Son muchas las personas que introducen en Google las siguientes palabras clave: espiar conversaciones de WhatsApp, más de lo que os podéis imaginar. Y es que WhatsApp se ha convertido en la herramienta más utilizada para mantener conversaciones privadas, un mundo al que muchos les encantaría entrar, ya sea por sospecha de infidelidad o por la necesidad de extraer datos personales ajenos.
La policía ha querido desplegar una advertencia al respecto, que viene a decirnos que todas estas aplicaciones son fraudes que buscan saquearnos los bolsillos, además de constituir un delito. Lo ha confirmado a través de Twitter de la siguiente manera: "Apps vendemotos que te prometen poder espiar conversaciones ajenas de WhatsApp (un DELITO, por cierto) #Fraude".
Haciendo un pequeño estudio de investigación en Internet, ADSLZone ha caído en la cuenta de que WhatsApp Spy, que es la aplicación a la que seguramente se refiere la policía por ser la más popular y la que más daño está haciendo, no es la única en la Red que te promete acceder al historial de conversaciones de personas ajenas. Todas estas aplicaciones se instalan en tu terminal y, supuestamente, te piden el número de la persona a espiar para ofrecerte un botón con título ‘espiar WhatsApp’. De pronto la App cargaría conversaciones y contactos de la víctima. Evidentemente esto no es tan fácil, y el fin de dichas aplicaciones se encuentra muy lejos de la realidad.
Lo cierto es que es un fraude, un timo, y no conseguirás más que poner en riesgo tu bolsillo mediante la instalación de las mismas. La forma de descarga de estas apps es mediante la típica página que nos pide nuestro número de teléfono para enviarnos un supuesto código para la descarga. En realidad, te suscriben a SMS Premium sin que lo percibas hasta que llega la factura.
Cuidado con las aplicaciones milagrosas. Además de un delito, son verdaderos timos que dejarán nuestro bolsillo en el peor estado.
Riesgos reales y técnicas que sí usan los ciberdelincuentes
No existe una app mágica que descifre chats ajenos: WhatsApp usa cifrado de extremo a extremo. Cuando alguien accede a cuentas, normalmente lo logra a través de ingeniería social o mala configuración: suplantación de identidad (spoofing), clonación de SIM o eSIM para recibir códigos, y QRLJacking (generar un código QR falso de inicio de sesión para que la víctima lo escanee y vincular un dispositivo sin que lo note).
Otra táctica en auge es el uso del buzón de voz: si mantiene el PIN por defecto (0000, 1234), los atacantes pueden interceptar el código de verificación de WhatsApp enviado por llamada y apropiarse de la cuenta. También proliferan los códigos QR maliciosos en webs, correos o carteles (quishing) que dirigen a páginas falsas que piden iniciar sesión.
Se ven además mods y apps no oficiales con funciones "premium" que en realidad instalan spyware o troyanos; y campañas de phishing con sorteos, encuestas o falsos equipos de seguridad que empujan a introducir el número y OTP. Una vez dentro, los atacantes pueden leer chats, enviar mensajes en tu nombre, estafar a contactos o extorsionar.
QRLJacking y cómo funciona el inicio de sesión por QR
En el QRLJacking, el atacante genera un QR fraudulento y convence a la víctima para escanearlo. Ese QR está vinculado a una sesión remota que, a través de un canal tipo websocket, solicita al servidor la renovación periódica del código hasta que se valida. Al escanear, el dispositivo envía metadatos de autenticación que permiten identificar la cuenta y abrir una sesión secundaria. El intruso no bloquea tu móvil; la víctima puede seguir usando WhatsApp sin notar cambios inmediatos, a diferencia de un secuestro total de la cuenta.
La comunicación está cifrada de extremo a extremo, pero el atacante vincula su equipo como dispositivo autorizado, por lo que ve lo mismo que tú. Para reforzar contexto: el sistema de mensajería se apoya en un protocolo propio basado en XMPP y un esquema de claves que autentica tu número; el contenido viaja cifrado y solo los dispositivos emparejados pueden descifrarlo.
Los delincuentes combinan QRLJacking con spoofing (haciéndose pasar por soporte o un contacto) y con quishing: sobreponer códigos QR falsos sobre carteles, enviarlos por correo o redes sociales, o llevarte a sitios con apariencia oficial que te guían para vincular un nuevo dispositivo.
También se emplea vishing con voces clonadas por IA para solicitar códigos; y aunque el “ransomware de WhatsApp” no es habitual como tal, malware en el teléfono puede robar datos, espiar notificaciones o cifrar archivos locales de copias de seguridad.
Cómo detectar accesos no autorizados
- Revisa Dispositivos vinculados en WhatsApp y cierra sesiones que no reconozcas. Este es el indicador más claro.
- Observa señales sutiles: ajustes cambiados (última hora de conexión, ticks azules), batería o datos inusuales y códigos de verificación que no solicitaste.
- Desconfía si te piden escanear un QR fuera de la app o sitio oficial de WhatsApp Web.
Otras pistas: notificaciones de OTP o llamadas automáticas que no pediste, mensajes “leídos” sin haberlos abierto, y equipos que aparecen en la lista de dispositivos con ubicaciones o navegadores extraños. Si usas ordenadores compartidos, comprueba siempre que no quede sesión abierta.
Medidas de protección imprescindibles
- Activa Verificación en dos pasos (PIN) y, si tu móvil lo permite, bloqueo biométrico de la app.
- Cambia el PIN del buzón de voz (evita 0000/1234) y desactiva el acceso remoto si no lo usas.
- Evita WhatsApp Web en equipos compartidos y cierra la sesión tras usarlo.
- Instala solo apps oficiales desde tiendas fiables; nunca mods. Mantén el sistema y WhatsApp actualizados.
- Emplea una solución antimalware confiable y no abras enlaces o archivos sospechosos.
Añade hábitos clave: verifica la fuente del QR antes de escanear, desconfía de sorteos y regalos que pidan iniciar sesión, no compartas códigos de verificación ni PIN con nadie, y protege el teléfono con contraseña robusta. Recuerda que tu móvil es el dispositivo principal y el resto son “dispositivos vinculados”.
Si ya te han robado o espían tu cuenta
- Cierra todas las sesiones en ‘Dispositivos vinculados’ y reinstala WhatsApp si es necesario.
- Activa o restablece la verificación en dos pasos y cambia PIN/contraseñas del móvil.
- Contacta con support@whatsapp.com; si no hay respuesta, escribe al delegado de protección de datos y, en última instancia, a la Agencia Española de Protección de Datos.
- Avisa a tus contactos, reúne pruebas (capturas, números, mensajes), y presenta denuncia ante las Fuerzas y Cuerpos de Seguridad.
- Si sospechas de clonación de SIM, llama a tu operador y solicita una nueva tarjeta. No accedas a chantajes.
Un patrón frecuente en robos de cuenta incluye llamadas perdidas extranjeras, un mensaje al buzón de voz con el código de WhatsApp y PIN por defecto sin cambiar. Reacciona rápido: cambia el PIN del buzón, cierra sesiones, activa 2FA y reporta. Las apps para “espiar WhatsApp” son timos y un delito; la amenaza real está en QRLJacking, buzones inseguros, phishing, mods y malware. Con 2FA, control de sesiones y hábitos prudentes, tu privacidad puede mantenerse a salvo.
