Un mensaje de WhatsApp llega al contador desde un número desconocido. La foto de perfil es la del gerente general. El texto dice que cambió de teléfono, que está en una reunión y que necesita una transferencia urgente a un proveedor.
Las estafas por WhatsApp a empresas funcionan porque explotan un canal que casi nadie protege con procedimientos. Esta guía explica las modalidades más frecuentes y cómo frenarlas.
Por qué WhatsApp es el canal preferido
No es casualidad. El canal tiene características que favorecen al atacante:
- No pasa por filtros corporativos. Tu servidor de correo analiza cada mensaje; WhatsApp llega directo al teléfono.
- Se percibe como personal. Un mensaje ahí genera más confianza que un correo.
- La foto de perfil parece identificación. Y se descarga de cualquier red social en segundos.
- Es inmediato. Favorece la respuesta rápida sin verificación.
- Mezcla lo laboral y lo personal. Se responde con la guardia baja.
- No hay registro corporativo. La empresa no puede auditar lo que pasa en el teléfono de cada quien.
Las seis modalidades más frecuentes
| Modalidad | Cómo funciona | Objetivo |
|---|---|---|
| Suplantación de directivo | “Cambié de número”, pide una operación urgente y confidencial | Transferencias |
| Cambio de datos bancarios | Un supuesto proveedor avisa que cambió su cuenta | Desviar pagos legítimos |
| Robo de la cuenta | Piden el código de verificación con una excusa | Tomar el WhatsApp y estafar a los contactos |
| Falso soporte técnico | Alguien dice ser de TI y pide credenciales o instalar algo | Acceso a sistemas |
| Falso cliente con archivo | Envían un documento con malware como “requerimiento” | Infectar el equipo |
| Falso trámite institucional | Notificación urgente de un supuesto organismo | Datos o pagos |
La segunda es la más costosa para empresas. No requiere hackear nada: basta con un mensaje creíble en el momento adecuado del ciclo de pagos.
Las señales que delatan el intento
Casi todas comparten el mismo patrón, y reconocerlo es más útil que memorizar modalidades:
- Urgencia. “Es para ahora”, “antes de que cierre el banco”.
- Confidencialidad. “No comentes esto con nadie todavía”. Es la señal más clara.
- Número nuevo con justificación. “Cambié de teléfono”, “este es mi número personal”.
- Presión sobre el procedimiento. “No hay tiempo para el proceso normal”.
- Cambio de datos de pago. Cualquier solicitud de modificar una cuenta bancaria.
- Solicitud de códigos. Ningún servicio legítimo pide un código de verificación por mensaje.
- Se evita la llamada. El atacante prefiere texto para no exponer la voz.
Ese punto de la confidencialidad merece énfasis: ninguna operación legítima de tu empresa requiere que ocultes la solicitud a tus compañeros. Cuando aparece, el fraude está confirmado hasta que se demuestre lo contrario.
Los controles que lo frenan
No se resuelve con tecnología sino con procedimiento. Estos cinco cierran casi todos los vectores:
| Control | Qué previene |
|---|---|
| WhatsApp no es canal de autorización | Ninguna transferencia o cambio de datos se aprueba por ahí. Sin excepciones |
| Verificación por canal alterno | Llamar al número previamente registrado, nunca al que envió el mensaje |
| Doble aprobación por monto | Sobre cierto valor, dos personas independientes |
| Cambio de datos bancarios con protocolo | Confirmación telefónica al contacto registrado, más documento formal |
| Tiempo mínimo obligatorio | Ninguna operación extraordinaria se ejecuta el mismo día |
El primero es el más importante y el que más resistencia genera, porque WhatsApp es cómodo. Pero mientras siga siendo un canal válido para autorizar, la puerta queda abierta.
Cómo proteger las cuentas del equipo
Además del procedimiento, hay medidas técnicas simples:
- Verificación en dos pasos activada en todas las cuentas de WhatsApp del equipo. Es lo que impide que roben la cuenta con solo un código.
- Nunca compartir códigos de verificación. Con nadie, por ningún motivo.
- Cuenta empresarial verificada para la comunicación oficial con clientes.
- Revisar sesiones vinculadas periódicamente.
- Retirar accesos al salir cualquier persona del equipo.
La verificación en dos pasos es la medida de mayor impacto y toma un minuto activarla. Sin ella, basta con que alguien obtenga el código enviado por SMS para tomar la cuenta.
Si ya cayeron
- Si se hizo una transferencia, contacta de inmediato a la entidad financiera. Existe una ventana corta para intentar detenerla.
- Si robaron una cuenta, recupérala por el flujo oficial de la aplicación y avisa a los contactos por otro canal.
- Si se entregaron credenciales, cambia todas las contraseñas relacionadas y cierra sesiones activas.
- Si se abrió un archivo sospechoso, desconecta el equipo de la red y revísalo antes de reconectarlo.
- Documenta todo con capturas, números y horarios.
- Avisa internamente a todo el equipo: el mismo intento suele repetirse con otras personas.
- Evalúa la denuncia formal ante la autoridad competente.
Qué comunicar a tus clientes
Muchas estafas suplantan a tu empresa frente a tus clientes. Conviene comunicar de forma preventiva, y no solo cuando ocurre:
- Cuáles son tus números oficiales de contacto.
- Que nunca cambias tus datos bancarios por mensajería.
- Que nunca pides códigos de verificación ni contraseñas.
- Qué deben hacer si reciben un mensaje sospechoso a tu nombre.
Si detectas cuentas falsas usando tu marca, el procedimiento está en qué hacer si suplantaron tu marca en redes.
Preguntas frecuentes
¿Debemos prohibir WhatsApp en la empresa?
Rara vez es realista y suele generar canales paralelos sin control, que es peor. Lo efectivo no es prohibir la herramienta sino delimitar para qué sirve: coordinación operativa sí, autorización de pagos o cambios de datos sensibles no. Esa distinción, comunicada y sostenida, cierra el vector.
¿La cuenta empresarial verificada evita las estafas?
Ayuda a que tus clientes identifiquen tu canal oficial, lo cual reduce la suplantación hacia afuera. Pero no protege contra los intentos dirigidos a tu propio equipo: esos se frenan con procedimientos internos de verificación, no con la verificación de la cuenta.
¿Cómo capacito al equipo sin que lo olviden?
Las reglas simples y repetidas funcionan mejor que las capacitaciones largas. Tres frases bastan: por WhatsApp no se autorizan pagos, todo cambio de datos bancarios se confirma llamando al número registrado, y la urgencia sumada a la confidencialidad es siempre señal de alarma. Reforzarlo periódicamente con ejemplos reales sostiene el hábito.
¿Los ejercicios de simulación cubren este canal?
Los ejercicios habituales se enfocan en correo, que sigue siendo el vector principal y el más medible. Existen ejercicios que abarcan mensajería o llamadas, aunque implican consideraciones adicionales porque involucran números telefónicos personales. Conviene evaluarlo caso por caso con criterio legal y de privacidad.
Artículos relacionados
- Deepfakes y suplantación de identidad: la nueva amenaza para empresas
- Filtración masiva de datos: qué significa para tu empresa
- Aseguramiento de servidores: hardening y protección de datos
Ciberseguridad para empresas
¿Necesitas medir la exposición real de tu equipo?
Ejecutamos simulaciones controladas con autorización formal, escenarios por área e informes ejecutivo y técnico. Sin almacenar contraseñas reales y con evidencia lista para auditoría.
Solicitar propuesta
Ver servicios
proyectos@bluenova.com.ec · +593 96 949 8704 · Quito, Ecuador
Sigue leyendo
Comentarios y opiniones
0 comentarios · Moderación previa
Cuéntanos tu experiencia, dudas o casos similares. Revisamos cada comentario antes de publicarlo para mantener conversaciones de calidad. También puedes suscribirte para recibir nuevos artículos.