WhatsApp hackeado: cómo saber si te hackearon, qué hacer y cómo evitarlo

Que te hackearon el WhatsApp significa que otra persona usa tu cuenta, ya sea porque registró tu número en su teléfono o porque vinculó un dispositivo suyo, como WhatsApp Web. Estas son las señales que reconoce el Centro de ayuda de WhatsApp y qué hacer con cada una:

Un dispositivo vinculado usa tu cuenta al mismo tiempo que tu teléfono. Como tú sigues chateando normal, es el acceso más difícil de notar. Tu cuenta admite el teléfono principal y hasta 4 dispositivos vinculados, y WhatsApp recomienda revisarlos con regularidad:

1. En Android, toca ⋮ > Dispositivos vinculados. En iPhone, toca Ajustes (o tu foto del perfil) > Dispositivos vinculados.
2. Toca el dispositivo que no reconozcas y luego Cerrar sesión.
3. Repite con cada uno. Si tienes dudas, ciérralos todos y vuelve a vincular solo los tuyos.

Las sesiones de los dispositivos vinculados se cierran desde el teléfono principal. Y si perdiste el teléfono, WhatsApp aclara que tampoco puedes cerrar la sesión de tu cuenta desde WhatsApp Web o la app de escritorio: hay que volver a registrar el número.

Qué ve quien tiene tu cuenta abierta

Al vincularse un dispositivo, tu teléfono le envía una copia cifrada de extremo a extremo de tu historial de mensajes más recientes, que queda guardada en ese equipo. Por eso, quien tenga tu WhatsApp abierto en otro dispositivo puede leer tus chats recientes y todo lo que llegue hasta que cierres esa sesión.

Cómo enterarte a tiempo

• Notificaciones push activadas: si aparece un dispositivo vinculado que no reconoces, puedes tocar la notificación para revisarlo y eliminarlo.
• Confirmación de dispositivos desconocidos: si WhatsApp detecta un dispositivo desconocido al vincular, te pide confirmar. Toca No vincular si no fuiste tú.
• Cierres automáticos: un dispositivo vinculado se desconecta tras 30 días sin uso, y todos se desconectan si no usas el teléfono principal durante más de 14 días.
• Computadoras compartidas: antes de escanear el código QR de WhatsApp Web, desmarca No cerrar sesión en este navegador; la sesión se cerrará al cerrar la pestaña o el navegador. En Web y Windows también puedes ponerle una contraseña a la app: mira cómo poner contraseña a WhatsApp y cómo funciona WhatsApp Business Web.

La única forma de sacar a alguien de tu cuenta es volver a registrarla con el código de 6 dígitos que llega a tu número. Este es el orden que conviene seguir, según el artículo de WhatsApp sobre cuentas comprometidas:

1. Vuelve a registrar tu número. Abre WhatsApp, toca Volver a iniciar sesión > Continuar (si te lo pide, escribe tu número en formato internacional) e ingresa el código de 6 dígitos que llega por SMS o llamada. Al hacerlo, se cierra la sesión de tu cuenta en todos los dispositivos que la tengan conectada.
2. Si te pide una contraseña o un PIN que no conoces, espera 7 días y vuelve a intentarlo. Aunque no puedas pasar ese paso, ingresar el código ya cerró la sesión de quien usaba tu cuenta. Las opciones para restablecerla están en la guía de verificación en dos pasos.
3. Avisa a tus familiares y amigos por otro medio. Mientras tenga tu cuenta, esa persona puede hacerse pasar por ti en tus chats individuales y en grupo.
4. No reportes tu propia cuenta. WhatsApp advierte que podría bloquearla por infringir sus Condiciones del servicio y que podrías perder el acceso o tus datos. Primero recupérala.
5. Revisa los dispositivos vinculados y cierra la sesión de los que no reconozcas.
6. Activa la seguridad: verificación en dos pasos con un correo, llave de acceso y bloqueo de aplicación (detalles más abajo).
7. Si no puedes recibir el código porque perdiste el teléfono o la SIM, pide a tu operador que bloquee la SIM y te dé otra con el mismo número: sin una SIM con tu número no se puede recuperar la cuenta. El resto de las vías está en recuperar WhatsApp sin código.
8. Si nada de esto funciona, escribe a Soporte de WhatsApp: desde la app, en Ajustes > Ayuda y comentarios > Comunícate con nosotros, o, si no puedes entrar, con el formulario de whatsapp.com/contact. WhatsApp ya no atiende por correo electrónico y solo responde desde direcciones que terminan en @support.whatsapp.com.

Lo que WhatsApp no puede hacer por ti

• No puede desactivar tu cuenta por nadie, ni hacerlo a distancia desde otro dispositivo, porque no puede verificar que el número es tuyo.
• No puede decirte quién accedió a tu cuenta, ni cuándo ni desde dónde.
• No puede bloquear ni desbloquear contactos en tu nombre. Tú sí puedes bloquear o reportar a quien te escriba haciéndose pasar por otra persona.
• Cambiar la contraseña no quita a nadie de tu cuenta: las contraseñas y la verificación en dos pasos protegen una cuenta a la que todavía tienes acceso.

¿Y tus chats?

Tus mensajes están cifrados de extremo a extremo y se guardan en tu dispositivo, así que quien registra tu número en otro teléfono no puede leer tus conversaciones anteriores. Si recuperas la cuenta en un teléfono nuevo y quieres tu historial, necesitas una copia de seguridad de WhatsApp.

Casi todos los robos dependen de que alguien consiga algo que solo tienes tú: el código de registro, el acceso a tu buzón de voz, tu SIM o un escaneo de tu teléfono. Estas son las vías que describe WhatsApp y cómo cerrarlas:

Las funciones de seguridad protegen una cuenta a la que todavía tienes acceso, así que conviene activarlas antes de que pase algo. Estas son las que ofrece WhatsApp:

Los ajustes estrictos de la cuenta llegaron el 27 de enero de 2026 con un despliegue gradual. Funcionan como un modo de bloqueo: además de lo anterior, desactivan las vistas previas de enlaces y limitan tu foto, tu últ. vez y quién puede añadirte a grupos. WhatsApp recomienda activarlos solo si crees que puedes ser blanco de un ataque sofisticado, como periodistas o figuras públicas, porque limitan cómo funciona la app.

El paso a paso de la contraseña de dos pasos y qué hacer si la olvidas están en verificación en dos pasos; el bloqueo con huella y el de chats, en cómo poner contraseña a WhatsApp.

Son cuatro situaciones distintas, con señales y soluciones diferentes. Confundirlas lleva a hacer lo que no sirve, como cambiar la contraseña cuando hay que volver a registrar el número:

Las situaciones se pueden encadenar: WhatsApp bloquea las cuentas cuya actividad involucra spam o fraude, así que una cuenta que el intruso usó para estafar puede terminar bloqueada. Y si la cuenta que suplantan es la de tu empresa, el protocolo es otro: está en suplantación de marca en WhatsApp.

En la app WhatsApp Business el número se recupera igual que una cuenta personal, pero el daño es mayor: mientras tenga el número, el intruso puede escribirles a tus clientes y a tus grupos como si fuera tu empresa. Lo que conviene hacer:

1. Recupera el número y limpia los accesos. WhatsApp Business lo resume así: vuelve a verificar tu número para sacar a los usuarios no autorizados, restablece la contraseña de dos pasos y quita los dispositivos vinculados que no reconozcas.
2. Avisa a tus clientes por canales que el intruso no controla: tu sitio web, tus redes y tu correo. Diles cuál es tu número oficial, que no respondan pedidos de pagos o de códigos que les hayan llegado esos días y cómo confirmar contigo un mensaje dudoso.
3. Cambia la contraseña de dos pasos cada vez que alguien deja el equipo, como recomienda WhatsApp Business, y anota quién la conoce.
4. Deja de compartir el teléfono. Es mejor que cada persona tenga su propio dispositivo vinculado (hasta 4) con bloqueo de aplicación, para poder cerrar su sesión cuando haga falta.
5. Usa roles en lugar de contraseñas compartidas. WhatsApp Business sugiere compartir la bandeja con el equipo desde Meta Business Suite, que asigna roles y permisos sin compartir tus credenciales ni el número. Cómo conectarla está en Meta Business Suite y WhatsApp; si la conectas, protege también el portfolio comercial, como se explica en la sección siguiente.

En la WhatsApp Business Platform (Cloud API) el número no vive en una app del teléfono, así que el punto débil deja de ser el código SMS. Lo que hay que proteger es el acceso de las personas a tu portfolio comercial de Meta y los tokens de acceso: un token con los permisos whatsapp_business_messaging y whatsapp_business_management permite enviar mensajes y administrar tu cuenta de WhatsApp sin pasar por ningún teléfono.

Protege el portfolio comercial

• Exige la autenticación en dos pasos: en Meta Business Suite, ve a Configuración > Información del portfolio comercial > Opciones del negocio > Autenticación en dos pasos y elige Solo administradores o Todos. Solo quien tiene control total puede cambiarlo, y en algunos portfolios de más de 90 días Meta la exige y no se puede desactivar.
• Sigue el Centro de seguridad: Meta recomienda eliminar a quienes no iniciaron sesión en los últimos 90 días, a quienes no configuraron la autenticación en dos pasos o una llave de acceso y a quienes usan un correo de dominio público, y limitar el control total a quienes lo necesitan, preferiblemente 10 personas o menos.
• Ten dos personas activas con control total. Así se suma una aprobación de un segundo administrador para acciones delicadas, como cambiar el acceso de alguien con control total.
• Audita: con control total, desde la pestaña Personas puedes exportar los permisos de cada persona (con su última actividad y si tiene la autenticación en dos pasos) y descargar el historial del negocio para buscar cambios no autorizados en personas, activos o datos del portfolio.
• Reporta la actividad sospechosa al equipo de ayuda de Meta para empresas.

Protege los tokens de acceso

• Usa tokens de usuario del sistema. Es lo que Meta indica si solo tu empresa accede a sus datos. Los tokens de usuario que genera el panel de la app vencen en pocas horas y sirven para pruebas.
• Da el mínimo acceso: un usuario del sistema con rol de empleado, con acceso solo a las cuentas de WhatsApp que necesita (parcial, si alcanza) y solo con los permisos business_management, whatsapp_business_management y whatsapp_business_messaging.
• Prefiere tokens que vencen. Duran 60 días y se renuevan; Meta los llama una buena práctica de seguridad y a algunas empresas ya se los exige.
• Rótalos sin cortar el servicio: renueva el token, despliega el nuevo y revoca el anterior con el endpoint oauth/revoke. La revocación es inmediata, y Meta la describe tanto para la rotación periódica como para los tokens de usuarios del sistema comprometidos.
• Guarda el secreto de la app solo en tu servidor, nunca en el código del cliente ni en una app que se pueda descompilar. Firma las llamadas con appsecret_proof y activa Require App Secret en la configuración avanzada de la app.
• Comprueba que el token siga siendo válido, al menos una vez al día si no usas los SDK de Meta: un token puede vencer antes de tiempo por motivos de seguridad.

Señales de alerta en la API

• El webhook security avisa cuando alguien de Meta Business Suite cambia o activa el PIN del número (PIN_CHANGED), pide desactivar la verificación en dos pasos (PIN_RESET_REQUEST, con el ID de quien lo pidió) o completa ese pedido desde el correo (PIN_REQUEST_SUCCESS).
• GET /<WABA_ID>/assigned_users lista las personas y los usuarios del sistema con acceso a tu cuenta de WhatsApp y sus tareas, como MANAGE o DEVELOP.
• Si tu número usa Coexistence, sigue también en la app del teléfono: todo lo anterior sobre dispositivos vinculados y verificación en dos pasos aplica igual. El PIN del número en la API se explica en verificación en dos pasos.

Si una plataforma se conecta a tu cuenta por la API, como un Agente IA (el de Cliengo, por ejemplo), un CRM o tu proveedor, pregúntale qué tipo de token usa, si vence y cómo lo revoca si se filtra.