Una estafa de WhatsApp suplanta la identidad del usuario para pedir dinero a sus contactos sin que se dé cuenta

Una vulnerabilidad en el sistema operativo iOS está siendo aprovechada por ciberdelincuentes para acceder a WhatsApp y suplantar la identidad del usuario con el fin de pedir dinero a sus contactos sin que este sepa en ningún momento qué está sucediendo.

Los primeros casos de esta estafa se detectaron en mayo en Italia y fueron comunicados a Forenser, una empresa italiana dedicada a la informática forense. Entonces, se comprobó que se vieron afectados distintos modelos de iPhone, todos ellos con alguna versión de iOS 16.

La investigación permitió detectar que se explotan en cadena dos vulnerabilidades, una del sistema operativo iOS (CVE-2025-43300), de escritura fuera de límites en ImageIO, y otra de la propia aplicación de WhatsApp (CVE-2025-55177), relacionada con mensajes de sincronización de dispositivos vinculados, como recogen en Incibe.

De esta forma, con ellas, un ciberdelincuente consigue acceso no autorizado al WhatsApp de su víctima. Lo particular del análisis forense es que en todos los móviles analizado no había rastro de un dispositivo externo vinculado ni de ninguna acción previa de vinculación por parte de la víctima.

Con dicho acceso, el ciberdelincuente enviaba mensajes a los contactos de la víctima en los que solicitaba transferencias de dinero. Luego, limpiaba su rastro eliminando los mensajes con la opción "Eliminar solo para mí".

Apple y WhatsApp corrigieron ambas vulnerabilidades durante 2025: la 'app' de chat en las versiones de WhatsApp para iOS (2.25.21.73) y para Mac (2.25.21.78), y Apple en iOS 16.7.12. WhatsApp notificó, en los casos de 2025, a menos de 200 usuarios que consideró "potencialmente afectados", mientras que Apple informó de que había detectado "indicios de explotación contra personas concretas". No obstante, el riesgo persiste para los usuarios que ni han actualizado la aplicación ni el sistema operativo.