Tu WhatsApp puede quedar en manos ajenas por un código: la señal que exige actuar en minutos

Llega un código de seis dígitos que nadie pidió, y detrás un mensaje: alguien conocido dice haberse equivocado al enviarlo y pide que se lo reenvíen. Ese es el momento exacto en que se decide si la cuenta sigue siendo propia o pasa a manos ajenas. El código es la llave de registro de la línea, y quien lo tenga puede activar la cuenta en otro teléfono. Reconocer la señal y actuar en los primeros minutos hace toda la diferencia, porque una cuenta tomada se usa de inmediato contra los contactos.

La señal que no debe ignorarse

La señal es simple: un código de verificación que no se pidió. Puede llegar por mensaje de texto o por llamada automatizada. Significa que alguien está intentando registrar el número en otro dispositivo.

Si eso ocurre y nadie de la casa está reinstalando la aplicación, hay una sola conducta: no compartir el código con nadie, por ningún motivo y con ninguna excusa. Ni con un contacto conocido que dice haberse equivocado, ni con quien se presenta como soporte técnico, ni con quien dice ser de una empresa, un banco o un organismo. El servicio de mensajería nunca pide ese código por chat ni por teléfono, y ningún trámite legítimo lo requiere.

Las excusas más habituales son tres, y conviene reconocerlas: el "me equivoqué de número, reenviámelo", que llega desde la cuenta de un contacto ya tomada; el falso soporte que dice necesitar el código para "verificar la cuenta"; y el falso sorteo, beneficio o turno médico que pide el código para "confirmar la inscripción".

Hay una segunda señal, más grave, que indica que el intento ya prosperó: la sesión se cierra sola y aparece un aviso de que el número fue registrado en otro dispositivo. Ahí el tiempo pasa a contar en minutos.

Los primeros pasos para recuperar el control

Si la cuenta ya fue tomada, el camino de recuperación se basa en un principio: el número es del titular de la línea, y quien pueda recibir el código en ese número recupera la cuenta.

1. Volver a registrar el número en el teléfono propio. Al pedir el código, llega al número —que sigue siendo del titular— y con él se recupera el acceso. Al iniciar sesión, el intruso queda desconectado automáticamente, porque una cuenta no puede estar activa como principal en dos teléfonos.

2. Si aparece un pedido de código de verificación en dos pasos que no se configuró, es porque el atacante lo activó para bloquear la recuperación. En ese caso hay una espera —de varios días— antes de poder registrar el número sin ese PIN. Es el peor escenario y el motivo por el que conviene tener la verificación en dos pasos activada antes de que pase algo.

3. Avisar al soporte oficial de la aplicación desde su centro de ayuda, informando el número en formato internacional y explicando que la cuenta fue tomada. Es un canal por correo y no siempre es rápido, pero deja registro.

4. Contactar al operador de telefonía si se sospecha que el problema fue un cambio fraudulento de chip: si el atacante logró duplicar la línea, recuperar la cuenta de mensajería no alcanza, porque el número sigue en sus manos.

5. Denunciar. Los canales de denuncia de delitos informáticos reciben este tipo de casos, y la denuncia importa especialmente si con la cuenta se estafó a terceros.

Una advertencia sobre la desesperación: en esos minutos aparecen en buscadores y redes supuestos "recuperadores de cuentas" que piden dinero o datos. No existen: el único camino es el registro con el código propio y el soporte oficial.

Dispositivos vinculados y verificación en dos pasos

Recuperado el acceso, hay dos controles que cierran la puerta.

El primero es la lista de dispositivos vinculados. La aplicación permite usar la cuenta en computadoras y otros equipos mediante sesiones asociadas, y esas sesiones sobreviven a la recuperación: alguien puede seguir leyendo y escribiendo desde una sesión vinculada aunque el teléfono principal vuelva a ser el propio. Hay que abrir esa sección y cerrar todas las sesiones que no se reconozcan; ante la duda, cerrarlas todas y volver a vincular las propias.

El segundo es la verificación en dos pasos: un PIN de seis dígitos que la aplicación pide cada vez que el número se registra en un dispositivo nuevo. Es la barrera que vuelve inútil el robo del código de registro, porque quien lo intercepte igual necesita el PIN. Conviene activarla siempre, elegir un PIN que no sea una fecha conocida, no anotarlo en el mismo teléfono y registrar un correo de recuperación al que se tenga acceso.

Vale además revisar el correo de recuperación configurado —que un atacante puede haber cambiado—, y aprovechar para mirar la configuración de privacidad: quién puede ver la foto de perfil y el estado, y la opción que impide que desconocidos agreguen el número a grupos, que es una vía habitual de contacto para estafas.

Un punto de fondo: la mensajería es hoy la puerta de entrada a otras cuentas, porque muchos servicios envían por ahí sus códigos. Proteger esta cuenta no es sólo proteger las conversaciones.

Cómo avisar sin alimentar otra estafa

Cuando una cuenta es tomada, el ataque sigue por los contactos: el intruso escribe haciéndose pasar por el titular y pide dinero con alguna urgencia creíble. Por eso el aviso es parte de la respuesta, y la forma de avisar importa.

Avisar por otro canal. Llamada telefónica, mensaje de texto, otra red, o en persona. Un mensaje enviado desde la cuenta comprometida puede no llegar o puede ser leído por quien la controla.

Ser concreto en el aviso: decir que la cuenta fue tomada, que cualquier pedido de dinero o de códigos recibido en las últimas horas debe ignorarse, y que ante cualquier pedido futuro se confirme por llamada.

Establecer una regla simple con la familia, sobre todo con las personas mayores: ningún pedido de dinero se resuelve por chat. Se llama y se escucha la voz, y si la excusa es que "no puedo hablar ahora", eso mismo es la señal de alerta.

Avisar en los grupos de los que se participa, porque son un objetivo frecuente.

No devolver el ataque: no discutir con el intruso ni intentar engañarlo, y no reenviar cadenas de advertencia con capturas que incluyan números de terceros.

Por último, conviene revisar qué información sensible había en las conversaciones —fotos de documentos, comprobantes, claves compartidas— y actuar en consecuencia: cambiar lo que sea cambiable y avisar a las entidades correspondientes si hubo datos financieros expuestos.

En resumen: si alguien intenta registrar la cuenta, la señal es un código de verificación no solicitado y la conducta es no compartirlo jamás, sin importar quién lo pida. Si la cuenta ya fue tomada, hay que volver a registrar el número de inmediato, cerrar todas las sesiones vinculadas, activar la verificación en dos pasos y avisar a los contactos por un canal distinto del comprometido. La medida que más sirve, sin embargo, es preventiva: la verificación en dos pasos activada antes de que pase algo convierte el robo del código en un intento inútil.