Estafa del WhatsApp clonado: cómo actuar y quién responde por el perjuicio

Esta página es una traducción del texto original en portugués, ofrecida para facilitar la lectura. Trata del derecho brasileño. En caso de divergencia, prevalece la versión en portugués. Leer el original en portugués

El secuestro de cuentas de aplicaciones de mensajería se ha convertido en uno de los fraudes digitales más comunes en Brasil, y la reacción de la víctima en las primeras horas determina la magnitud del perjuicio. Presentar la denuncia, avisar a los contactos y recurrir a los canales oficiales de recuperación son pasos que deben darse casi en paralelo, antes de que el delincuente pida dinero en nombre del titular.

Cómo se concreta la estafa

La clonación y el secuestro de cuentas siguen un guion previsible. El delincuente obtiene el número de teléfono de la víctima, muchas veces recogido de anuncios de venta, grupos públicos o filtraciones de datos, e intenta activar la aplicación en otro dispositivo. Para completar el proceso, necesita el código de verificación que la plataforma envía por SMS.

Es en este punto donde entra la ingeniería social. El estafador llama o envía un mensaje haciéndose pasar por un centro de atención al cliente, por un supuesto comprador de un producto anunciado o por un organismo público, y logra que la víctima le facilite el código. Con el código en su poder, asume el control de la cuenta y desconecta al titular original.

Con la identidad digital ajena en sus manos, el delincuente recurre a la lista de contactos con solicitudes urgentes de dinero, alegando emergencias u oportunidades de transferencia. La confianza que la víctima ha construido a lo largo de los años pasa a jugar en su contra, porque familiares y amigos tienden a creer en el mensaje que proviene de un número conocido.

Primeras medidas tras advertir la intrusión

La primera señal suele ser la desconexión repentina de la aplicación, acompañada de un aviso de que el número fue registrado en otro dispositivo. Quien lo detecte debe actuar de inmediato, sin esperar a comprender exactamente lo ocurrido. La prioridad es cortar el acceso del intruso y documentar lo sucedido.

La presentación de la denuncia policial (boletim de ocorrência) es la base de cualquier gestión posterior. La mayoría de los estados ofrece comisaría electrónica, lo que permite formalizar la denuncia por internet, sin desplazarse. En el registro conviene narrar la fecha, la hora aproximada de la pérdida de acceso, la forma en que el delincuente obtuvo el código y las solicitudes de dinero hechas en nombre del titular.

Este documento cumple una doble función. Sirve de prueba para una eventual acción de reparación y protege a la víctima de ser considerada responsable de deudas o fraudes que el estafador llegue a cometer utilizando la cuenta secuestrada. Sin la denuncia, la acreditación del delito resulta frágil.

Las primeras horas después del secuestro de la cuenta valen más que cualquier medida tomada días después.

Paralelamente a la denuncia, se recomienda reunir capturas de pantalla de los mensajes fraudulentos, de las solicitudes de transferencia y de cualquier comunicación con el delincuente. Estos elementos conforman el conjunto probatorio y ayudan a demostrar la extensión de la estafa, tanto en el ámbito penal como en las demandas de indemnización.

Aviso a los contactos y contención de daños

Mientras la cuenta permanece bajo el control del intruso, el mayor riesgo recae sobre terceros. Avisar a la red de contactos por otros medios, como una llamada telefónica, otra aplicación o las redes sociales, suele ser la medida que evita el perjuicio financiero más grave: la transferencia de dinero por parte de quien confía en el titular.

El mensaje de alerta debe ser directo y pedir que nadie haga transferencias ni pagos solicitados desde ese número hasta nuevo aviso. Cuanto más rápido circule el aviso, menor será el margen del delincuente para engañar a familiares, compañeros de trabajo y clientes.

Quien haya caído en la estafa y llegado a transferir dinero debe contactar al banco de inmediato. Las instituciones financieras cuentan con mecanismos de bloqueo cautelar y de intento de devolución en casos de fraude, sobre todo cuando el pago se realizó mediante transferencia instantánea. Una comunicación ágil aumenta las posibilidades de revertir los montos.

Recuperación de la cuenta y refuerzo de la seguridad

La recuperación de la cuenta pasa por los canales oficiales de la propia plataforma. Reinstalar la aplicación y solicitar un nuevo código de verificación por SMS suele cerrar la sesión abierta por el delincuente, porque el registro está vinculado al número de teléfono y no al dispositivo.

Si el estafador activó la verificación en dos pasos con un PIN propio, el titular debe utilizar el procedimiento de restablecimiento, que normalmente exige confirmar el correo electrónico registrado. Agotados los intentos automáticos, debe contactarse con el soporte de la plataforma, con el relato del incidente y el número de la denuncia policial.

Una vez recuperado el acceso, el paso siguiente es cerrar las puertas que permitieron la intrusión. Activar la verificación en dos pasos con PIN, vincular una dirección de correo electrónico segura y revisar los dispositivos conectados reduce drásticamente el riesgo de un nuevo secuestro. Ningún centro de atención legítimo solicita el código de verificación por teléfono, y esta simple regla elimina la mayor parte de los intentos de estafa.

También conviene desconfiar de los mensajes que crean una urgencia artificial. La presión por obtener respuestas rápidas, las amenazas de bloqueo y las promesas de premios son marcas distintivas de la ingeniería social que sustenta este tipo de fraude.

Responsabilidad de la plataforma y de terceros

La atribución de responsabilidad a los involucrados depende de la conducta de cada uno. El delincuente responde en el ámbito penal por invasión de dispositivo informático, prevista en el artículo 154-A del Código Penal, y por estafa (estelionato), tipificada en el artículo 171, cuya pena fue agravada por la legislación que abordó el fraude electrónico cometido por medios digitales.

La responsabilidad civil de la plataforma de mensajería, por su parte, no es automática. El Marco Civil de Internet condiciona, por regla general, la obligación de indemnizar al incumplimiento de una orden judicial específica de eliminación de contenido o de bloqueo. Cuando la empresa adopta mecanismos razonables de seguridad y ofrece canales de recuperación, la tendencia de los tribunales es excluir el deber de reparar los daños causados exclusivamente por la acción del defraudador.

El panorama cambia cuando existe una falla comprobada del servicio, como una demora injustificada en el bloqueo de la cuenta tras la comunicación del titular o la ausencia de herramientas básicas de protección. En esos supuestos, el Código de Defensa del Consumidor puede respaldar una solicitud de indemnización, ya que la relación entre usuario y plataforma es de consumo.

Existe además la responsabilidad de quienes participan en la cadena de la estafa, como el titular de la cuenta bancaria que recibe los valores desviados. La jurisprudencia admite la responsabilidad de este intermediario, el llamado laranja (testaferro), cuando se demuestra que prestó la cuenta para la circulación del dinero defraudado, aunque alegue desconocer su origen.

La protección de datos personales refuerza este marco. La legislación específica impone a quien trata información el deber de seguridad, y la filtración que hace posible el secuestro puede acarrear consecuencias para la empresa responsable de la custodia de los datos, con independencia de la conducta del delincuente.

Preguntas Frecuentes

¿Debo presentar la denuncia policial aunque no haya perjuicio financiero?

Sí. La denuncia documenta el delito, protege al titular de ser considerado responsable de fraudes cometidos con la cuenta secuestrada y sirve de prueba para cualquier medida posterior. Aunque nadie haya transferido dinero, el registro debe hacerse en cuanto se advierta la intrusión, preferiblemente en la comisaría electrónica, que evita desplazamientos.

¿La plataforma siempre tiene que indemnizarme por la estafa?

No. La obligación de indemnizar depende de una falla comprobada del servicio, como la demora en el bloqueo tras el aviso del titular o la ausencia de herramientas de seguridad. Cuando la empresa ofrece verificación en dos pasos y canales de recuperación, y el daño resulta únicamente de la acción del delincuente, la responsabilidad suele recaer sobre el defraudador y no sobre la plataforma.

¿Quien transfirió dinero creyendo en la estafa puede recuperarlo?

Existen posibilidades reales, sobre todo cuando se avisa al banco de inmediato. Las instituciones mantienen mecanismos de bloqueo cautelar y de intento de devolución en los fraudes, especialmente en las transferencias instantáneas. La rapidez es decisiva, porque el delincuente suele fragmentar los montos entre varias cuentas en pocos minutos. La denuncia policial fortalece la solicitud de reversión.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.