Oleada de estafas por WhatsApp sin hacer clic: la Guardia Civil y la Ertzaintza alertan de 359 casos en España

Un amigo te escribe por WhatsApp y te pide dinero urgente por Bizum. El mensaje llega desde su número de siempre, dentro de la conversación que ya teníais. Todo parece normal, salvo que tu amigo no ha escrito ese mensaje. Es la estafa que la Guardia Civil, la Ertzaintza y la Policía Nacional han denunciado esta semana en España, y lo más inquietante es que la víctima no tiene que hacer nada para caer en ella: ni pulsar un enlace, ni abrir un archivo, ni contestar una llamada.

Los investigadores la llaman ataque “zero-click”, sin clic. Los ciberdelincuentes aprovechan una vulnerabilidad en versiones antiguas de iOS y de la propia aplicación de WhatsApp para tomar el control de la cuenta. Después suplantan la identidad del titular y piden dinero a sus contactos. En el País Vasco, la Ertzaintza ha detectado 359 casos desde el pasado mes de junio. En Cantabria, la Guardia Civil investiga más de una veintena de denuncias que han aumentado en los últimos días.

Qué está pasando en Euskadi y en Cantabria

La Ertzaintza hizo pública su advertencia el 5 de noviembre de 2026. Según sus datos, los 359 casos detectados en la Comunidad Autónoma Vasca se reparten en 211 en Bizkaia, 83 en Gipuzkoa y 65 en Araba. Todos afectan a teléfonos iPhone y a la aplicación WhatsApp. La Policía Foral de Navarra también ha recibido denuncias: la primera llegó el 5 de agosto y en el primer mes se detectó una decena de casos.

Un día después, el 6 de noviembre, la Guardia Civil de Cantabria lanzó su propia alerta. Su Equipo @, la unidad especializada en delitos tecnológicos, trabaja ya en más de una veintena de denuncias presentadas en esa comunidad. La nota de prensa, fechada el 5 de noviembre, describe un patrón idéntico: los atacantes se hacen con el control del WhatsApp de la víctima y después escriben a sus contactos para pedir Bizum o transferencias bancarias.

La Policía Nacional también ha advertido del repunte de denuncias en el último mes, y los primeros casos de esta campaña se detectaron en Italia en mayo de 2026.

Cómo funciona el ataque “zero-click”

La técnica debe su nombre a que no exige ninguna interacción de la víctima. En las estafas habituales, el delincuente necesita que pulses un enlace, descargues un archivo o respondas a una llamada. Aquí no. El ataque aprovecha una vulnerabilidad de seguridad en el sistema iOS de Apple y en la aplicación WhatsApp para entrar sin que el usuario note nada.

Según la información facilitada por la Ertzaintza, el atacante obtiene el material criptográfico del teléfono relacionado con el inicio de sesión de WhatsApp. Con ese material crea una nueva instancia que duplica la sesión del usuario. El resultado es que el delincuente puede enviar mensajes desde la cuenta de la víctima mientras esta sigue usando su aplicación con total normalidad. Las dos sesiones conviven sin que el titular sea expulsado ni reciba ningún aviso claro.

Quién está en riesgo

Los casos detectados hasta ahora afectan a teléfonos iPhone con varios años de antigüedad y con el sistema operativo sin actualizar. La Guardia Civil de Cantabria señala que la incidencia es mayor en terminales con versiones anteriores a iOS 18, y que ninguno de los teléfonos afectados estaba actualizado a iOS 26. Por el momento, según la información publicada, no se han detectado ataques de esta modalidad en dispositivos Android.

Eso no significa que los usuarios de Android puedan ignorar el problema. Las autoridades recuerdan que las campañas de estafa cambian de objetivo con rapidez y que las recomendaciones básicas de seguridad valen para todos los sistemas. Pero el aviso concreto de esta semana apunta a los iPhone antiguos que no han instalado las últimas actualizaciones de seguridad.

La recomendación central es actualizar. La Ertzaintza pide actualizar el sistema operativo hasta la versión iOS 16.7.12 en los modelos que ya no reciben versiones más recientes, y la aplicación WhatsApp hasta la versión 2.25.21.78. Los iPhone más modernos deben instalar la última versión de iOS disponible. La Guardia Civil añade una segunda medida: activar la verificación en dos pasos en WhatsApp, con huella, rostro o PIN, para que un atacante no pueda reactivar la cuenta con facilidad.

Qué hacer si recibes un mensaje sospechoso

La primera regla es no enviar dinero por un mensaje, aunque llegue desde el número de un contacto conocido. Si un familiar o un amigo te pide un Bizum urgente por WhatsApp, llámale por teléfono antes de pagar. Una llamada de voz de treinta segundos aclara en el acto si el mensaje es real.

Si crees que tu cuenta ha sido tomada, actualiza el sistema y la aplicación, activa la verificación en dos pasos y avisa a tus contactos para que no respondan a peticiones de dinero que lleguen desde tu número. Después, denuncia los hechos ante la Guardia Civil, la Policía Nacional o la Ertzaintza.

Una estafa que aprovecha la confianza

Este caso muestra un cambio en la forma de estafar por WhatsApp. Durante años, el eslabón débil era el usuario: bastaba un enlace malicioso y un clic distraído. Ahora el ataque se dirige al teléfono mismo, y la confianza entre contactos hace el resto del trabajo. La víctima no comete ningún error visible. Las cifras de Euskadi y el repunte de denuncias en Cantabria sugieren que la campaña sigue activa, y la solución es sencilla y gratuita: actualizar el sistema, actualizar WhatsApp y activar la verificación en dos pasos.

Frequently Asked Questions

¿Qué es un ataque “zero-click” por WhatsApp?

Es un ataque que aprovecha una vulnerabilidad del teléfono y de la aplicación para tomar el control de una cuenta de WhatsApp sin que la víctima pulse ningún enlace, abra ningún archivo ni responda a ninguna llamada. El atacante duplica la sesión y envía mensajes desde la cuenta del afectado.

¿A quién afecta esta estafa en España?

Según la Guardia Civil y la Ertzaintza, los casos detectados afectan a teléfonos iPhone con versiones antiguas de iOS sin actualizar, sobre todo por debajo de iOS 18. En Euskadi se han registrado 359 casos y en Cantabria más de veinte denuncias. Por ahora no se han detectado casos en Android.

¿Cómo puedo proteger mi WhatsApp de esta estafa?

Actualiza el sistema operativo de tu iPhone a la última versión disponible y WhatsApp a la versión más reciente, activa la verificación en dos pasos en los ajustes de la aplicación y revisa los dispositivos vinculados. Si un contacto te pide dinero por Bizum, llámale antes de pagar.