«Tu WhatsApp caducará hoy si no lo actualizas», «Hemos detectado un problema en tu cuenta, pulsa aquí para seguir recibiendo mensajes» o, simplemente, un contacto conocido que te pasa un enlace. La estafa de la actualización de WhatsApp tiene muchas caras, pero el objetivo casi siempre es el mismo: que pulses, que des un código o que instales algo. Con eso, el estafador se queda con tu cuenta, la usa a escondidas o se mete en tu móvil. Y desde ahí suele empezar lo que de verdad le interesa: pedir dinero a tus contactos.
Estas semanas se habla mucho de ello. INCIBE publicó el 14 de octubre de 2026 un aviso sobre cuentas de WhatsApp en iPhone sin actualizar que se estaban usando para pedir dinero a los contactos, y el 21 de octubre otro sobre un falso concurso de baile que sirve para vincular cuentas. Aquí te explicamos cómo reconocer el mensaje, qué hacer si ya pulsaste y cómo cortar el problema antes de que alguien pague.
Respuesta rápida
WhatsApp se actualiza desde Google Play o la App Store, nunca desde un enlace que te llega por chat o SMS. Si ya pulsaste o diste un código: entra en WhatsApp → Dispositivos vinculados y cierra todo lo que no reconozcas, activa la verificación en dos pasos y avisa a tus contactos por otro canal (llamada o SMS) de que no paguen nada. Si alguien ya ha pagado, que llame a su banco ahora mismo.
En este artículo
- Cómo es el mensaje falso
- Qué buscan: tu cuenta, tus datos o tu dinero
- Si ya pulsaste el enlace o diste el código
- Si alguien ha pedido dinero a tus contactos
- Cómo activar la verificación en dos pasos
- Otras estafas por WhatsApp que conviene conocer
- Cuidado con quien promete arreglarlo todo
- Cuándo pedir ayuda
Cómo es el mensaje falso
No hay un único texto, pero sí un patrón reconocible. Estas son las versiones que más se repiten:
- El aviso de «actualización obligatoria». Llega por WhatsApp desde un número que no tienes guardado, a veces con el logo de WhatsApp como foto, o por SMS. Dice que tu versión está desactualizada, que vas a perder los mensajes o que la cuenta se bloqueará, y trae un enlace.
- El falso «soporte» que te pide el código. Te escriben haciéndose pasar por el equipo de WhatsApp: «para completar la actualización, dinos el código de 6 dígitos que te acabamos de enviar». Ese SMS lo has recibido porque ellos están intentando registrar tu número en su teléfono.
- La descarga de una «nueva versión». WhatsApp Gold, WhatsApp Plus, una «versión con funciones nuevas»… El enlace descarga una app que no es la oficial. WhatsApp advierte de que usar versiones no oficiales pone en riesgo la cuenta y los datos.
- El enlace de un conocido. Un contacto de siempre te pide que votes en un concurso, que mires una foto en la que «sales» o que confirmes algo. Su cuenta ya ha caído y el mensaje lo envía el estafador. INCIBE describe estas variantes (el concurso de baile y el ghostpairing) como formas de vincular tu cuenta a un dispositivo del atacante.
Las señales comunes: prisa, amenaza de perder la cuenta, un enlace y una petición de algo que nunca deberías dar. El servicio de ayuda de WhatsApp incluye precisamente entre las señales de alerta que te pidan tocar un enlace, activar funciones nuevas a través de un enlace o descargar una aplicación.
Qué buscan: tu cuenta, tus datos o tu dinero
Según lo que hagas después de pulsar, el estafador consigue una cosa u otra:
Robarte la cuenta con el código de registro
El código de 6 dígitos que llega por SMS o llamada sirve para registrar tu número de WhatsApp en otro móvil. Si lo das, el estafador se queda con la cuenta y tú dejas de poder usarla. WhatsApp lo repite en su ayuda: ese código no se comparte con nadie, ni siquiera con familiares o amigos.
Usar tu cuenta a escondidas (dispositivo vinculado)
Es la versión más silenciosa. La web falsa te pide tu número y te muestra un código para meterlo en WhatsApp con la opción de vincular un dispositivo. Ese código no confirma ninguna actualización ni ningún voto: autoriza a un dispositivo del atacante a usar tu cuenta, como si fuera WhatsApp Web. Tú sigues usando WhatsApp con normalidad y no notas nada, mientras desde la otra sesión escriben a tus contactos. INCIBE lo explica así en sus avisos de octubre: conservar el acceso a la app no significa que nadie más la esté usando.
Meterse en tu móvil con una app falsa
Si el enlace te hizo descargar e instalar una aplicación, el riesgo va más allá de WhatsApp. Una app maliciosa puede intentar leer tus SMS, tus notificaciones o lo que escribes, y con eso llegar a tu correo o a tu banca online.
Y al final, tu dinero o el de tus contactos
Con la cuenta en su poder, el estafador escribe a tu familia y amigos con tu nombre y tu foto: una urgencia, un pago que no puedes hacer porque «has superado el límite de transferencias», un Bizum para mañana te lo devuelvo. INCIBE recoge ejemplos reales con peticiones de 970 y 980 euros. También puede usar las conversaciones para conseguir datos personales y, si se metió en el móvil, intentar operar en tu banco.
Si ya pulsaste el enlace o diste el código
Respira. Lo que toca depende de hasta dónde llegaste:
- Solo abriste el enlace. Cierra la página y no sigas sus instrucciones. Según INCIBE, abrir el enlace o escribir tu número no equivale por sí solo a haber autorizado la vinculación. Revisa igualmente los dispositivos vinculados.
- Vinculaste un dispositivo o metiste un código en WhatsApp. Entra en WhatsApp → Ajustes (o el menú de tres puntos en Android) → Dispositivos vinculados, toca cada dispositivo que no reconozcas y pulsa «Cerrar sesión». Si puedes, haz antes una captura de esa información.
- Diste el código de 6 dígitos y has perdido la cuenta. Abre WhatsApp en tu móvil, con tu SIM, y vuelve a registrar tu número con un código nuevo. WhatsApp explica que, al hacerlo, se cierra automáticamente la sesión en todos los demás dispositivos. Si te pide un PIN de verificación en dos pasos que tú no pusiste, es que el estafador lo activó: según WhatsApp, tendrás que esperar 7 días para volver a intentarlo sin él. Cambiar contraseñas no echa a nadie de la cuenta; volver a registrarla con el código sí.
- Instalaste una app o descargaste un archivo. Desinstálala, revisa el móvil con una herramienta de seguridad fiable y, desde otro dispositivo, cambia la contraseña del correo y de la banca online. Llama a tu banco si diste claves o ves movimientos raros.
- Usas iPhone y tus contactos reciben mensajes que tú no ves. Sigue la secuencia que INCIBE ha comprobado en sus casos: primero actualiza iOS a la última versión compatible, después haz copia de seguridad, borra WhatsApp por completo y vuelve a instalarlo desde la App Store. En sus casos, hacerlo en otro orden no siempre bastó.
Después de recuperar el control, activa la verificación en dos pasos (te lo contamos más abajo) y vuelve a revisar los dispositivos vinculados al día siguiente.
Antes de borrar nada
Guarda capturas de los mensajes falsos, del número que te escribió, de la dirección de la web y de los dispositivos vinculados que encontraste. Pide a tus contactos que también guarden lo que recibieron. Si después hay que denunciar o reclamar al banco, esas pruebas son lo que más ayuda.
Si alguien ha pedido dinero a tus contactos
Aquí el reloj corre en contra, así que el orden importa:
- Avisa por otro canal, ya. Llama o manda un SMS a tu familia y amigos más cercanos, y publica un aviso en otra red si hace falta. No uses WhatsApp para avisar si todavía no has recuperado el control, y no reenvíes el enlace fraudulento ni para advertir.
- Si alguien ha pagado, que llame inmediatamente a su banco por el teléfono oficial, diga que es un fraude y pida que intenten detener o recuperar la transferencia o el Bizum. INCIBE lo deja claro: la devolución no está garantizada, pero la rapidez es lo que más influye. Si fue por Bizum, aquí tienes qué hacer tras una estafa por Bizum.
- Denuncia. Quien ha pagado debe denunciar ante Policía Nacional o Guardia Civil con el justificante del pago, la cuenta o el teléfono de destino y las capturas. Tú también puedes denunciar el uso fraudulento de tu cuenta. Te explicamos el proceso en cómo denunciar una estafa online en España.
- Reclamar al banco tiene más o menos recorrido según cómo se hizo el pago. Lo detallamos en ¿se puede recuperar el dinero de una estafa online?.
Un caso típico: a una madre le llega un WhatsApp de su hijo pidiéndole 980 euros para pagar algo urgente «porque su banco le ha bloqueado las transferencias». Paga a una cuenta que no conoce y, una hora después, el hijo la llama sin saber nada. Si llama al banco en ese momento, hay alguna opción. Si espera al lunes, lo normal es que ese dinero ya se haya movido.
Cómo activar la verificación en dos pasos
Es la protección más sencilla contra el robo de cuenta con el código SMS, porque añade un PIN que solo sabes tú:
- Abre WhatsApp y entra en Ajustes → Cuenta → Verificación en dos pasos.
- Pulsa Activar y elige un PIN de 6 dígitos que no uses en otro sitio.
- Añade un correo de recuperación al que solo tengas acceso tú.
WhatsApp puede pedirte ese PIN de vez en cuando; no es el mismo código que llega por SMS al registrar el número. Y aunque te lo pidan «para verificar una actualización», no lo compartas nunca. Ojo: la verificación en dos pasos no sustituye a revisar los dispositivos vinculados. Contra la vinculación fraudulenta lo que funciona es no meter códigos que te dé una web y cerrar las sesiones que no reconozcas.
Otras medidas que ayudan:
- Activa las actualizaciones automáticas de WhatsApp y del sistema en Google Play o la App Store.
- Revisa «Dispositivos vinculados» cada cierto tiempo.
- Limita quién ve tu foto de perfil y tu información, para que sea más difícil suplantarte.
- Ante cualquier petición de dinero por WhatsApp, aunque venga de alguien de confianza, llama a esa persona a su número de siempre antes de pagar.
Otras estafas por WhatsApp que conviene conocer
La falsa actualización es solo una de las puertas de entrada. Otras muy habituales:
- «Hola mamá, este es mi número nuevo». Un desconocido se hace pasar por tu hijo o tu hija desde otro número y acaba pidiendo un pago urgente.
- Falsos concursos, sorteos y votaciones que terminan pidiendo tu número y un código.
- Ofertas de empleo o inversión con ganancias fáciles, que el propio WhatsApp señala como estafas típicas. Si te han metido en un grupo de inversión, lee qué hacer tras una estafa con criptomonedas.
- Mensajes del «banco», Correos o Hacienda con un enlace para «verificar» datos o pagar una tasa.
Cuidado con quien promete arreglarlo todo
Tras un robo de cuenta es habitual que aparezcan perfiles que prometen «recuperar tu WhatsApp» o «recuperar el dinero» a cambio de un pago por adelantado. WhatsApp recuerda que es una aplicación gratuita y que quien te ofrece desbloquear tu cuenta a cambio de dinero probablemente busca tus datos. Y nadie puede garantizarte que el dinero vuelva. Antes de pagar a nadie, lee cómo detectar falsas empresas de recuperación.
Cuándo pedir ayuda
Si solo pulsaste el enlace y no pasó nada más, con revisar los dispositivos vinculados, activar la verificación en dos pasos y estar atento suele bastar. Si tienes dudas técnicas, la Línea de Ayuda en Ciberseguridad de INCIBE atiende gratis en el 017.
Merece la pena una valoración profesional cuando ha habido dinero de por medio: contactos que pagaron creyendo que eras tú, cargos en tu banco después de instalar una app, o varios pagos. En Kironic trabajamos a diario con estafas y hackeos de cuentas. Envíanos las capturas, los justificantes y lo que sepas de los pagos: lo revisamos gratis, te decimos qué hacer primero con el banco y la denuncia y si tiene sentido ir más allá. Si la respuesta honesta es que hay pocas opciones, también te lo diremos.
