El mostrador digital de Centroamérica

Imaginá que el mostrador de tu negocio, donde atendés clientes, cerrás ventas, coordinás entregas y hasta resolvés quejas, es una sola aplicación en tu celular. No hace falta imaginarlo mucho: para millones de empresas en Centroamérica, ese mostrador es WhatsApp. Es donde llegan los pedidos, donde se mandan cotizaciones, donde se comparten facturas y donde se coordina al equipo. Ahora preguntate: ¿qué pasa si alguien te roba ese mostrador?

Según datos de Statista, WhatsApp tiene una penetración de más del 90% en Costa Rica, Guatemala, Honduras y El Salvador. No es solo una app de mensajería: es la infraestructura de comunicación de las PYMEs centroamericanas. Y eso la convierte en un blanco jugoso para los ciberdelincuentes.

Los ataques más comunes contra WhatsApp Business

1. Secuestro de cuenta por SIM Swap

Este es el ataque más temido y funciona así:

1.El atacante obtiene tu número de teléfono (está en tu página web, en tus tarjetas, en tus redes sociales).

2.Llama a la operadora telefónica haciéndose pasar por vos y solicita un duplicado de tu SIM.

3.Con el duplicado, recibe el código de verificación de WhatsApp.

4.Registra tu número de WhatsApp en su teléfono. Vos perdés acceso inmediatamente.

¿Qué hace después? Le escribe a tus contactos y clientes haciéndose pasar por vos. Pide pagos, solicita transferencias "urgentes", o simplemente roba la relación comercial que construiste durante años.

En Costa Rica y la región, este ataque ha crecido significativamente. La Oficina de Seguridad Informática del Ministerio de Ciencia y Tecnología ha emitido alertas recurrentes sobre esta modalidad.

2. Suplantación de cuentas empresariales

El atacante crea una cuenta de WhatsApp Business con el nombre de tu empresa, usa tu logo como foto de perfil, y empieza a contactar a tus clientes. No necesita hackear nada: simplemente crea una cuenta nueva que se ve igual a la tuya.

Luego les dice a tus clientes que "cambiaron de número" y comienza a enviar ofertas falsas, solicitar pagos a cuentas fraudulentas, o recopilar información personal.

3. Phishing a través de grupos

Los grupos de WhatsApp son un terreno fértil para el phishing:

•Enlaces disfrazados: de promociones, sorteos o noticias urgentes

•Mensajes reenviados: que parecen venir de fuentes confiables

•"Verificaciones" falsas: que piden que ingresés a un enlace para "confirmar tu cuenta"

4. Ingeniería social directa

Los estafadores se hacen pasar por:

•Soporte técnico de WhatsApp: pidiendo códigos de verificación

•Proveedores: solicitando cambios de cuenta bancaria para pagos

•Clientes nuevos: que envían archivos maliciosos disfrazados de órdenes de compra

•Instituciones bancarias: alertando sobre "problemas" con tu cuenta

Estafas comunes en la región

Estas son las modalidades que más se repiten en Centroamérica:

•"Hola mamá/papá, cambié de número":: El atacante escribe a contactos aleatorios haciéndose pasar por un familiar y pide dinero urgente.

•La oferta irresistible:: Mensajes masivos con ofertas de productos electrónicos a precios absurdos, con links que roban datos.

•El falso funcionario bancario:: Alguien que dice ser del banco y necesita "verificar" tu identidad. Te pide el código de 6 dígitos que "casualmente" acabás de recibir por SMS (es el código de verificación de tu WhatsApp).

•El premio falso:: "Ganaste un premio de [marca famosa], hacé clic aquí para reclamarlo". El enlace lleva a un sitio que roba credenciales.

•La factura pendiente:: Un "proveedor" que envía un PDF o enlace con una supuesta factura pendiente. El archivo contiene malware.

Configuraciones de seguridad que debés activar hoy

Verificación en dos pasos (2FA)

Esta es la configuración más importante y muchas personas no la tienen activada:

1.Abrí WhatsApp y andá a Ajustes > Cuenta > Verificación en dos pasos

2.Activala y creá un PIN de 6 dígitos

3.Agregá un correo electrónico de respaldo

Con esto, aunque alguien obtenga tu código SMS, no podrá registrar tu WhatsApp en otro dispositivo sin el PIN.

Bloqueo biométrico

•Activá el bloqueo con huella digital o reconocimiento facial para abrir WhatsApp

•Esto protege tu cuenta si alguien tiene acceso físico a tu teléfono

•En Android: Ajustes > Privacidad > Bloqueo con huella dactilar

•En iPhone: Ajustes > Privacidad > Bloqueo de pantalla

Revisá los dispositivos vinculados

Regularmente revisá qué dispositivos están conectados a tu WhatsApp:

1.Andá a Ajustes > Dispositivos vinculados

2.Revisá la lista de sesiones activas

3.Cerrá cualquier sesión que no reconozcás

Un atacante podría haber vinculado tu WhatsApp a una computadora cuando dejaste el teléfono desbloqueado.

Privacidad de la foto de perfil

•Configurá tu foto de perfil para que solo sea visible para tus contactos

•Esto dificulta que los estafadores copien tu foto para suplantar tu identidad

•Ajustes > Privacidad > Foto de perfil > Mis contactos

Desactivá la descarga automática

•En Ajustes > Almacenamiento y datos, desactivá la descarga automática de archivos

•Esto evita que se descarguen automáticamente archivos potencialmente maliciosos

Protegiendo las cuentas de WhatsApp Business de tu empresa

Si usás WhatsApp Business como canal oficial, estas prácticas son esenciales:

Verificá tu perfil empresarial

Un perfil verificado con la insignia verde le da confianza a tus clientes y dificulta la suplantación. Solicitá la verificación a través de la plataforma de WhatsApp Business.

Separá lo personal de lo empresarial

•Nunca uses: tu número personal para la cuenta de la empresa

•Usá una línea dedicada para WhatsApp Business

•Si un empleado maneja la cuenta empresarial, que sea desde un dispositivo de la empresa, no desde su teléfono personal

Capacitá a tu equipo

Todos los empleados que manejen WhatsApp Business deben saber:

•Nunca compartir: el código de verificación de 6 dígitos con nadie

•Nunca hacer clic: en enlaces sospechosos, aunque vengan de clientes conocidos

•Verificar por otro medio: si un contacto pide algo inusual (como cambiar una cuenta bancaria)

•Reportar inmediatamente: cualquier actividad sospechosa

Establecé protocolos claros

•¿Quién tiene acceso: a la cuenta de WhatsApp Business?

•¿Qué tipo de información: se puede compartir por WhatsApp y cuál no?

•¿Qué hacer: si se recibe un mensaje sospechoso?

•¿Cómo se hace el traspaso: cuando un empleado deja la empresa?

¿Qué hacer si tu cuenta fue comprometida?

Si perdiste acceso a tu WhatsApp o sospechás que fue comprometido, actuá rápido:

1.Intentá recuperar la cuenta registrando tu número de nuevo. WhatsApp enviará un código de verificación.

2.Si activaste la verificación en dos pasos, el atacante no podrá completar el registro sin tu PIN.

3.Contactá a tu operadora inmediatamente si sospechás un SIM swap. Pedí que bloqueen el duplicado.

4.Notificá a tus contactos por otro medio (correo, llamada, redes sociales) que tu cuenta fue comprometida. Que no respondan a mensajes sospechosos.

5.Escribí a soporte de WhatsApp a support@whatsapp.com con el asunto "Cuenta robada" y tu número con código de país.

6.Revisá otras cuentas que usen el mismo número para verificación.

WhatsApp vs. alternativas para datos sensibles

WhatsApp usa cifrado de extremo a extremo, lo cual es bueno. Pero para información realmente sensible de tu empresa, considerá sus limitaciones:

•Los respaldos en la nube: (Google Drive, iCloud) no siempre están cifrados de extremo a extremo

•No hay control empresarial: sobre quién reenvía qué información

•No hay registros de auditoría: adecuados para cumplimiento regulatorio

•La información queda en dispositivos personales: fuera del control de la empresa

Para comunicaciones que involucren datos financieros, información de clientes, contratos o propiedad intelectual, considerá usar plataformas empresariales con controles de seguridad más robustos como Microsoft Teams, Google Workspace Chat o Signal para comunicaciones especialmente sensibles.

Esto no significa abandonar WhatsApp: significa usarlo para lo que es adecuado y complementarlo con herramientas más seguras para lo que no.

Protegé el canal más importante de tu negocio

WhatsApp no va a dejar de ser la herramienta de negocio más importante en Centroamérica. Pero usarla sin precauciones es como dejar la caja registradora abierta en la acera.

En CiberShield ayudamos a empresas centroamericanas a proteger sus canales de comunicación, capacitar a sus equipos contra ingeniería social, y implementar controles que eviten la fuga de información sensible a través de plataformas de mensajería.

¿Tu empresa depende de WhatsApp para operar? Contactanos para evaluar tus riesgos y fortalecer la seguridad de tus comunicaciones empresariales.

Seguridad en WhatsApp Business: Lo que toda empresa centroamericana debe saber