El robo de cuentas de WhatsApp no es algo nuevo. Durante años, muchos ciberdelincuentes han estado tratando de engañar a los usuarios para que les den el código de verificación que reciben por SMS. Con ese código, pueden registrar la cuenta en otro teléfono y dejar a la víctima sin acceso.
Sin embargo, ahora se está advirtiendo sobre una modalidad más sigilosa: el llamado Ghostpairing. En este caso, el delincuente no siempre necesita sacarte de tu cuenta ni cambiar tu número. Su objetivo es diferente: vincular tu WhatsApp a otro dispositivo que él controla, como si fuera una sesión legítima de WhatsApp Web o de escritorio.
El verdadero peligro radica en que la víctima puede seguir usando WhatsApp con normalidad, mientras el atacante tiene acceso a sus conversaciones, recibe mensajes y puede hacerse pasar por ella.
Qué es el Ghostpairing
El Ghostpairing es una técnica de robo o acceso no autorizado a WhatsApp que se basa en la función de dispositivos vinculados.
WhatsApp permite usar la misma cuenta en el móvil principal y, al mismo tiempo, en otros dispositivos, como un ordenador, una tablet o WhatsApp Web. Esta función es legítima y muy útil. El problema surge cuando un estafador logra que la propia víctima autorice, sin darse cuenta, la vinculación de un dispositivo que no le pertenece.
En pocas palabras: el delincuente no “hackea” WhatsApp rompiendo su seguridad, sino que engaña al usuario para que le abra la puerta.
Cómo comienza esta estafa de WhatsApp
Todo suele arrancar con un mensaje que parece completamente normal. Puede provenir de un número desconocido, pero también puede ser de un contacto real cuya cuenta ya ha sido hackeada.
El mensaje generalmente incluye alguna frase diseñada para despertar curiosidad o crear un sentido de urgencia, como por ejemplo:
- “¿Eres tú el de esta foto?”
- “Mira esta imagen donde sales”
- “Te han etiquetado aquí”
- “Revisa este enlace”
Al hacer clic en el enlace, la víctima puede ser llevada a una página falsa que imita a Facebook, Instagram, Meta u otro servicio popular. Esa página solicita una supuesta verificación, pidiendo que se introduzca el número de teléfono o que se sigan ciertos pasos para ver una foto, un vídeo o una publicación.
En realidad, esos pasos están diseñados para que el usuario complete el proceso de vinculación de WhatsApp con un dispositivo que está bajo el control del atacante.
Por qué el Ghostpairing es peligroso
El Ghostpairing es especialmente arriesgado porque no bloquea el WhatsApp de la víctima. A diferencia de otros robos de cuentas, donde el usuario pierde el acceso de inmediato, aquí puede seguir usando la aplicación sin notar nada fuera de lo común.
Mientras tanto, el delincuente podría hacer varias cosas:
- Leer nuestras conversaciones más recientes.
- Recibir nuevos mensajes que lleguen a nuestra cuenta.
- Acceder a fotos, vídeos, audios o documentos que hayamos compartido.
- Enviar mensajes haciéndose pasar por nosotros.
- Pedir dinero a nuestros familiares o amigos.
- Difundir el mismo engaño a otros contactos.
- Obtener datos personales, direcciones, códigos, contraseñas o cualquier información sensible que hayamos compartido en los chats.
Por eso, esta modalidad es tan preocupante: no siempre se detecta de inmediato. El atacante puede seguir vinculado hasta que la víctima se dé cuenta y revise sus dispositivos conectados para eliminar el acceso fraudulento.
Señales de alerta del Ghostpairing
Hay varias señales que deberían hacernos sospechar:
- Recibimos un enlace inesperado, incluso si proviene de un contacto conocido.
- El mensaje incluye frases llamativas como “mira esta foto” o “¿eres tú?”.
- La página a la que accedemos parece ser de Facebook, Instagram o Meta, pero la dirección web es sospechosa.
- Se nos solicita que introduzcamos nuestro número de teléfono para ver una imagen o continuar.
- WhatsApp nos muestra algún aviso relacionado con vincular un dispositivo o ingresar un código.
- Aparece un dispositivo desconocido en la sección de “Dispositivos vinculados”.
- Se envían mensajes desde nuestra cuenta que no hemos escrito.
- Algún contacto nos avisa que ha recibido un mensaje extraño desde nuestro WhatsApp.
Cómo protegerse del Ghostpairing
Protegerse del Ghostpairing es más fácil de lo que parece. La primera regla es bastante sencilla: evita hacer clic en enlaces sospechosos, incluso si provienen de alguien que conoces. Si un mensaje te parece extraño, verifica por otro medio antes de abrirlo: llámale, envíale un SMS o pregúntale a través de otro canal.
Revisa los dispositivos vinculados de WhatsApp
También es fundamental revisar de manera regular los dispositivos que están vinculados a tu WhatsApp. Para hacerlo, simplemente entra en la aplicación y dirígete a:
Ajustes o Configuración > Dispositivos vinculados
Aquí podrás ver qué dispositivos tienen acceso a tu cuenta. Si encuentras alguno que no reconozcas, ciérralo de inmediato.
Activa la verificación en dos pasos
Otra medida clave es activar la verificación en dos pasos. Esta función añade un PIN de seis cifras que ayuda a proteger tu cuenta de accesos no autorizados. Aunque no elimina todos los riesgos, sí proporciona una capa adicional de seguridad.
Además, es recomendable mantener tu móvil actualizado, asegurarte de que la aplicación de WhatsApp esté al día y evitar instalar aplicaciones desde enlaces o sitios web no oficiales.
Qué no debes hacer nunca
- No introduzcas códigos de WhatsApp en páginas externas.
- No sigas instrucciones de desconocidos para “verificar” tu WhatsApp.
- No escanees códigos QR si no estás seguro de lo que estás vinculando.
- No ingreses tu número de teléfono en una web solo para ver una foto o un vídeo.
- No confíes automáticamente en un enlace solo porque provenga de un contacto conocido: su cuenta podría haber sido comprometida.
- No ignores las alertas de WhatsApp sobre dispositivos vinculados.
Qué hacer si ya has caído en Ghostpairing
Si sospechas que tu cuenta ha sido vinculada a un dispositivo fraudulento, actúa rápidamente.
Cierra cualquier dispositivo desconocido
Primero, entra en WhatsApp y revisa la sección de Dispositivos vinculados. Si ves un dispositivo desconocido, ciérralo de inmediato.
Avisa a tus contactos y recopila pruebas
Luego, informa a tus contactos. Es crucial que sepan que podrían recibir mensajes falsos desde tu cuenta, especialmente si les piden dinero, códigos, enlaces o información personal.
Es buena idea cambiar tus contraseñas si en tus conversaciones has compartido datos sensibles, como claves, enlaces privados o cualquier información que podría ser utilizada para acceder a otros servicios.
Si alguien ha suplantado tu identidad, ha solicitado dinero a otras personas o ha usado tu cuenta para hacer fraude, asegúrate de recopilar pruebas: captura de pantalla, enlaces, mensajes enviados, números de teléfono, fechas y cualquier dato que pueda ser útil.
En este caso, es crucial que presentes una denuncia ante las autoridades y busques orientación especializada si tienes alguna duda.
Consejo de InfoEstafas
El Ghostpairing nos muestra que muchas estafas hoy en día no requieren grandes conocimientos técnicos. A menudo, el verdadero punto débil no es la aplicación en sí, sino el engaño al usuario.
Por eso, la mejor defensa es desconfiar de cualquier mensaje que te inste a actuar rápidamente, abrir un enlace o completar una supuesta verificación. Si alguien te envía un enlace para ver una foto y WhatsApp te pide vincular un dispositivo, no lo hagas.
Revisa tus dispositivos vinculados con regularidad. Es una verificación sencilla que puede evitar que alguien esté leyendo tus conversaciones sin que te des cuenta.
Fuentes consultadas
- INCIBE publicó el 10 de junio de 2026 una alerta específica sobre Ghostpairing, explicando que el fraude busca vincular la cuenta de WhatsApp a un dispositivo controlado por el atacante sin que el usuario pierda necesariamente el acceso a su cuenta.
- INCIBE recomienda, en caso de ser víctima, desvincular dispositivos desconocidos, analizar el móvil, cambiar contraseñas expuestas, recopilar pruebas, denunciar si hay suplantación y avisar a los contactos.
- WhatsApp explica oficialmente su función de dispositivos vinculados, incluyendo la vinculación mediante código QR o número de teléfono.
- WhatsApp también indica cómo cerrar sesión o desvincular un dispositivo desconocido desde la sección de dispositivos vinculados.
- WhatsApp e INCIBE recomiendan activar la verificación en dos pasos como capa adicional de seguridad para la cuenta.
- CERT-In, organismo oficial de ciberseguridad de India, también publicó una alerta sobre la campaña de robo de cuentas de WhatsApp conocida como GhostPairing.
Sobre el autor
Joan Torras es fundador de InfoEstafas.com y responsable editorial del proyecto. Redacta y revisa contenidos sobre estafas online, fraudes digitales y prevención en internet.
