Nueva estafa de WhatsApp que suplanta la identidad

Ciberdelincuentes acceden sin autorización a cuentas de iPhone para suplantar usuarios y pedir dinero a sus contactos.

Una vulnerabilidad en el sistema operativo iOS está siendo explotada por ciberdelincuentes para acceder a WhatsApp y suplantar la identidad de los usuarios con el fin de solicitar dinero a sus contactos sin que estos tengan constancia de lo que está sucediendo. Los primeros casos de esta estafa se detectaron en mayo en Italia y fueron comunicados a Forenser, una empresa italiana especializada en informática forense, donde se comprobó que diferentes modelos de iPhone con versiones de iOS 16 resultaron afectados.

La investigación permitió detectar que se explotan encadenadas dos vulnerabilidades distintas: una del sistema operativo iOS (CVE-2025-43300), catalogada como escritura fuera de límites en ImageIO, y otra de la propia aplicación de WhatsApp (CVE-2025-55177), relacionada con mensajes de sincronización de dispositivos vinculados, según ha recogido el Instituto Nacional de Ciberseguridad (Incibe). De este modo, los ciberdelincuentes consiguen acceso no autorizado a la cuenta de WhatsApp de la víctima sin que medie acción previa alguna por su parte.

Cómo funciona la estafa

Lo particular del análisis forense realizado es que en todos los dispositivos examinados no había rastro alguno de un dispositivo externo vinculado ni de ninguna acción de vinculación previa por parte de la víctima. Con el acceso obtenido, el ciberdelincuente procede a enviar mensajes a los contactos de la víctima solicitando transferencias de dinero. Posteriormente limpia su rastro eliminando los mensajes mediante la opción "Eliminar solo para mí", dificultando así la detección de la actividad fraudulenta.

Apple y WhatsApp cierran las vulnerabilidades

Apple y WhatsApp han corregido ambas vulnerabilidades durante 2025. La aplicación de chat actualizó sus versiones para iOS (2.25.21.73) y para Mac (2.25.21.78), mientras que el fabricante del dispositivo implementó el parche en iOS 16.7.12. WhatsApp notificó en los casos registrados durante 2025 a menos de 200 usuarios que consideró "potencialmente afectados", mientras que Apple informó de que había detectado "indicios de explotación contra personas concretas".

No obstante, el riesgo persiste para los usuarios que aún no han actualizado ni la aplicación ni el sistema operativo a las versiones corregidas. Los expertos recomiendan instalar estas actualizaciones con la mayor brevedad posible para evitar ser víctima de este tipo de suplantación de identidad y estafas asociadas.