Un mensaje de un familiar o un amigo que pide dinero con urgencia y facilita un número de cuenta para ingresarlo. Detrás de esa petición puede no estar quien dice, sino un ciberdelincuente que ha tomado el control de su WhatsApp. La Ertzaintza ha detectado un aumento de denuncias por esta estafa, con 359 casos en Euskadi entre junio y finales de octubre.
Según la Ertzaintza, su Jefatura de Coordinación de Ciberseguridad ha identificado un posible nexo común en estos casos: una campaña de ataque denominada “zero-click”, en la que la víctima no necesita pulsar ningún enlace ni abrir ningún archivo. El ataque aprovecha una vulnerabilidad de iOS y de WhatsApp para enviar mensajes a los contactos desde las cuentas de los teléfonos vulnerados.
Los mensajes piden dinero para resolver una supuesta urgencia y facilitan una cuenta bancaria para hacer el pago. Los primeros casos se detectaron en mayo de 2026 en Italia.
Una sesión duplicada que no avisa
Los investigadores explican que el atacante se hace con el material criptográfico del teléfono infectado relacionado con el inicio de sesión de WhatsApp. Así puede crear una nueva instancia que “duplica” las sesiones, sin que el dispositivo original reciba avisos de vinculaciones o inicios de sesión.
Esto se ha detectado al analizar los registros de eventos, donde aparecen de forma continuada intentos de resincronización con los servidores de WhatsApp, cuando la sesión real y la duplicada tratan de mantener el control de la cuenta. Con el control en su poder, los atacantes se dedican a pedir dinero a los contactos de la víctima.
Dónde se han registrado los casos
De los 359 casos constatados en Euskadi, 211 se han producido en Bizkaia, 83 en Gipuzkoa y 65 en Araba. La Ertzaintza señala que desde junio se ha producido un importante aumento de las denuncias de personas afectadas.
La Ertzaintza indica que la brecha de seguridad ya se ha corregido mediante varios parches, concretamente con la actualización de iOS a la versión 16.7.12 y de WhatsApp a la versión 2.25.21.78.
Qué recomienda la Ertzaintza
La policía autonómica aconseja actualizar primero el sistema iOS y, una vez completado ese proceso, actualizar también WhatsApp. Recomienda además activar la verificación en dos pasos y revisar los dispositivos vinculados, cerrando las sesiones que no se reconozcan.
Quien sospeche que su cuenta está comprometida debe avisar a sus contactos por otro canal, conservar las pruebas y denunciar ante la Ertzaintza. Después, y siempre una vez actualizado iOS, debe eliminar WhatsApp y volver a instalarlo para recuperar el control de la cuenta.
Ante una petición de dinero recibida por esta vía, la recomendación es no responder por el chat desde el que llega la solicitud, sino llamar directamente a la persona para verificar el mensaje, siempre por un canal distinto.
Un mensaje de un familiar o un amigo que pide dinero con urgencia y facilita un número de cuenta para ingresarlo. Detrás de esa petición puede no estar quien dice, sino un ciberdelincuente que ha tomado el control de su WhatsApp. La Ertzaintza ha detectado un aumento de denuncias por esta estafa, con 359 casos en Euskadi entre junio y finales de octubre.
Según la Ertzaintza, su Jefatura de Coordinación de Ciberseguridad ha identificado un posible nexo común en estos casos: una campaña de ataque denominada “zero-click”, en la que la víctima no necesita pulsar ningún enlace ni abrir ningún archivo. El ataque aprovecha una vulnerabilidad de iOS y de WhatsApp para enviar mensajes a los contactos desde las cuentas de los teléfonos vulnerados.
Los mensajes piden dinero para resolver una supuesta urgencia y facilitan una cuenta bancaria para hacer el pago. Los primeros casos se detectaron en mayo de 2026 en Italia.
Una sesión duplicada que no avisa
Los investigadores explican que el atacante se hace con el material criptográfico del teléfono infectado relacionado con el inicio de sesión de WhatsApp. Así puede crear una nueva instancia que “duplica” las sesiones, sin que el dispositivo original reciba avisos de vinculaciones o inicios de sesión.
Esto se ha detectado al analizar los registros de eventos, donde aparecen de forma continuada intentos de resincronización con los servidores de WhatsApp, cuando la sesión real y la duplicada tratan de mantener el control de la cuenta. Con el control en su poder, los atacantes se dedican a pedir dinero a los contactos de la víctima.
Dónde se han registrado los casos
De los 359 casos constatados en Euskadi, 211 se han producido en Bizkaia, 83 en Gipuzkoa y 65 en Araba. La Ertzaintza señala que desde junio se ha producido un importante aumento de las denuncias de personas afectadas.
La Ertzaintza indica que la brecha de seguridad ya se ha corregido mediante varios parches, concretamente con la actualización de iOS a la versión 16.7.12 y de WhatsApp a la versión 2.25.21.78.
Qué recomienda la Ertzaintza
La policía autonómica aconseja actualizar primero el sistema iOS y, una vez completado ese proceso, actualizar también WhatsApp. Recomienda además activar la verificación en dos pasos y revisar los dispositivos vinculados, cerrando las sesiones que no se reconozcan.
Quien sospeche que su cuenta está comprometida debe avisar a sus contactos por otro canal, conservar las pruebas y denunciar ante la Ertzaintza. Después, y siempre una vez actualizado iOS, debe eliminar WhatsApp y volver a instalarlo para recuperar el control de la cuenta.
Ante una petición de dinero recibida por esta vía, la recomendación es no responder por el chat desde el que llega la solicitud, sino llamar directamente a la persona para verificar el mensaje, siempre por un canal distinto.
