WhatsApp GhostPairing: cómo reconocer y evitar el acceso no deseado

Esta es una guía de seguridad permanente sobre un abuso documentado de la vinculación legítima de dispositivos de WhatsApp. Gen Digital describió la campaña GhostPairing el 15 de diciembre de 2025. Trata siempre como alto riesgo las peticiones inesperadas de «verificar para ver una foto».

Este ataque no demuestra que se haya roto el cifrado de extremo a extremo. El atacante te persuade para aprobar tú mismo un dispositivo vinculado.

GhostPairing es ingeniería social en torno a la vinculación real de WhatsApp (WhatsApp Web / Escritorio). Los estafadores te llevan a añadir su navegador u ordenador como dispositivo vinculado.

Camino habitual: un mensaje breve—a menudo de un contacto comprometido—habla de una foto. El enlace abre una página falsa que pide «verificación». Puede mostrar un código de emparejamiento de WhatsApp o un QR. Introducir el código o escanear el QR en WhatsApp puede aprobar la sesión del atacante.

No confundas un código de emparejamiento de WhatsApp con un código SMS de registro. El de emparejamiento vincula Web/Escritorio. El SMS sirve para registrar o verificar el número. GhostPairing abusa del emparejamiento—no del registro por SMS.

Pueden usarse códigos de emparejamiento engañosos y códigos QR. Los códigos numéricos suelen ser más prácticos para los estafadores en un solo teléfono.

Solo abrir un enlace no es lo mismo que vincular un dispositivo. Cerrar la página sin código ni aprobación reduce el riesgo—no es una garantía absoluta si también escribiste un número, escaneaste un QR o confirmaste en WhatsApp.

Tras vincular, a menudo puedes seguir usando WhatsApp mientras el atacante lee chats/medios sincronizados y puede enviar mensajes como tú. El dispositivo no deseado puede aparecer en Dispositivos vinculados y cerrarse allí—no se describe como invisible de forma permanente.

Cerrar sesión detiene el acceso futuro por esa sesión. No recupera datos ya vistos o copiados.

A. Solo he recibido un mensaje sospechoso

• No abras el enlace.
• Comprueba con el remitente por otro canal de confianza.
• Denuncia o bloquea el mensaje en WhatsApp si corresponde.

B. He hecho clic en el enlace

• Cierra la página.
• No introduzcas códigos ni apruebes ninguna vinculación.
• Si dudas de lo que confirmaste, revisa ahora Dispositivos vinculados (arriba).
• Si también diste contraseñas, datos de pago, descargaste algo u otras permisos: cambia esas contraseñas, vigila cuentas y quita apps desconocidas.

C. Introduje un código o escaneé un QR

• Abre de inmediato Dispositivos vinculados y cierra sesiones desconocidas.
• Avisa a contactos si pudieron enviarse mensajes en tu nombre.
• ¿Sin acceso? Sigue la ayuda oficial de WhatsApp—no los chats.
• Cerrar sesión corta el acceso futuro de ese dispositivo, pero no borra lo ya visto o copiado.

Activa la verificación en dos pasos de WhatsApp como protección extra. Es útil, pero no evita por sí sola GhostPairing ni termina una sesión ya vinculada: debes revisar Dispositivos vinculados.

1. Nunca vincules WhatsApp porque una web pida «verificar» para ver una foto.
2. Inicia la vinculación solo desde WhatsApp cuando abras a propósito Web o Escritorio.
3. Revisa periódicamente Dispositivos vinculados.
4. Desconfía de enlaces inesperados, incluso de contactos conocidos.

Puedes pegar una URL sospechosa en el comprobador de sitios de Fraudly para valorar señales de riesgo antes de seguir interactuando.

Fraudly no detecta cada página de phishing ni cada intento de GhostPairing. Un resultado favorable nunca justifica aprobar una vinculación inesperada.

Fraudly no gestiona tus dispositivos de WhatsApp. Usa siempre la app y el centro de ayuda oficiales.

Técnica documentada: investigación de Gen Digital «GhostPairing Attacks…» (15 de diciembre de 2025) — gendigital.com/blog/insights/research/ghostpairing-whatsapp-attack.

Pasos oficiales: Centro de ayuda de WhatsApp — «How to unlink a device» y artículos relacionados en faq.whatsapp.com. Los menús siguen las rutas documentadas de iPhone/Android; el texto puede variar.

Los consejos generales de prevención se basan en esas fuentes. No inventamos cifras de víctimas, campañas adicionales ni tasas de detección de Fraudly para este ataque.