Cómo recuperar WhatsApp hackeado y proteger tu cuenta.

Una cuenta de WhatsApp hackeada no es solo un problema tuyo: se puede usar para pedir dinero a tus contactos, distribuir enlaces maliciosos en tu nombre o directamente suplantarte ante personas que confían en ti. Trátalo como algo urgente, sobre todo si has perdido el acceso a la cuenta o ves actividad que no reconoces.

Señales de que tu WhatsApp puede estar comprometido

Cuanto antes reconozcas estas señales, antes puedes actuar. Presta atención a:

• No puedes acceder a tu cuenta como de costumbre
• Recibes un aviso de que tu número se ha registrado en otro dispositivo
• Tus contactos reciben mensajes que tú no has enviado
• Aparecen dispositivos vinculados que no reconoces
• Tu foto de perfil o tu nombre han cambiado sin que lo hicieras tú
• Recibes códigos de verificación que no has solicitado
• Alguien te pide que le compartas un código de verificación

1. Intenta volver a iniciar sesión

Abre WhatsApp en tu propio teléfono e intenta registrar tu número de nuevo, como si fuera la primera vez. Te llegará un código de verificación por SMS o por llamada: no lo compartas con nadie, bajo ninguna circunstancia, ni siquiera si quien lo pide dice ser de WhatsApp o de tu operador.

Si alguien más estaba usando tu cuenta, volver a verificar tu número suele bastar para cerrarle el acceso automáticamente. Si tienes activada la verificación en dos pasos y no recuerdas el PIN, sigue el flujo oficial de recuperación de cuenta de WhatsApp; no hay atajos seguros fuera de ese proceso.

2. Revisa los dispositivos vinculados

Una vez dentro, entra en el apartado de Dispositivos vinculados y cierra sesión en cualquiera que no reconozcas. Aprovecha para revisar si hay sesiones activas en ordenadores o navegadores que no son tuyos.

Evita también instalar aplicaciones o usar webs no oficiales que prometen funciones extra para WhatsApp (temas, estadísticas, "modo oculto"). Es una de las vías más habituales de secuestro de cuentas, porque suelen pedir permisos o credenciales que no deberían necesitar.

3. Avisa a tus contactos por otra vía

No uses la propia app comprometida para avisar: usa una llamada, un SMS, un correo o redes sociales. Un mensaje breve y claro basta:

"Mi cuenta de WhatsApp fue comprometida. Por favor, ignora cualquier petición de dinero, códigos o enlaces míos durante este tiempo."

Este paso es tan importante como recuperar el acceso: mientras tú resuelves el problema técnico, alguien puede estar pidiendo dinero a tus familiares o amigos haciéndose pasar por ti.

4. Activa la verificación en dos pasos

En cuanto recuperes el acceso, activa la verificación en dos pasos desde los ajustes de la app. Usa un PIN que no reutilices en ninguna otra cuenta, y añade un correo electrónico de recuperación si te lo permite; te será útil si alguna vez olvidas el PIN.

Esta capa adicional dificulta que alguien vuelva a registrar tu número aunque consiga interceptar un código SMS, que es precisamente el método que suelen usar para el secuestro inicial.

5. Protege tu móvil y tu línea

Si sospechas que ha habido un duplicado de tu tarjeta SIM o que tu teléfono ha sido robado, contacta con tu operador de inmediato. Revisa también la seguridad de tu correo electrónico, ya que suele ser la vía de recuperación de prácticamente todo lo demás: si el correo cae, cae todo lo que depende de él.

Qué no debes hacer

Tan importante como saber qué hacer es saber qué evitar:

• No pagues ningún rescate ni cantidad que te pidan para "liberar" la cuenta
• No compartas códigos SMS con nadie, bajo ninguna circunstancia
• No instales aplicaciones ni uses webs que prometan "recuperar WhatsApp" fuera de los canales oficiales

Cómo ocurren realmente estos secuestros

Entender por dónde entra el atacante hace que todos los pasos anteriores cobren sentido, y que sea más fácil no repetir el error. Casi todos los secuestros de cuentas de mensajería se reducen a una de estas cuatro puertas:

• El código reenviado. Llega un mensaje desde la cuenta de un amigo o familiar: "perdona, te ha llegado un código de 6 dígitos mío por error, ¿me lo puedes reenviar?". Ese código es el de registro de tu número, y la cuenta del amigo suele estar ya comprometida. Este único truco está detrás de una enorme parte de los secuestros, precisamente porque la petición llega de alguien en quien confías.
• La falsa página de dispositivo vinculado. Webs y extensiones que se hacen pasar por "WhatsApp Web" (o prometen espiar, exportar chats o poner respuestas automáticas) te guían para escanear un código QR – que en realidad vincula su dispositivo a tu cuenta.
• El duplicado de SIM. El atacante convence a tu operador de pasar tu número a su tarjeta SIM y recibe tus códigos directamente. Lo notas porque tu propio teléfono se queda de repente sin cobertura.
• Apps modificadas. Los clones "mejorados" no oficiales de las apps de mensajería suelen quedarse con la sesión que les entregas.

Cómo se vive desde dentro: un caso realista

Una noche entre semana, Marta recibe un mensaje desde la cuenta de su prima: "qué corte, he puesto tu número en vez del mío y te ha llegado un código de 6 dígitos, ¿me lo pasas?". El código, efectivamente, acababa de llegarle, así que pareció creíble. No lo era: la cuenta de su prima había sido secuestrada el día anterior, y el código era el de registro del propio número de Marta. Minutos después de reenviarlo, su cuenta estaba activa en el móvil de otra persona, y el atacante activó de inmediato la verificación en dos pasos con su propio PIN, un movimiento habitual para ralentizar la recuperación de la dueña real.

Marta volvió a registrar su número esa misma noche, pero el PIN del atacante la obligó a pasar por el proceso de recuperación más lento de la app. Lo que de verdad limitó el daño fue el paso 3 de esta guía: un SMS llano a sus contactos más cercanos – "ignorad cualquier cosa que os llegue de mi WhatsApp estos días" – enviado en la primera hora. Dos familiares ya habían recibido un mensaje de "urgencia familiar, ¿me puedes hacer un Bizum de 300 €?"; ninguno pagó, porque el aviso llegó antes.

Prevención un nivel más allá

La medida de mayor valor es activar la verificación en dos pasos antes de que pase nada: convierte el truco del "código reenviado" de un secuestro completo en un intento fallido, porque un código por sí solo deja de bastar. Añade también el correo de recuperación mientras estás en ese menú, y elige un PIN que no uses en ningún otro sitio.

Después, adopta una regla absoluta: ningún código de verificación se comparte ni se reenvía, a nadie, en ninguna dirección: ni a soporte, ni a un amigo que "se ha equivocado de número", ni a tu propia familia. No existe ningún escenario legítimo que lo requiera; la petición en sí es el ataque. Más allá de eso, revisa tus dispositivos vinculados de vez en cuando igual que echarías un ojo a los movimientos del banco, mantén tu cuenta de correo (la vía de recuperación de todo lo demás) con contraseña única y verificación en dos pasos, e instala las apps de mensajería solo desde las tiendas oficiales.

Preguntas frecuentes