias. Es el timo de siempre, el del familiar con prisa.

Lo nuevo es lo que cuenta INCIBE de las personas desde cuya cuenta se mandan. Han llegado «una oleada de consultas» de usuarios cuyos contactos reciben mensajes que ellos no han escrito. Siguen teniendo acceso a su WhatsApp. Y los mensajes no aparecen en su historial.

Así le llega a quien recibe los mensajes: el contacto de siempre, en el chat de siempre, con las mismas excusas que recoge el aviso de INCIBE. Ilustración generada con IA para este artículo; no representa ningún teléfono ni mensaje reales del caso.

Quien se entera es tu cuñado

Piénsalo desde el lado de quien tiene el iPhone. No recuerda haber pulsado ningún enlace, ni haber dado ningún código por SMS, ni haber escaneado ningún QR. Su WhatsApp funciona con normalidad y en sus chats no hay nada raro. La primera noticia que tiene del asunto es una llamada: «Oye, ¿tú me has pedido 980 euros?».

Y si hace lo que recomienda cualquier guía, que es ir a Ajustes → Dispositivos vinculados para ver quién más está usando su cuenta, lo más probable es que no encuentre nada. El propio aviso lo advierte con una frase que conviene leer dos veces:

No encontrar dispositivos desconocidos no descarta por sí solo un uso no autorizado.

Esa revisión de los dispositivos vinculados es el consejo de manual, y aquí no sirve para descartar nada. Tampoco basta con reinstalar la aplicación, según el mismo aviso: «No des por resuelto el problema solo por reinstalar la aplicación».

De dónde viene

El aviso para la ciudadanía no explica el fallo técnico. Dice que afecta a iPhone con iOS 16 o anterior, y entre sus referencias enlaza una entrada que INCIBE-CERT publicó el 28 de agosto. Ahí está la historia, y empieza más de un año antes:

Lo que se sabe y lo que es hipótesis

Aquí conviene no mezclar columnas, porque la versión que va a circular estos días es «un fallo de WhatsApp roba cuentas sin tocar nada», y eso todavía no está demostrado.

Lo de la segunda columna es de Forenser. Según Security Affairs, en un teléfono de pruebas con un iOS vulnerable consiguieron sacar el material criptográfico de la sesión y arrancar con él un WhatsApp en otro sitio, sin que el dueño recibiera ningún aviso. Eso explicaría por qué no aparece ningún dispositivo vinculado. Pero la propia Forenser lo presenta como hipótesis, y la entrada de INCIBE-CERT lo deja claro: WhatsApp no ha confirmado que estos casos se deban a esa cadena.

Y hay una pieza que no encaja del todo, que es justo por lo que conviene la cautela: el fallo de WhatsApp se arregla actualizando la aplicación, y la aplicación se actualiza desde la App Store, en muchos teléfonos sola. Un iPhone puede llevar tres años en iOS 16 con el WhatsApp al día. Si los casos de 2026 usan esos dos fallos, falta saber cómo entra el ataque en un teléfono que tiene parcheada una de las dos mitades. Puede que no los usen, o puede que la historia completa todavía no se haya contado.

Del espía al «mándame 980 euros»

Si la hipótesis se confirma, el recorrido es este: una cadena de fallos que en 2025 se usaba contra menos de doscientas personas escogidas, con software espía detrás, sirve un año después para pedirle dinero a la tía de cualquiera.

Eso no tendría nada de extraño. Mientras un fallo no se conoce, solo lo explota quien lo ha descubierto, y lo gasta con cuidado, contra objetivos que merezcan el riesgo. El día que se publica el parche, el fallo queda documentado: qué componente, qué versión, qué se arregló. A partir de ahí, otros pueden estudiarlo y buscar quién sigue sin parchear, y el objetivo puede dejar de ser una persona concreta y pasar a ser cualquiera que no haya actualizado. Con eso, el negocio es el de siempre: muchos intentos de poco dinero.

Lo que hace que esta versión funcione es que no ataca a quien tiene el teléfono, sino la confianza de su agenda. El mensaje llega desde el número de verdad, en el chat de verdad, con la foto de verdad. Todo lo que el destinatario puede comprobar dentro de WhatsApp está bien.

iOS 16 no es una versión: es una lista de motivos

Que todos los casos sean iPhone en iOS 16 dice mucho de quién se queda atrás, y es más variado de lo que parece.

• El iPhone 8, el 8 Plus y el X no pueden pasar de iOS 16. Para ellos, Apple publicó la 16.7.12 en septiembre de 2025. Un 8 actualizado tiene el parche de ImageIO; uno que se quedó en la 16.7.11 o en una anterior, no.
• Del XS al 14, iOS 16 es una decisión, o una falta de decisión. Esos teléfonos pueden instalar versiones posteriores, y la 16.7.12 no figura entre sus actualizaciones: la página de Apple solo lista el 8, el 8 Plus y el X. Para un iPhone 11 que sigue en iOS 16, el arreglo no es un parche pequeño: es la actualización grande que lleva años posponiendo.
• El iPhone 14 salió de fábrica con iOS 16. Uno que siga ahí no se ha actualizado nunca a una versión mayor.

Y detrás de cada caso hay un motivo que todos hemos oído: «no me cabe», «luego va más lento», «me cambia todo de sitio», «ya lo haré». O uno que se pasa por alto con facilidad, porque ni siquiera es un motivo: el teléfono pasó a otra persona. Un iPhone cuesta lo que cuesta, así que cuando se cambia no se tira: se hereda. Acaba en manos de la madre, del abuelo o del crío, que lo usan para WhatsApp y poco más, y a nadie se le ocurre preguntarle cuándo se actualizó por última vez. Es justo el perfil de teléfono cuya agenda está llena de gente que contestaría enseguida a «necesito un favor urgente».

Qué hacer, según dónde estés

Si tienes un iPhone, o se lo has pasado a alguien:

• Mira la versión en Ajustes → General → Información → Versión de iOS. Si empieza por 16, haz una copia de seguridad y ve a Ajustes → General → Actualización de software.
• Si es un 8, un 8 Plus o un X, la 16.7.12 es la que trae este arreglo, pero no es la última: Apple ha seguido publicando parches de iOS 16 para esos tres modelos en 2026. Instala la que te ofrezca. Si es más nuevo, la actualización que te ofrezca será la de una versión mayor, y es esa la que hay que instalar.
• Actualiza WhatsApp desde la App Store y deja activadas las actualizaciones automáticas.
• Activa la verificación en dos pasos de WhatsApp, con un PIN y un correo de recuperación que sea tuyo. No está claro que pare este ataque concreto, pero cierra una puerta por la que se roban muchas cuentas: la del código de seis dígitos que alguien te convence de que le reenvíes.
• Revisa Dispositivos vinculados y cierra lo que no reconozcas, sabiendo que, si no hay nada, no queda descartado nada.

Si alguien te dice que tu WhatsApp le está pidiendo dinero:

• Avisa a tus contactos por otro canal, con una llamada o un SMS, de que no paguen nada. Por WhatsApp no: el atacante puede leer tus chats recientes.
• Antes de borrar o reinstalar nada, guarda pruebas: capturas, conversaciones, números, fechas y cualquier dato de pago que te pasen.
• Si has perdido el acceso, sigue el procedimiento oficial de recuperación de WhatsApp. Si no lo has perdido pero los mensajes siguen saliendo, escribe a su soporte: reinstalar, por sí solo, no lo resuelve.
• Y actualiza, pero sin darlo por cerrado. Actualizar puede cerrar la puerta por la que entraron, pero no echa a quien ya está dentro. Si después siguen saliendo mensajes, vuelve al punto anterior.

Si te lo piden a ti:

• Ya lo conté hace unos días a cuenta de la videollamada con un director financiero que no lo era: una petición de dinero se verifica por un canal distinto del que la ha traído. Aquí es todavía más claro, porque el chat no sirve para verificar nada: preguntar «¿eres tú de verdad?» en esa misma conversación es preguntárselo al que ha escrito el mensaje. Llama al número que ya tenías guardado.
• Si ya has pagado, llama a tu banco en ese momento, por sus canales oficiales, y pide que intente parar o recuperar la transferencia. No está garantizado, y cada hora cuenta. Después, denuncia con las capturas y el justificante.
• Si no sabes por dónde empezar, INCIBE atiende gratis y de forma confidencial en el 017.

Tu teléfono no es solo tuyo

Lo raro de este caso es que se reparte en tres personas. Quien tiene el iPhone sin actualizar no es a quien le piden el dinero, y ni siquiera ve los mensajes. Quien paga no ha hecho nada mal con su teléfono, que puede ser el último Android del mercado. Y quien se da cuenta primero es un tercero que llama para preguntar.

Por eso «actualiza el móvil» se queda corto como consejo. No se actualiza solo por uno mismo: un teléfono con WhatsApp lleva dentro la confianza de toda una agenda, y lo que protege la actualización es esa agenda. Así que la pregunta útil esta semana no es si tu iPhone está al día. Es quién tiene ahora el que tenías antes.

Lo que el artículo atribuye a INCIBE sale de su aviso a la ciudadanía del 14-10-2026 y de la entrada de INCIBE-CERT del 28-08-2026. La descripción técnica de los casos italianos y la reproducción en laboratorio son de Forenser, a través de Security Affairs; no he podido leer su análisis original. Las fechas y el alcance de los fallos de 2025 salen de los avisos de seguridad de Apple y de WhatsApp y de TechCrunch. Ni WhatsApp ni Apple han confirmado que los casos de 2026 se deban a esos fallos.