En qué consiste la estafa llamada “ataque zero-click” y que afecta a quien usa un móvil antiguo con sistema operativo sin actualizar

El Instituto Nacional de Ciberseguridad (INCIBE) y la Policía Nacional han alertado a la ciudadanía de la propagación de una peligrosa modalidad de ciberestafa a través de WhatsApp. Esta amenaza, calificada por expertos en ciberseguridad como un ataque de tipo zero-click, está generando un impacto social más elevado de lo habitual en España. A diferencia de los engaños tradicionales, donde los ciberdelincuentes necesitan convencer al usuario para que pulse un enlace malicioso, escanee un código QR o descargue un archivo adjunto infectado, esta técnica vulnera el perfil de la víctima sin requerir interacción alguna por su parte.

Y es que la peligrosidad radica en que el titular del teléfono sigue utilizando su cuenta con total normalidad, completamente ajeno al fraude que los atacantes están ejecutando de forma paralela a su propio nombre. El origen del problema técnico se encuentra en la explotación en cadena de dos fallos de seguridad que afectan directamente a dispositivos móviles desactualizados. Según los investigadores, las bandas criminales aprovechan una vulnerabilidad crítica presente en anteriores versiones de iOS, combinada con un fallo en la app de mensajería. Este escenario de riesgo se produce principalmente en teléfonos antiguos cuyo software no ha sido renovado por falta de espacio o por omitir las descargas de seguridad.

Los desarrolladores de la plataforma han lanzado parches que corrigen estas brechas, por lo que la exposición al ataque afecta de forma exclusiva a quienes mantienen terminales y aplicaciones en versiones obsoletas desprovistas del código de protección. Una vez que los ciberdelincuentes logran el acceso no autorizado al perfil, despliegan una cuidada estrategia de suplantación de identidad dirigida a los contactos más estrechos de la víctima. Utilizando la cuenta legítima del usuario, los atacantes entran en las conversaciones recientes con familiares o amigos para solicitarles transferencias económicas urgentes.

Los mensajes apelan al vínculo afectivo inventando situaciones de apuro, como la necesidad de abonar un envío contra reembolso o adquirir un móvil por una supuesta rotura del terminal habitual. Al recibir la comunicación desde el número y chat de siempre, las personas del entorno confían plenamente en la veracidad de la petición e ingresan importes elevados en cuentas señaladas por los estafadores sin llegar a sospechar en ningún momento del engaño.

La clave técnica que permite a los estafadores mantener el delito en la absoluta invisibilidad se basa en la sincronización de la cuenta a través de dispositivos vinculados. Los atacantes interactúan mediante la versión web de la plataforma y, tras enviar los textos fraudulentos, seleccionan de inmediato la opción de eliminar solo para mí. Como consecuencia de la sincronización entre el terminal del titular y el equipo del atacante, los mensajes enviados se borran instantáneamente de la pantalla de la víctima pero permanecen intactos en los chats de los destinatarios. De este modo, la persona suplantada no encuentra ningún rastro ni registro de las peticiones en su historial.

Las fuerzas de seguridad y el INCIBE han registrado múltiples casos documentados que demuestran el elevado alcance de este fraude desde sus primeras detecciones en Italia durante el año 2026. Un ejemplo esclarecedor es el de usuarios jóvenes y profesores universitarios cuyos padres y parejas recibieron solicitudes de pago por importes cercanos a los mil euros de manera totalmente inesperada. Las víctimas no llegaron en ningún momento a facilitar códigos SMS de confirmación ni claves PIN, lo que evidencia la eficacia del ataque directo al sistema. La efectividad psicológica reside en la absoluta confianza interpersonal que caracteriza a las conversaciones de WhatsApp, donde el receptor no intuye que tras el perfil habitual se encuentra una red criminal.

Cómo reaccionar

Ante cualquier sospecha de que la cuenta de mensajería ha sido comprometida por este método, las autoridades recomiendan activar de forma inmediata un protocolo estricto de contención de daños. El primer paso consiste en alertar cuanto antes a los contactos más cercanos utilizando medios alternativos, como llamadas de voz, SMS tradicionales o correo electrónico, para que no realicen ninguna transferencia bancaria. Posteriormente, es indispensable acceder a los ajustes de la aplicación para revisar la sección de dispositivos vinculados y cerrar cualquier sesión no reconocida. Asimismo, se aconseja desinstalar y volver a instalar la aplicación.

Para consolidar la protección del teléfono móvil y evitar futuros ciberataques, resulta imprescindible actualizar el sistema operativo iOS y la aplicación a su última versión disponible de manera urgente. Junto a la actualización de software, los especialistas insisten en la activación inmediata de la verificación en dos pasos desde la configuración de seguridad de la app. En el caso de que se haya materializado algún perjuicio económico, es necesario contactar de inmediato con la entidad bancaria para intentar la cancelación del pago y acudir a la Policía Nacional o Guardia Civil para interponer la correspondiente denuncia.