Cómo proteger WhatsApp en 2026: guía para evitar robos

Perder el control de tu cuenta de WhatsApp puede pasar en menos de un minuto. Normalmente nadie “hackea” la aplicación: basta con que el atacante consiga que le dictes un código de seis cifras. Desde ese momento puede leer tus grupos, pedir dinero a tus contactos usando tu nombre y foto, y hasta bloquearte el acceso con su propio PIN.

En esta guía te explico cómo proteger WhatsApp paso a paso, con las opciones de seguridad que ofrece hoy la aplicación, los engaños más usados por los ciberdelincuentes y lo que debes hacer si ya te robaron la cuenta. También incluyo un apartado para empresas que atienden clientes por este canal, donde un incidente cuesta dinero y reputación.

Por qué es tan importante la seguridad en WhatsApp

WhatsApp es la aplicación de mensajería más usada en Latinoamérica y España. Por ahí pasan conversaciones familiares, datos bancarios, documentos de identidad, comprobantes de pago y acuerdos de trabajo. Eso la convierte en un objetivo muy rentable para el fraude.

El riesgo no es solo perder tus chats. Una cuenta robada sirve para:

Suplantar tu identidad y pedir transferencias urgentes a familiares y amigos.
Robar la cuenta de tus contactos, pidiéndoles “el código que te llegó por error”.
Acceder a fotos, documentos y audios compartidos en grupos.
Dañar la reputación de un negocio que usa WhatsApp para vender o atender clientes.

El cifrado de extremo a extremo protege tus mensajes mientras viajan, pero no te protege si tú mismo entregas la llave. Por eso la seguridad de tu cuenta depende tanto de la configuración como de tus hábitos.

Cómo roban cuentas de WhatsApp: las amenazas más comunes

Conocer las técnicas de los atacantes es la mejor forma de reconocerlas a tiempo. Casi todas se basan en la ingeniería social: convencerte de hacer algo, no romper la aplicación.

1. El “te envié un código por error”

Es el clásico. Recibes un SMS con un código de WhatsApp que no pediste y, segundos después, un mensaje de un contacto (cuya cuenta ya fue robada) diciendo que te lo mandó por equivocación. Si se lo reenvías, el atacante registra tu número en su teléfono.

2. Suplantación de soporte técnico o empresas

Mensajes que dicen ser de “Soporte de WhatsApp”, tu banco, una empresa de mensajería o una tienda. Usan frases como “tu cuenta será suspendida”, “verifica tu identidad” o “confirma tu pedido”. WhatsApp nunca te pedirá tu código ni tu PIN por chat, llamada ni correo.

3. Ataque al buzón de voz

Una técnica menos conocida y muy efectiva. El atacante pide que el código de verificación se envíe por llamada, normalmente de noche o cuando sabe que no contestarás. La llamada cae en tu buzón de voz y, si este tiene la clave por defecto (por ejemplo 0000 o 1234), accede a él de forma remota y escucha el código.

Consejo de experto: cambia la clave de tu buzón de voz o desactívalo con tu operador.

4. Códigos QR y WhatsApp Web falsos

Te piden escanear un QR para “participar en un sorteo”, “verificar tu cuenta” o “unirte a un grupo”. En realidad, ese QR vincula el navegador del atacante a tu cuenta como un dispositivo vinculado, y desde ahí puede leer todo sin que tu teléfono se desconecte.

5. “Hola mamá, cambié de número”

El estafador te escribe desde un número nuevo haciéndose pasar por un hijo, pareja o amigo. Tras unos mensajes amables, pide una transferencia urgente porque “el banco no le funciona”.

6. Duplicado de SIM (SIM swapping)

El delincuente consigue un duplicado de tu chip con tus datos personales, recibe tus SMS y registra tu WhatsApp. Aquí la verificación en dos pasos es tu última barrera.

7. Apps modificadas y malware

Versiones no oficiales como WhatsApp Plus, GB WhatsApp o similares prometen funciones extra, pero pueden robar datos o mensajes. Además, WhatsApp puede suspender cuentas que las usan.

Señales de alerta: cómo saber si alguien intenta entrar a tu cuenta

Presta atención a estas señales:

Recibes códigos de verificación que no solicitaste.
WhatsApp te cierra la sesión y te pide verificar tu número de nuevo.
Te llega un aviso de que tu número se registró en otro teléfono.
Aparecen dispositivos desconocidos en la lista de vinculados.
Tus contactos reciben mensajes que tú no enviaste.
Ves chats leídos o archivados que no recuerdas haber abierto.
Llegan correos de cambio de PIN o de correo que no hiciste.

Si recibes códigos sin pedirlos, no es necesariamente que ya te hayan robado la cuenta: suele ser un intento. Mientras no compartas el código y tengas el PIN activo, sigues protegido.

Guía paso a paso para proteger WhatsApp

Las rutas pueden variar ligeramente entre Android e iPhone y según la versión de la app. Mantén WhatsApp actualizado para ver todas las opciones.

Paso 1: Activa la verificación en dos pasos

Es la medida más importante. Añade un PIN de seis dígitos que se pedirá cada vez que alguien intente registrar tu número en un teléfono nuevo.

Abre WhatsApp y entra a Ajustes (o Configuración).
Ve a Cuenta → Verificación en dos pasos.
Pulsa Activar y crea un PIN de 6 dígitos.
Añade un correo electrónico de recuperación (muy recomendable).
Confirma el correo.

Cómo elegir un buen PIN:

Evita fechas de nacimiento, aniversarios o el año en curso.
Evita secuencias (123456) y repeticiones (111111).
No uses el mismo PIN de tu tarjeta bancaria ni del desbloqueo del teléfono.
Guárdalo en un gestor de contraseñas.

Error común: activar el PIN sin correo de recuperación. Si lo olvidas, tendrás que esperar 7 días para volver a registrar tu cuenta.

Paso 2: Configura una llave de acceso (passkey)

WhatsApp permite usar llaves de acceso para verificar tu cuenta con la huella, el rostro o el bloqueo de pantalla del teléfono, en lugar de depender solo del SMS.

Ruta: Ajustes → Cuenta → Llaves de acceso.
Ventaja: una llave de acceso no se puede “dictar” por teléfono, así que neutraliza buena parte del phishing.

Paso 3: Verifica tu dirección de correo

En Ajustes → Cuenta → Dirección de correo electrónico puedes asociar un correo verificado. Sirve como método alternativo para recibir códigos si no tienes acceso a SMS, por ejemplo al viajar.

Paso 4: Nunca compartas códigos ni PIN

Esta regla no tiene excepciones:

Ningún familiar, técnico, banco o empleado de WhatsApp necesita tu código.
Un código que llega sin haberlo pedido no se reenvía, no se dicta y no se escribe en ninguna página web.
Si alguien insiste con urgencia, es casi seguro un intento de robo.

Paso 5: Ajusta tu privacidad

En Ajustes → Privacidad decide quién ve tu información:

Opción	Recomendación
Hora de últ. vez y en línea	Mis contactos o Nadie
Foto de perfil	Mis contactos
Info. (descripción)	Mis contactos
Estados	Mis contactos o lista personalizada
Confirmaciones de lectura	Según tu preferencia
Grupos	Mis contactos, excepto…

Una foto de perfil pública facilita que un estafador la copie para suplantarte. Limitarla a tus contactos reduce ese riesgo.

Usa también la Comprobación de privacidad (Ajustes → Privacidad → Comprobación de privacidad): un asistente que revisa en pocos minutos los ajustes más importantes.

Paso 6: Controla quién te añade a grupos

Muchas estafas de “inversiones” y “ofertas de trabajo” empiezan agregándote a grupos desconocidos. En Privacidad → Grupos, elige Mis contactos o Mis contactos, excepto….

Si un desconocido te añade, WhatsApp muestra información de contexto del grupo para que decidas si salir sin abrir los mensajes.

Paso 7: Silencia llamadas de desconocidos

En Privacidad → Llamadas, activa Silenciar llamadas de desconocidos. Las llamadas seguirán apareciendo en tu registro, pero el teléfono no sonará. Es útil contra el spam y las estafas telefónicas.

Revisa y controla tus dispositivos vinculados

WhatsApp permite usar una misma cuenta en el teléfono principal y en varios dispositivos vinculados (ordenadores, tablets, navegadores o un segundo teléfono). Es muy práctico, pero también es la puerta que más se olvida revisar.

Cómo revisar los dispositivos vinculados

Ve a Ajustes → Dispositivos vinculados.
Revisa la lista: verás el tipo de dispositivo y la última actividad.
Toca cualquier dispositivo que no reconozcas y selecciona Cerrar sesión.

Cuándo hacer la revisión

No esperes a sospechar algo. Hazlo:

Una vez al mes, como rutina.
Después de usar WhatsApp Web en un ordenador ajeno.
Tras escanear cualquier código QR.
Después de prestar tu teléfono o llevarlo a reparar.
Cuando cambies de ordenador o vendas uno antiguo.

Ejemplo real: una persona inicia sesión en WhatsApp Web en el ordenador de un hotel para imprimir un boleto y olvida cerrarla. Semanas después, cualquiera que use ese equipo podría leer sus conversaciones. Un vistazo a la lista de dispositivos lo habría evitado.

Cierra sesión correctamente en equipos ajenos

En WhatsApp Web o Desktop, usa el menú y selecciona Cerrar sesión. Cerrar la pestaña del navegador no basta. Si ya no tienes acceso a ese equipo, ciérrala desde el teléfono en Dispositivos vinculados.

Funciones avanzadas para reforzar la seguridad en WhatsApp

Si manejas información sensible, eres periodista, trabajas con datos de clientes o simplemente quieres más protección, estas funciones marcan la diferencia.

Bloqueo de la aplicación con huella o Face ID

Evita que alguien con tu teléfono desbloqueado abra tus chats.

Android: Ajustes → Privacidad → Bloqueo de app (huella dactilar).
iPhone: Ajustes → Privacidad → Bloqueo de pantalla (Face ID o Touch ID).

Combínalo siempre con un bloqueo fuerte del propio teléfono: PIN de 6 dígitos o más, o contraseña alfanumérica.

Chats bloqueados y código secreto

Puedes bloquear conversaciones concretas para que solo se abran con tu huella o rostro. Mantén pulsado el chat y elige Bloquear chat. Además, puedes ocultar la carpeta de chats bloqueados tras un código secreto, de modo que solo aparezca si lo escribes en la barra de búsqueda.

Proteger la dirección IP en las llamadas

Ruta: Ajustes → Privacidad → Avanzado → Proteger la dirección IP en las llamadas. Las llamadas se enrutan a través de los servidores de WhatsApp, lo que dificulta que el otro interlocutor deduzca tu ubicación aproximada o tu proveedor de internet. A cambio, la calidad de la llamada puede bajar un poco.

Bloquear mensajes de cuentas desconocidas

En el mismo menú Avanzado puedes activar la opción para bloquear mensajes de cuentas desconocidas cuando estas superan cierto volumen. Es útil contra campañas masivas de spam.

Configuración estricta de la cuenta

WhatsApp ha incorporado una configuración estricta de la cuenta pensada para personas con alto riesgo de ataques dirigidos. Activa de golpe varias restricciones: limita archivos y enlaces de remitentes desconocidos, silencia llamadas de números que no tienes guardados y endurece otros ajustes de privacidad. Su despliegue es progresivo, así que puede que aún no aparezca en tu versión.

Ventajas y desventajas de las funciones avanzadas:

Ventajas	Desventajas
Reducen la superficie de ataque	Algunas funciones se limitan (vistas previas, llamadas)
Protegen contra ataques dirigidos	Pueden hacerte perder mensajes de desconocidos legítimos
Ocultan tu ubicación aproximada	Las llamadas pueden tener algo más de latencia

Configúralas según tu nivel de riesgo: un usuario común quizá no necesita la configuración estricta, pero un abogado, periodista o directivo sí.

Mensajes temporales y de visualización única

Los mensajes temporales se borran automáticamente tras 24 horas, 7 días o 90 días. Los archivos de visualización única desaparecen tras abrirse. Son ideales para compartir datos sensibles (una contraseña temporal, una foto de un documento) sin que queden almacenados indefinidamente.

Protege tus copias de seguridad

Muchas personas blindan su cuenta y olvidan que sus chats están copiados en Google Drive o iCloud. Activa la copia de seguridad cifrada de extremo a extremo:

Ve a Ajustes → Chats → Copia de seguridad.
Selecciona Copia de seguridad cifrada de extremo a extremo.
Elige protegerla con una contraseña, una clave de 64 dígitos o una llave de acceso.

Importante: si pierdes esa contraseña o clave, nadie (ni WhatsApp) podrá recuperar tu copia. Guárdala en un gestor de contraseñas.

Buenas prácticas que nunca debes olvidar

Lo que nunca debes hacer

Compartir códigos de verificación o tu PIN.
Escanear códigos QR que no hayas generado tú mismo.
Instalar versiones modificadas (WhatsApp Plus, GB WhatsApp, etc.).
Dejar sesiones abiertas en ordenadores de hoteles, cibercafés o trabajos anteriores.
Hacer clic en enlaces acortados o sospechosos sin verificar el remitente.
Enviar dinero solo porque un contacto lo pide por chat.

Lo que siempre debes hacer

Descargar WhatsApp solo desde Google Play o App Store.
Activar las actualizaciones automáticas de la app y del sistema operativo.
Cambiar la clave por defecto de tu buzón de voz.
Verificar por llamada o en persona cualquier petición de dinero.
Bloquear y reportar números sospechosos desde el propio chat.
Pedir a tu operador un bloqueo o PIN adicional para evitar duplicados de SIM.

Errores comunes que facilitan el robo de cuentas

Confiar en el remitente: que el mensaje venga de un contacto conocido no significa que lo haya escrito esa persona.
Actuar bajo presión: la urgencia (“si no lo haces en 5 minutos se bloquea”) es la herramienta favorita de los estafadores.
Pensar que el cifrado lo cubre todo: el cifrado no te protege si entregas tu código.
No revisar dispositivos vinculados: una sesión olvidada puede estar activa durante semanas.
Reutilizar el PIN: si el atacante lo conoce de otro servicio, lo probará en WhatsApp.

Seguridad de WhatsApp en empresas y negocios

Cuando WhatsApp es un canal de ventas, atención al cliente o coordinación con proveedores, un robo de cuenta deja de ser un problema personal. Puede traducirse en pagos desviados, datos de clientes expuestos y una caída de confianza difícil de recuperar.

Riesgos típicos en entornos empresariales

Fraude del CEO o del proveedor: alguien suplanta a un directivo o proveedor y pide cambiar la cuenta bancaria de un pago.
Exempleados con acceso: sesiones vinculadas que nadie cerró cuando la persona dejó la empresa.
Teléfonos compartidos sin bloqueo ni control.
Clientes estafados por perfiles falsos que imitan la marca.

Plan de protección en 6 pasos

Inventario de cuentas: identifica todas las cuentas corporativas, el número asociado, el responsable y qué información circula por cada una.
Capacitación: forma al equipo para reconocer phishing, urgencias falsas y suplantación.
Validación por doble canal: cualquier pago, cambio de cuenta bancaria o envío de datos sensibles se confirma por otro medio (llamada a un número ya conocido, correo corporativo).
Control de dispositivos: revisión periódica de sesiones vinculadas y cierre inmediato al salir un empleado.
Plan de respuesta: define quién actúa, cómo se avisa a los clientes y qué pasos se siguen si la cuenta se compromete.
Continuidad operativa: ten un canal alternativo de comunicación con clientes durante un incidente.

Recomendaciones adicionales para negocios

Usa WhatsApp Business o, si tienes volumen alto, la WhatsApp Business Platform (API) a través de un proveedor oficial, que permite gestionar agentes sin compartir un único teléfono.
Solicita la verificación del negocio en Meta para que tus clientes distingan tu perfil oficial de imitaciones.
Publica tu número oficial en tu web y redes, y avisa a los clientes de que nunca pedirás pagos a cuentas personales.

Indicadores para medir la seguridad

Porcentaje de cuentas con verificación en dos pasos activa (objetivo: 100 %).
Número de revisiones de dispositivos vinculados al mes.
Tiempo medio de respuesta ante un incidente.
Porcentaje del equipo capacitado en el último año.

Qué hacer si intentan robar tu cuenta de WhatsApp

Distingue entre un intento (te llegan códigos, te escriben pidiéndolos) y una cuenta ya comprometida (te cerró sesión o tus contactos reciben mensajes falsos).

Si es un intento de robo

No compartas ningún código ni PIN.
Rechaza cualquier vinculación que no hayas iniciado.
Revisa tus dispositivos vinculados y cierra los desconocidos.
Confirma que la verificación en dos pasos está activa.
Si el mensaje vino de un contacto, avísale por otro medio: probablemente su cuenta fue robada.

Si ya perdiste el acceso a tu cuenta

Vuelve a registrar tu número en WhatsApp con tu teléfono. Al verificarte con el código SMS, el atacante será desconectado.
Si el atacante activó su propio PIN de verificación en dos pasos, tendrás que esperar 7 días para registrarte sin él. Aun así, en ese tiempo él tampoco podrá volver a entrar si lo desconectas.
Escribe al soporte oficial de WhatsApp (support@whatsapp.com) con el asunto “Teléfono robado/extraviado: desactiva mi cuenta” e incluye tu número en formato internacional (por ejemplo, +51 999 999 999).
Avisa a tus contactos por otras vías (redes sociales, llamadas, SMS) de que no atiendan peticiones de dinero.
Si te robaron el teléfono, pide a tu operador el bloqueo de la SIM y un duplicado.
Una vez recuperada la cuenta, revisa dispositivos vinculados, PIN, correo y llave de acceso.
Denuncia el hecho ante la policía de tu país, especialmente si hubo pérdidas económicas. En Perú puedes acudir a la División de Investigación de Delitos de Alta Tecnología (DIVINDAT); en otros países, a la unidad de delitos informáticos correspondiente.
Si eres empresa, documenta el incidente: fecha, cuenta afectada, alcance y acciones realizadas.

Lista de comprobación: seguridad de WhatsApp a largo plazo

Guarda esta lista y repásala cada pocos meses:

Verificación en dos pasos activa con PIN seguro
Correo de recuperación verificado
Llave de acceso configurada
WhatsApp y sistema operativo actualizados
App descargada solo de tiendas oficiales
Dispositivos vinculados revisados este mes
Sesiones antiguas cerradas
Bloqueo de app con huella o Face ID
Copia de seguridad cifrada de extremo a extremo
Privacidad de foto, estado y grupos ajustada
Llamadas de desconocidos silenciadas
Clave del buzón de voz cambiada
Validación por otro canal para pagos y datos sensibles
Equipo capacitado (si usas WhatsApp en tu negocio)

Preguntas frecuentes sobre cómo proteger WhatsApp

¿Pueden robarme WhatsApp sin el código de verificación?

Es muy difícil. La mayoría de robos requieren el código SMS (obtenido por engaño, buzón de voz o duplicado de SIM) o vincular un dispositivo mediante QR. Con la verificación en dos pasos activa, incluso con el código necesitarían tu PIN.

¿Qué pasa si comparto por error el código de WhatsApp?

Vuelve a registrar tu número de inmediato en tu teléfono. Si tienes PIN de verificación en dos pasos, el atacante no podrá completar el registro sin él.

¿WhatsApp me puede pedir mi código por chat?

No. WhatsApp no contacta a los usuarios por chat para pedir códigos, PIN ni contraseñas. Cualquier mensaje así es un fraude.

¿Cómo sé si alguien lee mis mensajes de WhatsApp?

Revisa Ajustes → Dispositivos vinculados. Si aparece un equipo que no reconoces, alguien tiene acceso. Ciérrale la sesión de inmediato.

¿Cuántos dispositivos se pueden vincular a una cuenta?

Puedes usar tu teléfono principal junto con varios dispositivos vinculados (actualmente hasta cuatro), incluidos navegadores, ordenadores, tablets y un segundo teléfono.

¿Qué hago si olvidé mi PIN de verificación en dos pasos?

Usa la opción “¿Olvidaste tu PIN?” para recibir un enlace en tu correo de recuperación. Si no configuraste correo, deberás esperar 7 días para registrar la cuenta sin PIN.

¿Es seguro usar WhatsApp Web?

Sí, siempre que lo uses en equipos de confianza, cierres sesión al terminar y revises tus dispositivos vinculados. Evita usarlo en ordenadores públicos.

¿WhatsApp Plus o GB WhatsApp son seguros?

No. Son versiones no oficiales que pueden contener malware, no garantizan la seguridad de tus datos y su uso puede provocar la suspensión de tu cuenta.

¿Cómo protejo mis copias de seguridad de WhatsApp?

Activa la copia de seguridad cifrada de extremo a extremo en Ajustes → Chats → Copia de seguridad, y guarda la contraseña o clave en un lugar seguro.

¿Qué hago si suplantan mi identidad en WhatsApp con otro número?

Avisa a tus contactos por varios canales, reporta y bloquea el número desde el chat, y denuncia ante la policía si hubo intentos de estafa.

LO MAS RECIENTE: