Verificación en dos pasos de WhatsApp y seguridad de la cuenta Business

Una mañana, sus clientes le escriben: "Nos ha pedido dinero urgente desde este número, ¿es correcto?". Es posible que su cuenta haya sido secuestrada. Cuando se hace con el número de un negocio, el problema no son solo los mensajes: también se pierden la confianza de los clientes, las conversaciones de pedidos, los grupos registrados y su reputación. Por fortuna, la mayoría de los métodos de ataque más comunes pueden evitarse con buenos hábitos. Este artículo no pretende enseñar a nadie a atacar, sino ayudarle a protegerse: le explicamos cómo activar la verificación en dos pasos, cómo reconocer la estafa del código de verificación y qué orden seguir si le roban la cuenta.

¿Qué es la verificación en dos pasos?

Cuando registra su número en un dispositivo nuevo, WhatsApp le envía un código de seis cifras por SMS o por llamada. Ese código, por sí solo, basta para que alguien que lo obtenga traslade la cuenta a su propio teléfono. La verificación en dos pasos pone un segundo obstáculo: durante el registro también se pide un PIN de seis cifras que usted mismo elige. Si el atacante consigue el código SMS, no podrá entrar en su cuenta mientras no conozca el PIN.

Esta función ofrece protección, pero no una garantía absoluta. Si elige un PIN fácil de adivinar o se lo comunica a otra persona, la protección desaparece.

Cómo activarla

1. En WhatsApp, siga la ruta Ajustes > Cuenta > Verificación en dos pasos. En la aplicación Business la ruta es similar.
2. Toque Activar.
3. Escriba un PIN de seis cifras. No elija su fecha de nacimiento, las últimas cifras de su número de teléfono ni secuencias como 123456.
4. Confirme el PIN.
5. Añada una dirección de correo electrónico de recuperación. Es donde recibirá el enlace para restablecer el PIN si lo olvida; debe ser una dirección a la que tenga acceso.
6. Guarde los cambios y verifique el correo electrónico.

De vez en cuando, WhatsApp le pregunta si recuerda el PIN. En lugar de pasar rápidamente esos avisos, guarde el PIN en un gestor de contraseñas. Si olvida el PIN sin tener un correo de recuperación, restablecer la cuenta puede tardar hasta siete días.

¿Cómo funciona la estafa del código de verificación?

El estafador intenta registrar su número en un teléfono suyo; WhatsApp le envía el código por SMS. Después, le cuenta una historia para conseguir que le diga el código. Para reconocerla basta con conocer los pretextos más habituales.

La regla es sencilla: no comparta nunca con nadie el código de seis cifras que le envía WhatsApp. Tampoco si lo pide alguien que conoce. Llame a esa persona por otro medio para confirmarlo.

Le llega un código que no ha pedido

Si recibe por SMS un código de verificación de WhatsApp que usted no ha solicitado, alguien está intentando registrar su número. No comparta el código. Si la verificación en dos pasos está activada, el atacante no puede avanzar porque no conoce el PIN. Que lleguen varios códigos seguidos es un aviso: revise su PIN.

Estafa con dispositivos vinculados

Los estafadores no solo buscan el código; también pueden usar el mecanismo de dispositivos vinculados. Le piden que escanee un código QR o que introduzca un código de vinculación que le envían. Por ejemplo, con el pretexto de una "página de la campaña" o de una "verificación de pago". Si lo hace, su cuenta se vincula al dispositivo del estafador, que podrá ver sus conversaciones.

• Escanee el código QR solo en una conexión que haya iniciado usted: web.whatsapp.com en su propio ordenador o en su propio panel.
• No escanee un código QR que le haya enviado otra persona en una imagen.
• No confíe en quien le pida que introduzca un "código de vinculación" en su teléfono.
• Revise con regularidad la lista de Dispositivos vinculados de su teléfono y elimine las sesiones que no reconozca.

Para usar correctamente el código QR, consulte la guía de vinculación con código QR.

Medidas adicionales para la cuenta de empresa

• Bloqueo de pantalla del teléfono: desbloquéelo con huella, con el rostro o con un PIN. En un teléfono de trabajo compartido, active además un bloqueo de la aplicación WhatsApp.
• Tarjeta SIM: pida a su operadora que le aplique una verificación adicional para las solicitudes de duplicado de SIM y de cambio de número. No deje el PIN de la línea en el valor predeterminado.
• Buzón de voz: algunos ataques desvían a su buzón de voz la llamada con el código de verificación. Cambie el PIN del buzón de voz.
• Aplicación oficial: instale WhatsApp solo desde las tiendas oficiales. Las versiones modificadas conllevan tanto riesgo de restricción de la cuenta como vulnerabilidades de seguridad.
• Organización del equipo: deje por escrito quién utiliza la cuenta. Retire el acceso de un empleado que se marcha el mismo día y, si es necesario, cambie el PIN.
• Enlaces sospechosos: no haga clic en los enlaces de mensajes del tipo "su cuenta será cerrada".

Si le han robado la cuenta

1. Mantenga la calma y vuelva a verificar su número desde su propio teléfono. Instale WhatsApp, introduzca su número y el código que reciba. Así expulsa al atacante de la sesión.
2. Si se le pide el PIN de verificación en dos pasos, introdúzcalo. Si el atacante había puesto uno, siga los pasos de restablecimiento de la aplicación; puede ser necesario esperar siete días.
3. Active la verificación en dos pasos de inmediato o renueve el PIN.
4. Elimine de la lista de Dispositivos vinculados las sesiones que no reconozca.
5. Avise a sus familiares y a sus clientes por otro canal: "Han accedido sin permiso a mi cuenta; no hagan caso de las peticiones de dinero o de enlaces que reciban de mí".
6. Si es necesario, presente una solicitud al soporte de WhatsApp desde la aplicación o desde la página de ayuda, y guarde los registros.
7. Cambie también las contraseñas de las demás cuentas de su teléfono.

Nadie puede garantizar que estos pasos recuperen la cuenta en todos los casos, pero actuar con rapidez aumenta mucho esa probabilidad.

Notas para quienes usan WapFlow

La cuenta que conecta a WapFlow aparece en su teléfono como una sesión en la lista de Dispositivos vinculados. Por eso, tenga en cuenta lo siguiente:

• Conecte la cuenta solo desde su propio panel y por iniciativa propia. No envíe a nadie una imagen de código QR ni un código de vinculación para que lo conecte.
• Elija para su cuenta del panel una contraseña fuerte que no use en ningún otro sitio.
• Si da acceso al panel a su equipo, defina quién trabaja con cada cuenta. Para la gestión de varias cuentas, consulte el artículo sobre la gestión de varias cuentas.
• Si ve en la lista de dispositivos vinculados de su teléfono una sesión que no reconoce, elimínela.

La restricción de la cuenta por mensajes no solicitados es otro asunto; explicamos sus motivos y los pasos de reclamación en el artículo sobre la restricción de la cuenta.

Una sola frase de regla para su equipo

La formación en seguridad no necesita presentaciones largas. Enseñar a sus empleados una sola regla evita gran parte de los ataques. Puede fijarla en el grupo del equipo:

No compartimos con nadie el código de seis cifras de WhatsApp, ni el código QR ni el código de vinculación. Si alguien lo pide, sea quien sea, primero avisamos a la dirección.

Además, cuando entre un empleado nuevo, compruebe juntos que la verificación en dos pasos está activada, y cuando alguien deje la empresa, confirme por escrito que se han cerrado las sesiones de su teléfono de trabajo. En los negocios pequeños, esto suele hacerlo el propio dueño; a medida que crece el equipo, conviene asignar a una persona responsable para evitar que nadie se ocupe del asunto.

Informe también a sus clientes. Añadir a sus mensajes o a la descripción del perfil la nota "Nunca le pediremos un código de verificación ni datos de pago" les ayuda a reconocer la estafa y mantiene la confianza frente a los mensajes falsos.

Lista de comprobación de seguridad

Preguntas frecuentes

Olvidé el PIN de la verificación en dos pasos, ¿qué hago?

Si añadió un correo de recuperación, puede recibir un enlace para restablecerlo. Si no tiene correo, es posible registrarse sin PIN después de un periodo de espera que determina WhatsApp.

¿Hace falta cambiar el PIN?

Cámbielo si sospecha que alguien lo conoce o cuando un empleado deja la empresa. Cambiarlo con regularidad no es obligatorio.

¿Cómo sé si alguien lee mi cuenta?

Revise si aparece en la lista de dispositivos vinculados una sesión que no reconoce, o si los mensajes que envía aparecen como leídos sin que usted los haya mirado.

¿La verificación en dos pasos es independiente en la cuenta Business y en la normal?

Sí. Cada aplicación está vinculada a su propio número y debe activar la función por separado. Si usa las dos aplicaciones, establezca un PIN en ambas y no use el mismo PIN en las dos.

¿La verificación en dos pasos evita que la cuenta sea restringida?

No. La protección de la cuenta y el cumplimiento de las condiciones de uso son asuntos distintos.

Una vez reforzada la seguridad, puede probar WapFlow para organizar la comunicación con sus clientes: conecte la cuenta solo desde su propio panel y gestione desde un único lugar la agenda, las campañas y las respuestas automáticas.