Una nueva amenaza digital está poniendo en riesgo a millones de usuarios de WhatsApp en todo el mundo. Se trata de GhostPairing, un método sofisticado que permite a los hackers tomar control de una cuenta sin robar contraseñas ni vulnerar directamente el sistema.
Este ataque aprovecha una función legítima de la aplicación: la vinculación de dispositivos, convirtiéndola en una puerta de acceso al robo de conversaciones, archivos y contactos personales.
Detectado inicialmente en Europa Central, GhostPairing ya se está propagando a nivel global. Expertos en ciberseguridad advierten que incluso usuarios con experiencia pueden caer en este engaño debido a lo realista que resulta el proceso.
¿Cómo funciona el ataque GhostPairing en WhatsApp?
A diferencia de otros fraudes, GhostPairing no explota errores técnicos de WhatsApp. En su lugar, se basa en ingeniería social y en el abuso del proceso oficial de vinculación de dispositivos.
El ataque suele comenzar cuando el usuario recibe un mensaje de un contacto comprometido. Este mensaje incluye un enlace que aparenta ser inofensivo, como una foto, un video o una supuesta publicación de Facebook.
Al hacer clic, la víctima es redirigida a una página falsa que simula una verificación de edad o identidad. Según reportes de Gen Digital, el sitio solicita el número de teléfono del usuario. En segundo plano, los atacantes inician el proceso de emparejamiento de un nuevo dispositivo con la cuenta de WhatsApp.
El código legítimo que entrega el control al hacker
Tras ingresar el número, WhatsApp envía un código real de ocho dígitos al teléfono de la víctima. Al introducir ese código en el sitio falso, el usuario, sin saberlo, autoriza la vinculación del dispositivo del atacante.
De esta forma, los delincuentes obtienen acceso completo a los chats, archivos multimedia y lista de contactos, pudiendo incluso enviar mensajes desde la cuenta comprometida.
Tal como advierten expertos en ciberseguridad, este método no requiere robar contraseñas, ya que es la propia víctima quien autoriza el acceso creyendo que realiza una verificación legítima.
Ingeniería social y distracción: la clave del engaño
El éxito de GhostPairing se basa en la distracción del usuario. Muchos ignoran o no interpretan correctamente la notificación de “nuevo dispositivo vinculado” que aparece en WhatsApp.
Además, este ataque puede eludir parcialmente la verificación en dos pasos (2FA), ya que el proceso requiere una acción directa del usuario. En la práctica, el sistema de seguridad no falla: es el engaño el que funciona.
Cómo detectar y eliminar dispositivos vinculados en WhatsApp
Para protegerte del ataque GhostPairing, revisa periódicamente las sesiones activas en tu cuenta:
- Abre WhatsApp
- Ve a Configuración → Dispositivos vinculados
- Revisa la lista de dispositivos conectados
- Si detectas una sesión desconocida (por ejemplo, “Google Chrome – Windows”), ciérrala inmediatamente
WhatsApp nunca te pedirá tu número de teléfono ni códigos de verificación a través de enlaces externos. Cualquier mensaje que lo haga debe considerarse sospechoso.
Conclusión
GhostPairing demuestra que los ataques más peligrosos no siempre requieren virus o fallos técnicos. La atención del usuario y el sentido común siguen siendo las mejores defensas frente a amenazas digitales cada vez más sofisticadas.
