Qué es el GhostPairing, la nueva estafa virtual para robar cuentas de WhatsApp

Una nueva estafa virtual encendió las alarmas entre los usuarios de WhatsApp: se trata de GhostPairing, una técnica que permite a los ciberdelincuentes tomar el control de una cuenta sin necesidad de clonar la SIM ni de robar contraseñas.

El dato más preocupante es que los atacantes logran acceder a conversaciones privadas, archivos y contactos sin que la víctima reciba ninguna notificación de seguridad. Todo ocurre en silencio y puede pasar desapercibido durante semanas.

Cómo funciona el ataque GhostPairing

Un informe de Gen Digital reveló que la clave de esta estafa está en el uso exclusivo de funciones legítimas de WhatsApp. No hace falta instalar aplicaciones externas, ni usar malware, ni vulnerar sistemas: el truco está en explotar la confianza entre contactos y la funcionalidad multidispositivo de la app.

El proceso arranca cuando la víctima recibe un mensaje desde la cuenta de un contacto conocido. El texto suele advertir sobre una supuesta imagen comprometedora y viene acompañado de un enlace.

Al hacer clic, el usuario es dirigido a una página que simula la pantalla de inicio de sesión de Facebook. Ahí le piden su número de teléfono y lo invitan a iniciar un procedimiento de vinculación con WhatsApp, ya sea escaneando un código QR o ingresando un código numérico.

Según los expertos, los delincuentes prefieren la verificación por código numérico, porque así la persona autoriza, sin saberlo, la asociación de su cuenta a un navegador controlado por el atacante.

Por qué es tan difícil detectar la estafa

Una vez completada la vinculación, el ciberdelincuente obtiene acceso total a la cuenta de WhatsApp de la víctima. Puede leer y descargar mensajes, ver archivos, recibir documentos y hasta replicar el mensaje fraudulento a otros contactos, generando un efecto dominó.

El gran problema es que WhatsApp no suele emitir notificaciones automáticas cuando se vincula un nuevo dispositivo, lo que permite que el atacante mantenga una sesión activa en su propio navegador sin que el usuario legítimo note nada extraño.

Así, la intrusión puede durar semanas y multiplicar el riesgo de que la campaña se propague entre los contactos de la víctima.

Cómo protegerse del GhostPairing

Los especialistas insisten en que la mejor defensa es la prevención y la desconfianza. Recomiendan extremar las precauciones ante cualquier mensaje, incluso si proviene de personas conocidas, que sugiera la vinculación de dispositivos o el acceso a enlaces externos.

Es fundamental revisar de forma manual, desde la configuración de WhatsApp, los dispositivos asociados a la cuenta y desconfiar de cualquier solicitud inusual.

El informe advierte que la respuesta ante este tipo de incidentes depende de la capacitación y la vigilancia constante. La clave está en no autorizar accesos ni compartir códigos y en revisar periódicamente los dispositivos emparejados en la plataforma.