¿Hackearon su cuenta de WhatsApp o Telegram? Cómo recuperarla y blindarla

¿Qué hacer si hackean su cuenta de WhatsApp?

El servicio de ayuda de WhatsApp ofrece una única vía de recuperación para una cuenta comprometida, siempre que usted conserve la tarjeta SIM de su número ^[1]:

1. Abra WhatsApp y toque Volver a iniciar sesión y luego Continuar. Si se le pide, introduzca su número de teléfono completo con el prefijo internacional ^[1].
2. Introduzca el código de 6 dígitos que reciba por SMS o por llamada telefónica. Al volver a registrarse con este código, se cierra automáticamente la sesión en todos los dispositivos conectados a su cuenta ^[1].
3. Si se le pide un PIN de verificación en dos pasos que no conoce, es posible que el intruso lo haya configurado. WhatsApp indica que espere 7 días y vuelva a intentarlo; quien esté usando su cuenta queda igualmente desconectado en cuanto usted introduce el código SMS ^[1].
4. Avise a sus familiares y amigos, porque el intruso podría hacerse pasar por usted en chats y grupos ^[1].
5. Una vez recuperado el acceso, active las funciones de seguridad y revise los dispositivos vinculados a su cuenta ^[1].

¿Qué no funciona?

Cambiar la contraseña no expulsará a otra persona de su cuenta; WhatsApp afirma que las contraseñas y la verificación en dos pasos protegen una cuenta a la que usted todavía tiene acceso, y que volver a registrarse con el código de 6 dígitos es la única forma de expulsar a un intruso ^[1]. WhatsApp también advierte que, si denuncia la cuenta comprometida que intenta recuperar, podría bloquearla y usted podría perder el acceso, por lo que recomienda recuperarla primero ^[1].

¿Puede el intruso leer mis chats antiguos?

Según WhatsApp, los mensajes están cifrados de extremo a extremo y se almacenan en su dispositivo, por lo que alguien que vuelva a registrar su cuenta en un dispositivo nuevo no puede leer sus conversaciones anteriores ^[1]. Sin embargo, sí puede recibir mensajes nuevos y escribir a sus contactos mientras controla la cuenta.

¿Cómo se roban las cuentas de WhatsApp y Telegram?

Los métodos de robo de cuentas que describen a continuación las agencias contra el fraude y los investigadores de seguridad no rompen el cifrado. Engañan al titular, o a su operador móvil, para que entregue los medios para iniciar sesión ^[7][8][9].

La estafa de «te envié mi código por error»

Action Fraud, el centro nacional de denuncias de fraude del Reino Unido, describió el patrón en 2023: un delincuente se apodera primero de una cuenta de WhatsApp que lo tiene a usted como contacto y luego le escribe haciéndose pasar por su amigo ^[7]. Al mismo tiempo, usted recibe un mensaje de WhatsApp con un código de seis dígitos, porque el delincuente está intentando iniciar sesión con su número; afirma que le envió el código por accidente y le pide que se lo reenvíe ^[7]. En cuanto lo obtiene, inicia sesión, lo deja a usted sin acceso y repite el truco con sus contactos ^[7]. En ese momento, Action Fraud había recibido más de 60 denuncias de esta estafa ^[7].

El duplicado de SIM

En el duplicado de SIM (SIM swapping), los delincuentes convencen o sobornan a un operador móvil para que traslade su número a una tarjeta SIM que ellos tienen, y a partir de entonces sus llamadas y mensajes, incluidos los códigos de un solo uso, llegan a su dispositivo ^[9]. El Internet Crime Complaint Center del FBI recibió 1,611 denuncias por duplicado de SIM en 2021, con pérdidas ajustadas de más de 68 millones de dólares estadounidenses ^[9].

Códigos QR maliciosos y dispositivos vinculados

Ambas aplicaciones permiten usar la cuenta en computadoras y otros dispositivos. En noviembre de 2024, Microsoft observó que un grupo vinculado al Estado ruso, al que denomina Star Blizzard, enviaba por correo electrónico a sus objetivos una invitación a un grupo de WhatsApp; el código QR de la página de destino vinculaba en realidad la cuenta de la víctima a un dispositivo controlado por los atacantes, lo que les permitía leer y exportar mensajes a través de WhatsApp Web ^[8]. Microsoft afirmó que la campaña fue limitada y que pareció terminar a finales de noviembre de 2024 ^[8].

Otras vías

WhatsApp aconseja configurar una contraseña difícil de adivinar para el buzón de voz, de modo que nadie pueda acceder a él, y no hacer clic en enlaces de correos electrónicos no solicitados que contengan un código de registro, lo que puede significar que alguien intenta registrar su número ^[2]. Telegram advierte a los usuarios que traten a cualquier bot como a un desconocido y que nunca le den contraseñas ni códigos de Telegram ^[6].

¿Cómo recuperar una cuenta de Telegram hackeada?

Telegram afirma que, por ahora, el número de teléfono es la única forma en que identifica a un usuario: quien tiene el número tiene la cuenta, y no puede ayudarle a menos que usted tenga acceso al número o a Telegram en alguno de sus dispositivos ^[6]. Su consejo para un teléfono robado es la mejor guía ante cualquier robo de cuenta ^[6]:

1. Si todavía tiene la sesión iniciada en otro dispositivo: vaya a Ajustes, luego a Privacidad y seguridad, y active la Verificación en 2 pasos, para que el número de teléfono por sí solo ya no baste para iniciar sesión ^[6].
2. Vaya a Ajustes y luego a Dispositivos (o a Privacidad y seguridad y luego a Sesiones activas) y finalice la sesión que no reconozca. Sin su contraseña, ese dispositivo no podrá volver a iniciar sesión ^[6].
3. Si no tiene acceso desde ningún dispositivo: comuníquese con su operador telefónico para que bloquee la SIM antigua y le emita una nueva con su número; después, inicie sesión y finalice las sesiones desconocidas ^[6].

Si alguien se hace pasar por usted en Telegram, las preguntas frecuentes indican que se comunique con @NoToScam ^[6]. Los códigos de inicio de sesión del propio Telegram llegan al chat de servicio verificado llamado «Telegram» y no deben compartirse nunca con nadie, ni siquiera con otros servicios o aplicaciones ^[6].

¿Qué está en riesgo en Telegram?

Telegram conserva los chats en la nube para que pueda acceder a ellos desde cualquier dispositivo, y se sincronizan al instante en todos los dispositivos en los que inicie sesión ^[6]. Los chats en la nube usan cifrado servidor-cliente, mientras que los chats secretos añaden cifrado de extremo a extremo, no forman parte de la nube de Telegram y solo se puede acceder a ellos desde sus dispositivos de origen ^[6]. En la práctica, por tanto, una sesión abierta por un intruso puede ver sus chats en la nube, pero no sus chats secretos, y por eso es importante finalizar rápidamente las sesiones desconocidas.

¿Qué ajustes protegen las cuentas de WhatsApp y Telegram?

Ambas aplicaciones ofrecen capas de protección que hacen que un código o un número de teléfono robados no basten por sí solos. WhatsApp subraya que estas funciones solo sirven en una cuenta a la que usted todavía puede acceder; no pueden restablecer un acceso perdido ni expulsar a alguien que ya está dentro ^[2].

• Verificación en dos pasos. En WhatsApp, vaya a Ajustes, Cuenta, Verificación en dos pasos, actívela, cree una contraseña segura y, si lo desea, añada una dirección de correo electrónico ^[3]. WhatsApp señala que está sustituyendo el PIN de 6 dígitos de la verificación en dos pasos por una contraseña ^[3]. En Telegram, la Verificación en 2 pasos está en Ajustes, Privacidad y seguridad; una vez activada, necesitará tanto un código SMS como una contraseña para iniciar sesión ^[6].
• Correo electrónico de recuperación. WhatsApp afirma que un correo electrónico añadido al registrarse le permite recuperar la cuenta sin SMS ni llamada telefónica ^[2]. Telegram le permite configurar un correo de recuperación por si olvida la contraseña y aconseja proteger también esa cuenta de correo con una contraseña segura y verificación en 2 pasos ^[6].
• Passkeys. Una passkey es un método de inicio de sesión vinculado al bloqueo de pantalla, la huella digital o el rostro de su dispositivo. WhatsApp vincula su cuenta al sistema de seguridad de su dispositivo cuando configura una ^[4]. Telegram afirma que las passkeys son más seguras que los códigos SMS y que pueden respaldarse en un gestor de contraseñas como el Llavero de iCloud o Google Password Manager ^[6].
• Bloqueo de la aplicación y de chats. WhatsApp ofrece bloqueo de la aplicación y bloqueo de chats ^[2]; Telegram recomienda un código de acceso para bloquear la aplicación ^[6].
• Opciones para casos de alto riesgo. La configuración estricta de la cuenta de WhatsApp aplica sus controles de privacidad y seguridad más estrictos y está pensada para personas que creen que podrían ser objeto de ataques ^[2]. Telegram recomienda los chats secretos en aplicaciones oficiales o de código abierto verificable a las personas preocupadas por su seguridad personal ^[6].

¿Cómo revisar los dispositivos vinculados y las sesiones activas?

Un dispositivo vinculado o una sesión que usted no reconoce es una señal habitual de robo de cuenta, y el ataque con código QR descrito anteriormente funciona íntegramente a través de uno ^[8].

• WhatsApp: abra el menú, toque Dispositivos vinculados para revisarlos todos y luego toque un dispositivo y Cerrar sesión para eliminarlo ^[2]. WhatsApp afirma que es importante revisar con regularidad los dispositivos vinculados y que se puede cerrar sesión en todas las sesiones de WhatsApp Web desde el teléfono ^[5].
• WhatsApp Web: antes de escanear el código QR, puede desmarcar «Mantener la sesión iniciada en este navegador» para que la sesión termine al cerrar la pestaña o el navegador ^[5].
• Telegram: en Ajustes y luego Dispositivos (o Privacidad y seguridad y luego Sesiones activas) se enumeran las sesiones que puede finalizar ^[6]. Las passkeys pueden revisarse en Ajustes, Privacidad y seguridad, Passkeys, con su fecha de creación y su último uso ^[6].

Escanee un código QR de WhatsApp o Telegram solo desde la aplicación o el sitio web oficial que usted mismo haya abierto. Un código QR enviado por correo electrónico o por mensaje para «unirse a un grupo» merece la misma desconfianza que un enlace; el consejo de Microsoft ante este tipo de correos es contactar con el supuesto remitente a través de una dirección conocida y usada anteriormente ^[8].

WhatsApp añade que no puede decirle quién accedió a su cuenta ni cuándo o desde dónde se accedió ^[5].

¿Por qué se recomiendan las passkeys y la verificación en dos pasos?

Un código enviado por SMS solo demuestra que alguien puede recibir mensajes de texto para su número. Si un delincuente lo engaña para que se lo reenvíe, o traslada su número a su SIM, el código le sirve a él ^[7][9]. Un segundo secreto o una passkey vinculada al dispositivo lo impiden.

El FBI recomienda una autenticación multifactor sólida, como la biometría, los tokens de seguridad físicos o las aplicaciones de autenticación independientes, y aconseja no dar nunca los datos de su cuenta móvil a quien llame pidiéndole su contraseña o su PIN ^[9]. Telegram afirma que los códigos SMS a menudo no llegan y pueden ser interceptados ^[6].

En octubre de 2026, el servicio Report Fraud del Reino Unido lanzó una campaña para animar a la población a pasarse a las passkeys, tras informar que las sumas robadas mediante el hackeo de cuentas de correo electrónico y redes sociales aumentaron a 6.3 millones de libras en 2025/26, frente a 1.2 millones de libras el año anterior; las denuncias de este tipo de robo de cuentas aumentaron un 34% ^[10]. Report Fraud afirmó que una de las formas más habituales en que los delincuentes usan las cuentas hackeadas es hacerse pasar por familiares y amigos ^[10].

¿Qué deben saber los usuarios en Irán?

El acceso a ambas aplicaciones en Irán ha estado condicionado por los bloqueos gubernamentales. Freedom House informa que Telegram quedó filtrado de forma permanente en abril de 2018 y que WhatsApp e Instagram fueron bloqueados en 2022 en el contexto de las protestas de Mujer, Vida, Libertad ^[11]. En diciembre de 2024, la agencia oficial de noticias iraní IRNA afirmó que se había alcanzado una votación para levantar las restricciones sobre WhatsApp y Google Play ^[12].

Freedom House también señala que las versiones iraníes de aplicaciones populares, como Bale, Rubika y Soroush, reciben un importante apoyo económico del gobierno, y que un grupo de hackers vinculado al Cuerpo de la Guardia Revolucionaria Islámica se hizo pasar en internet por periodistas y activistas de derechos humanos para atraer a críticos a operaciones de phishing ^[11]. Para comprar una tarjeta SIM es obligatorio registrarse con el nombre real y presentar un pasaporte o un documento de identidad ^[11].

Puntos prácticos que se desprenden de las propias recomendaciones de las plataformas: instale las aplicaciones solo desde fuentes oficiales, porque Telegram recomienda aplicaciones oficiales o de código abierto verificable para los chats sensibles ^[6]; no comparta nunca un código de inicio de sesión, lo pida quien lo pida ^[2][6]; y mantenga activada la verificación en dos pasos, para que el control del número de teléfono por sí solo no baste para apoderarse de la cuenta ^[6].

¿Qué no puede resolver la recuperación?

La recuperación le devuelve el control, pero tiene límites que conviene conocer de antemano:

• Una cuenta de WhatsApp no puede recuperarse sin una tarjeta SIM con el mismo número de teléfono ^[1].
• WhatsApp no puede desactivar cuentas de otras personas, bloquear ni desbloquear contactos en su nombre ni decirle quién accedió a su cuenta ^[1].
• Si cambia a una SIM nueva pero conserva la cuenta de WhatsApp anterior, debe usar la función de cambio de número; de lo contrario, podría perder el acceso de forma permanente ^[1]. Telegram advierte igualmente que, si la cuenta no está vinculada a un número que usted controle, corre el riesgo de perder el acceso para siempre ^[6].
• La recuperación no deshace lo que el intruso ya envió; el consejo de WhatsApp es avisar a familiares y amigos, porque el intruso podría hacerse pasar por usted en chats y grupos ^[1].

Si le quitaron dinero o se lo pidieron en su nombre, denúncielo a la policía o al servicio nacional de denuncias de fraude del lugar donde vive; en el Reino Unido es Action Fraud, que también aconseja llamar a un amigo o familiar para confirmar una petición inusual ^[7].