Un mensaje de alguien de total confianza, una niña que participa en un concurso de baile y un favor que no cuesta nada: votar. Así empieza una de las estafas que más cuentas de WhatsApp está secuestrando en 2026. Documentamos aquí un caso real sufrido por un colaborador de este despacho, resuelto en dos minutos, para que sepas reconocerlo y reaccionar si te ocurre.
Cómo llega el mensaje
El mensaje no viene de un número desconocido. Viene de un contacto habitual, con su foto, su nombre y su forma de escribir. En este caso, de un amigo de absoluta confianza, una persona honrada a la que nadie atribuiría una mala intención. Ese es exactamente el punto fuerte de la estafa: no ataca tu desconfianza, ataca tu confianza.
La variante más frecuente es esta: «Hola, puedo pedirte un pequeño favor? Podrías votar por Eliska? Es la hija de unos amigos míos. El primer premio es una clase de baile gratis, ¡y sería una oportunidad realmente preciosa para ella! Muchas gracias!»
El texto es amable y sin urgencia: pide votar por una niña, hija de amigos, que participa en un concurso de danza y que ganaría unas clases gratis. Le haría mucha ilusión. El voto es gratuito. Solo hay que pulsar un enlace.
El enlace que circulaba en este caso llevaba al dominio dansulbattle.net. Es una plantilla reutilizada: la misma página se despliega en varios idiomas y dominios distintos, de modo que el nombre cambia cada pocas semanas y el mecanismo es siempre el mismo.
Qué pasa al pulsar «votar»
La web muestra unas supuestas finalistas con sus fotos y un contador de votos. Al votar por la niña, aparece un aviso: «Para confirmar tu voto, vincula tu WhatsApp», con instrucciones para ir a Ajustes > Dispositivos vinculados > Vincular un dispositivo e introducir un código.
Ese código no confirma ningún voto. Es el procedimiento oficial de WhatsApp para dar acceso a tu cuenta desde otro ordenador o teléfono. Al introducirlo, estás abriendo tu WhatsApp en el equipo del estafador, exactamente igual que si lo abrieras en tu propio portátil. WhatsApp responde con un escueto «Dispositivo vinculado con éxito». El contador de votos, por supuesto, no se mueve.
Lo que el estafador puede hacer desde ese momento
Un dispositivo vinculado tiene acceso completo a la cuenta. Durante el tiempo que dure la vinculación, el atacante puede:
- Leer tus conversaciones recientes, incluidos grupos, fotos y documentos.
- Descargar tu agenda de contactos completa.
- Enviar mensajes a todos tus contactos y grupos en tu nombre, y borrarlos para que tú no los veas.
- Cambiar tu nombre, tu foto y tu información de perfil.
Esto último es la clave de la propagación: el mensaje que tú recibiste de tu amigo lo envió un robot desde la cuenta de tu amigo, que había caído en lo mismo unas horas antes. Y el mismo robot, nada más vincularse a tu cuenta, intentará enviar el mensaje a toda tu agenda. Todo está automatizado; no hay una persona detrás tecleando.
Lo que un dispositivo vinculado no puede hacer es cambiar tu número de teléfono, registrar la cuenta en otro móvil ni modificar la verificación en dos pasos. La cuenta sigue siendo tuya y puedes recuperar el control en segundos.
Cómo se resolvió este caso
La secuencia completa, con los tiempos reales:
- Recepción del mensaje y voto en la web. Al pedir la vinculación, se completa sin pensarlo, precisamente porque el remitente era de confianza.
- El contador de votos no sube. Se avisa al amigo de que se ha votado «e incluso verificado con WhatsApp».
- El amigo responde de inmediato: «No lo hagas, acabo de enterarme de que es una estafa para coger tu agenda de contactos».
- En el móvil, Ajustes > Dispositivos vinculados: aparecen dos dispositivos que no son del usuario. Se cierran las dos sesiones.
- Al volver a comprobar unos minutos después, aparecen de nuevo dos entradas. Se cierran también, por seguridad. Desde entonces la lista permanece vacía.
- Se llama por teléfono a tres contactos de confianza para comprobar si han recibido algún mensaje. Ninguno lo ha recibido.
- Se comprueba que nombre, foto e información del perfil no han cambiado.
Tiempo total entre la vinculación y la desvinculación: unos dos minutos. En este caso la propagación no se produjo, pero no hay que contar con ello: el envío masivo ocurre en los primeros segundos y que no llegara a tiempo fue cuestión de suerte, no de método.
Qué hacer si has caído
- Desvincula todos los dispositivos ahora mismo: Ajustes > Dispositivos vinculados > selecciona cada uno > Cerrar sesión. Hazlo aunque alguno te parezca tuyo; siempre podrás volver a vincular tu ordenador después.
- Vuelve a mirar la lista al cabo de unos minutos y al día siguiente. Debe estar vacía o contener solo lo que tú reconozcas.
- Avisa a tu agenda, especialmente a los grupos: un mensaje breve diciendo que tu WhatsApp ha estado vinculado a un dispositivo ajeno y que no abran ningún enlace de votación recibido de tu número.
- Llama a dos o tres contactos y pregúntales si han recibido algo tuyo. Es la única forma fiable de saber si hubo propagación: si el robot envió y borró, en tu propio chat no verás nada.
- Revisa tu perfil: nombre, foto e información.
- Activa la verificación en dos pasos (Ajustes > Cuenta > Verificación en dos pasos) y añade un correo de recuperación. No impide una vinculación, pero cierra la puerta al secuestro completo de la cuenta por SMS, que es la variante más grave de esta misma estafa.
- Avisa a quien te envió el mensaje: casi con seguridad su cuenta sigue vinculada al estafador.
La regla que lo evita todo
Nunca vincules un dispositivo de WhatsApp, ni introduzcas un código de WhatsApp o un SMS, para verificar nada que te pida una web a la que has llegado por un enlace. WhatsApp no confirma votos, no valida concursos y no comprueba identidades para terceros. Cualquier página que te pida ir a «Dispositivos vinculados» te está pidiendo las llaves de tu cuenta, sin excepción.
Y la segunda regla, la que falló en este caso y la que falla en casi todos: que el mensaje venga de alguien de confianza no significa nada. Esa persona no te lo ha enviado; lo ha enviado su cuenta secuestrada. Si el favor te parece raro, llama por teléfono antes de pulsar.
Dónde está documentada esta estafa
El «timo de la bailarina» ha sido alertado por cuerpos policiales y organizaciones de consumidores de varios países europeos desde principios de 2026, con pequeñas variantes: en unas versiones piden vincular un dispositivo, como en este caso; en otras, más agresivas, piden el número de teléfono y el código SMS de registro, lo que deja a la víctima sin acceso a su propia cuenta y permite al estafador pedir dinero a familiares haciéndose pasar por ella. El mecanismo de fondo, la confianza en un contacto conocido, es el mismo.
Si has sido víctima y el estafador ha llegado a suplantarte, a pedir dinero a tus contactos o a acceder a información profesional o de clientes, conserva capturas de pantalla de todo (mensajes, lista de dispositivos, avisos de WhatsApp) y presenta denuncia. Desde BQ Abogados podemos ayudarte a documentar el caso y valorar las acciones posibles.
