Desde agosto de 2026, la policía de Alemania y Suiza alerta de una estafa de WhatsApp que no viene de desconocidos. Viene de personas que conoces, y se escribe desde sus cuentas reales. Solo la policía de Zwickau contabilizó doce casos entre mediados de agosto y finales de septiembre.
La estafa va dirigida a particulares. Pero el patrón que hay detrás es el mismo que este año le costó decenas de millones de euros a un gran banco europeo. Los dos casos muestran lo mismo: un nombre conocido en la pantalla no demuestra nada.
Cómo funciona la estafa
- Llega un mensaje de un contacto real: que votes por Klara, la hija de un amigo, en un concurso de fotos o de baile. Otras versiones hablan de una encuesta deportiva o de un joven talento.
- El enlace abre una página de votación convincente. Para votar, introduces tu número de teléfono y confirmas un inicio de sesión de WhatsApp, ya sea con un código o escaneando un código QR.
- Lo que has confirmado en realidad es la vinculación del dispositivo del atacante con tu cuenta de WhatsApp. Los investigadores de seguridad lo llaman «ghost pairing» (emparejamiento fantasma).
- No notas nada. Tu WhatsApp funciona como siempre. El atacante lee tus chats y escribe en tu nombre.
- Ahora es tu cuenta la que envía el mensaje de Klara a tus contactos. A algunos les llega además una falsa emergencia con una petición de dinero.
Cada víctima se convierte en el remitente de confianza de la siguiente ronda. Por eso la estafa se extiende tan rápido.
Por qué no sirven los consejos de siempre
Durante años, el consejo habitual fue comprobar el remitente. Número desconocido, foto de perfil extraña, faltas de ortografía raras: cuidado.
Aquí, el remitente supera todas las comprobaciones. La cuenta es auténtica, igual que la foto de perfil y el historial de chat de varios años. Lo único que no cuadra es quién escribe. Ninguna comprobación que mire la propia cuenta puede detectar este ataque.
Cómo protegerte
- No introduzcas nunca un código de WhatsApp ni escanees un código QR porque te lo pida una web. Los códigos de vinculación sirven solo para conectar tus propios dispositivos, como tu portátil.
- Revisa hoy mismo tus dispositivos vinculados. En WhatsApp, abre Ajustes → Dispositivos vinculados y cierra la sesión en todos los que no reconozcas.
- Confirma las peticiones inusuales por un segundo canal. Si un contacto te pide dinero, un voto o un código, llámale al número que ya tienes guardado.
- Acordad una palabra clave en familia. Hoy las voces se pueden clonar con IA, así que una llamada por sí sola ya no es una prueba.
El mismo patrón en un banco: Fideuram
No es solo un problema de consumidores. El 23 de febrero de 2026, el presidente de Fideuram, la filial de banca privada de Intesa Sanpaolo, recibió un mensaje de WhatsApp que parecía venir del consejero delegado del grupo, Carlo Messina. Pedía transferencias urgentes y confidenciales para una adquisición en el extranjero.
Después llegó una llamada de un abogado al que el presidente conocía personalmente. La voz sonaba bien, pero estaba clonada con IA, y el abogado real no tenía nada que ver. Llegaron documentos falsificados, entre ellos un poder notarial con la supuesta firma de Messina. Salieron del banco unos 95 millones de euros. Se han recuperado alrededor de 53 millones, y según Reuters siguen sin aparecer unos 36 millones.
Hay un detalle que lo distingue de la estafa de Klara. El falso Messina escribía desde un número desconocido y lo justificaba con la confidencialidad de la operación. Los atacantes de Klara ni siquiera necesitan esa excusa, porque escriben desde la cuenta real.
En los dos casos, el nombre, la voz y los documentos parecían correctos, y ninguno de ellos demostraba quién estaba de verdad al otro lado.
Dónde entra Trusted Codes
Trusted Codes no impide que te roben la cuenta ni que te clonen la voz. Hace que ambas cosas resulten inútiles para el fraude que viene después.
Los compañeros y socios conectados en Trusted Codes ven en la app un código compartido de tres palabras. Cambia a intervalos fijos; en los planes Business lo eliges tú, desde seis horas hasta 30 días. El secreto que hay detrás se guarda en el almacenamiento protegido del dispositivo: el Keychain en iOS y el Keystore en Android.
Cuando llega una petición inusual, por WhatsApp, por teléfono o por correo, pides el código actual. Puede que el atacante tenga un número nuevo, una voz clonada o incluso la cuenta real de WhatsApp de tu compañero. Lo que no tiene son los dispositivos de tu compañero, y sin ellos no hay código.
Es la palabra clave familiar, preparada para el uso profesional:
- Cambia, así que una palabra que alguien oyó o robó ayer hoy no vale nada.
- Funciona en cualquier canal, también en el correo. En los planes Business puedes además sellar un mensaje, y el destinatario puede compararlo con el original firmado.
- Deja rastro. En los planes Business, los administradores ven en el registro de verificaciones quién verificó a quién y cuándo. Las palabras nunca se guardan.
En el caso Fideuram habría bastado una pregunta: «¿Cuál es nuestro código?». Ni el falso consejero delegado ni el abogado clonado habrían podido responder.
Qué hacer ahora
Revisa hoy tus dispositivos vinculados en WhatsApp. Y antes de que la próxima petición «urgente» llegue a tu equipo de finanzas, decide cómo vas a verificarla, porque cuando el dinero ya ha salido es tarde para empezar a pensarlo.
Fuentes
- Polizeidirektion Zwickau, aviso del 24 de septiembre de 2026 (vía verbraucherschutzforum.berlin)
- Kantonspolizei Zürich, cybercrimepolice.ch (vía Beobachter)
- Reuters, 25 de septiembre de 2026: AI messaging scam costs Italy's top bank Intesa millions (vía Cybernews)
- Sky TG24, 25 de septiembre de 2026: Truffa a Fideuram