La Ertzaintza registra 65 estafas en Álava por una brecha de WhatsApp sin necesidad de hacer clic

La Ertzaintza ha detectado un aumento de denuncias relacionadas con una campaña de ataque denominada "zero-click", que explota una vulnerabilidad de iOS y WhatsApp para enviar mensajes a los contactos desde las cuentas de los teléfonos afectados. Entre junio y finales de octubre se han contabilizado 359 casos en Euskadi, de los que 211 corresponden a Bizkaia, 83 a Gipuzkoa y 65 a Álava.

Según la información facilitada por el cuerpo policial, los mensajes fraudulentos piden dinero para resolver una supuesta urgencia y facilitan una cuenta bancaria para realizar el pago. Como su nombre indica, este tipo de ataque no requiere que la víctima haga clic en ningún enlace ni abra ningún archivo.

La Jefatura de Coordinación de Ciberseguridad de la Ertzaintza está llevando a cabo tareas de coordinación de la investigación. Los primeros casos se detectaron en mayo de 2026 en Italia, y la brecha ya ha sido corregida con parches de seguridad: la actualización de iOS a la versión 16.7.12 y de WhatsApp a la versión 2.25.21.78.

El método permite al atacante obtener el material criptográfico del teléfono infectado relacionado con el inicio de sesión en WhatsApp, lo que le posibilita crear una nueva instancia "duplicando" las sesiones sin que el dispositivo original reciba notificaciones de vinculación o de inicio de sesión. Los investigadores lo han detectado en los registros de eventos, donde aparecen intentos continuados de resincronización con los servidores de WhatsApp cuando ambas sesiones intentan mantener el control de la cuenta.

La Ertzaintza recomienda actualizar primero la versión de iOS y después WhatsApp; activar la verificación en dos pasos; revisar los dispositivos vinculados y cerrar las sesiones desconocidas; y no responder desde el propio chat en el que llega la petición de dinero, sino llamar directamente a la persona para confirmar el mensaje por otro canal. Si la cuenta está comprometida, aconseja avisar a los contactos por otra vía, conservar las pruebas, denunciar ante la Ertzaintza y reinstalar WhatsApp tras actualizar iOS para recuperar el control de la cuenta.

Información elaborada a partir de Diario de Noticias de Álava.