LO QUE NADIE TE EXPLICA
Suena el móvil. Es tu madre, y no te deja ni saludar: «¿Estás bien? ¿Para qué necesitas 480 euros?».
No entiendes nada. Abres WhatsApp y todo está como siempre: tus chats, tus grupos, el audio que te mandaron esta mañana. Entras en la conversación con tu madre y ahí está, enviado a las 11:42: «Mamá, ¿me puedes hacer un Bizum de 480? Te lo devuelvo el lunes. Ahora no puedo hablar».
Tú no has escrito eso. Pero lleva tu foto, tu nombre y tu número.
Mientras se lo explicas, te escribe un compañero del trabajo. Luego una vecina. Les ha llegado lo mismo.
Lo que más te descoloca es que nadie te ha robado la contraseña. No has perdido el acceso a nada. El móvil no ha salido de tu bolsillo. Lo único que hiciste fue votar por una niña.
Fue el martes por la noche. Una amiga te escribió: «La hija de unos amigos está en un concurso de baile, ¿me ayudas con tu voto?». Viniendo de ella, ni lo pensaste. Pulsaste el enlace, votaste y la página te pidió «verificar el voto» en WhatsApp. Te dio un código y te dijo dónde ponerlo. Diez segundos, con la cena al fuego.
QUÉ PASÓ
Desde la tarde del 19 de octubre de 2026, cientos de personas en España recibieron por WhatsApp, desde el número de alguien conocido, un mensaje que pedía votar a una niña en un concurso de baile. Circulan dos versiones: en una la niña se llama Eliska y en otra Sophie. La Guardia Civil difundió un aviso del Instituto Nacional de Ciberseguridad (INCIBE), que lo califica de importancia alta, y el 21 de octubre Maldita.es explicó cómo funciona.
El engaño, paso a paso:
Te llega de alguien de tus contactos: «La hija de unos amigos está en un concurso de baile. ¿Me ayudas con tu voto?».
El enlace lleva a una web con dos supuestas finalistas y un premio: una clase en una escuela de ballet de Praga.
Para «verificar el voto», la web te pide tu número de teléfono y te muestra un código con instrucciones.
Las instrucciones te llevan a WhatsApp, a la opción de vincular un dispositivo, para que metas ahí ese código.
Ese código no registra ningún voto. Autoriza que otro dispositivo use tu cuenta. Desde ahí pueden leer tus chats y escribir a tus contactos como si fueras tú, para pedirles dinero o mandarles el mismo concurso.
Tú no pierdes el acceso a WhatsApp. Sigues escribiendo con normalidad mientras otra persona usa tu cuenta a la vez, igual que cuando abres WhatsApp Web en el ordenador. INCIBE ya había descrito esta técnica antes con un nombre propio: ghostpairing, algo así como «emparejamiento fantasma».
POR QUÉ TE IMPORTA
Casi todo lo que te han enseñado para detectar una estafa aquí no sirve. El mensaje no viene de un desconocido: viene de alguien de confianza que cayó antes que tú. No te pide contraseñas ni datos del banco. No te mete prisa. Y votar por la hija de unos amigos parece lo más inofensivo del mundo.
Como no te echan de tu cuenta, puedes pasar días sin enterarte. Durante ese tiempo, quien está dentro ve tus conversaciones y los archivos que tienes en WhatsApp, y tiene algo que vale más que tu dinero: la confianza de tus contactos en tu número. Por eso el siguiente mensaje que reciba tu madre, tu jefe o tu grupo de amigos llevará tu nombre.
Un matiz para no alarmarte de más: según INCIBE, entrar en tu WhatsApp no les da el control del resto del teléfono. Y abrir el enlace o escribir tu número en la web no conecta nada por sí solo. Lo que abre la puerta es meter el código.
La buena noticia: comprobar si alguien está conectado a tu cuenta cuesta un minuto, y lo puedes hacer ahora.
QUÉ HACER HOY
Un minuto, aunque no hayas votado: mira quién más tiene abierto tu WhatsApp
Dispositivos vinculados: dónde mirar
1 Android: abre WhatsApp, toca los tres puntos de arriba y entra en Dispositivos vinculados.
2 iPhone: abre WhatsApp, ve a Configuración y entra en Dispositivos vinculados.
3 Si ves algo que no reconoces (un ordenador, un navegador o un móvil), tócalo y pulsa Cerrar sesión.
No hagas esto
• Meter en WhatsApp un código que te da una web, sea para votar, participar o «verificar».
• Reenviar el mensaje o el enlace, ni siquiera para avisar.
• Dar el mensaje por bueno porque venga del número de alguien que conoces.
Haz esto
• Llamar a la persona que te lo mandó y preguntarle si lo ha enviado ella.
• Si su cuenta está mandando el mensaje, avisarle por llamada o SMS.
• Revisar tus dispositivos vinculados de vez en cuando, como miras el extracto del banco.
Si ya metiste el código: lo que tienes que hacer, en este orden
1 Cierra sesión en todos los dispositivos vinculados que no reconozcas.
2 Avisa a tus contactos por otro canal: que no abran enlaces ni hagan pagos que les hayas pedido por WhatsApp. No les reenvíes el enlace.
3 Haz capturas de las conversaciones, la dirección de la web y las fechas, y repórtalo en el servicio de reporte de fraude de INCIBE.
4 Activa la verificación en dos pasos en los ajustes de WhatsApp, dentro de Cuenta. No compartas nunca ese PIN.
5 Vuelve a mirar Dispositivos vinculados en unos días. Si aparecen sesiones nuevas, siguen saliendo mensajes que no envías o pierdes la cuenta, contacta con el soporte oficial de WhatsApp.
6 Si alguien pagó, que llame a su banco de inmediato por los canales oficiales y que denuncie con las capturas.
Ojo: la verificación en dos pasos es buena idea, pero no te protege de este engaño concreto. Sirve para que nadie registre tu número en otro móvil, no para impedir que vincules un dispositivo tú mismo metiendo un código. Lo que te protege de verdad es la regla más simple: ningún código de una web se mete en WhatsApp.
Si tienes dudas, el 017 es la línea de ayuda en ciberseguridad de INCIBE, gratuita y confidencial. Los avisos de INCIBE están aquí: incibe.es/ciudadania/avisos
Para mandar a tu familia por WhatsApp: si alguien te pide votar a una niña en un concurso de baile, no metas ningún código en WhatsApp. Es una estafa que conecta tu cuenta a otro móvil. Mira en Dispositivos vinculados y cierra lo que no reconozcas.
¿Te ha llegado el mensaje de Eliska o Sophie? Responde a este correo y cuéntamelo. Lo leo todo.
¿Tienes a alguien que vota en todo lo que le mandan por WhatsApp? Reenvíale este correo.
Gratis · Sin spam · Te vas cuando quieras