WhatsApp de la empresa clonado: qué hacer en los primeros minutos y cómo evitar que vuelva a ocurrir

Denuncia, reporte policial y la cuenta bancaria

Después de retomar el acceso — o mientras intentas —, hay acciones que no pueden esperar:

• Comunicar al soporte de WhatsApp por los canales oficiales de la aplicación, informando que el número fue tomado.
• Reporte policial. Es el documento que sustenta cualquier conversación posterior con banco, operadora y clientes afectados.
• Hablar con la operadora si hay sospecha de cambio de chip, y pedir bloqueo y registro del incidente.
• Avisar al banco cuando haya pedido de transferencia hecho en nombre de la empresa, con el número del reporte en mano.
• Reunir pruebas — capturas enviadas por clientes, horarios, cuentas destino que usó el estafador. Esto ayuda tanto en la investigación como en el contacto con los afectados.

Vale acordar internamente quién hace cada una de estas cosas antes de que sea necesario. En medio de la crisis, el equipo suele paralizarse esperando que el dueño decida todo.

Las cinco barreras que impiden el próximo caso

• Verificación en dos pasos activada, con un PIN que nadie fuera de la empresa conoce y que no sea la fecha de cumpleaños del dueño.
• Correo de recuperación registrado en la aplicación, para poder redefinir el PIN cuando sea necesario.
• Regla clara y entrenada: ningún código de seis dígitos se pasa a nadie, bajo ninguna circunstancia, ni al jefe, ni al soporte, ni al cliente.
• Contraseña y protección de la cuenta en la operadora, para dificultar el cambio de chip.
• Revisión de los dispositivos conectados periódicamente, desconectando sesiones desconocidas.

Estas cinco barreras cuestan quince minutos y resuelven la mayoría de los casos. El problema es que dependen de la disciplina de varias personas — y es justamente ahí donde la estructura de la atención marca la diferencia.

El problema estructural: ¿quién tiene el número en el celular?

En la mayoría de las pequeñas empresas, el número comercial vive en el celular de una persona. Esto crea una fragilidad que ninguna barrera resuelve:

• El dispositivo personal es la puerta de entrada. Si el celular del vendedor es comprometido, el número de la empresa va junto.
• La salida del empleado se lleva el número. Es la versión más común de "perder el WhatsApp de la empresa", y no implica ningún estafador.
• No existe registro de lo que se habló en nombre de la empresa, lo que dificulta incluso evaluar el daño.
• La recuperación depende de una sola persona, que puede estar de descanso, viajando o sin señal.

Mientras el número esté atado a un dispositivo y a una persona, la empresa sigue con un punto único de falla — y la seguridad depende del cuidado individual de quien lleva el celular en el bolsillo.

El riesgo que viene desde adentro

No todo problema con el número de la empresa es obra de un estafador. Gran parte de los casos que se vuelven dolor de cabeza tienen origen interno, y por eso no se resuelven con una mejor contraseña:

• El vendedor que se va y se lleva la conversación. Si el número estaba en su celular, la empresa pierde historial, contactos y la continuidad de la atención de un momento a otro.
• El dispositivo perdido o robado con sesión abierta y sin bloqueo de pantalla.
• La computadora compartida con WhatsApp Web conectado y nadie recordando cerrar sesión.
• La contraseña del correo de recuperación anotada en un archivo al que accede medio equipo.
• Exportación de conversaciones y lista de contactos hecha sin control, que luego se convierte en material para competidores o para estafas.

Definir quién tiene acceso a qué, revisar esto cuando alguien entra o sale y mantener el canal a nombre de la empresa es lo que separa un incidente de una pérdida permanente. Vale la pena leer también permisos y seguridad en el CRM de WhatsApp.

Grupos, listas y el dato que se filtra sin estafa

Existe además una filtración silenciosa, que no derriba el número pero expone la base de clientes y alimenta exactamente las estafas descritas aquí:

• Grupos con clientes donde todos los participantes ven el teléfono de todos los demás — material perfecto para quien quiere hacerse pasar por la empresa.
• Listas de difusión mal configuradas, con respuestas llegando al lugar equivocado.
• Capturas de conversación compartidas en redes sociales con nombre y teléfono del cliente visibles.
• Hojas de cálculo de contactos circulando por aplicaciones personales entre miembros del equipo.

Cambiar grupo por atención individual, controlar quién exporta contactos y tratar el teléfono del cliente como dato protegido reduce la superficie de ataque antes de que ocurra cualquier incidente.

Por qué la API oficial cambia el juego

Un número conectado a la API oficial de WhatsApp Business no vive en un celular. Vive en una cuenta de la empresa dentro de Meta, y eso cambia la naturaleza del riesgo:

• No existe código de seis dígitos circulando en el día a día. La conexión se hace una vez, por el registro oficial, y no por un SMS que alguien puede pedir prestado.
• El acceso es por persona. Cada agente entra con su propio usuario, y desconectar a alguien es revocar un acceso, no recuperar un dispositivo.
• La cuenta es de la empresa. El portafolio de negocios, los modelos aprobados y el historial quedan a nombre del CNPJ — siempre que la cuenta se cree en el portafolio correcto.
• Todo queda registrado. Si algo pasa, existe historial para saber qué se envió, por quién y cuándo.
• El perfil verificado ayuda al cliente a reconocer el canal legítimo de la empresa, lo que dificulta la imitación con números parecidos.

No es una protección mágica: sigue siendo necesario cuidar contraseñas, accesos y permisos. Pero el vector de estafa más común — pedir el código a una persona distraída — simplemente deja de existir.

Cuando el estafador no toma el número: lo imita

Existe una variación que afecta a empresas con buena presencia digital y que no implica ninguna invasión. El estafador crea un número nuevo, pone la foto, el nombre y la descripción de la empresa y empieza a abordar clientes, muchas veces copiando conversaciones reales que vio en grupos o anuncios.

• Denuncia el perfil falso dentro de la propia aplicación, orientando a los clientes a hacer lo mismo — el volumen de denuncias acelera la eliminación.
• Publica el número oficial en todos los canales, siempre igual y siempre visible, y usa enlace directo en el sitio y en los anuncios.
• Avisa a la base. Los clientes que saben que la empresa nunca pide pagos por mensajes nuevos no caen en la estafa.
• Mantén el perfil oficial completo, con foto, descripción, sitio y, cuando sea posible, la verificación de la empresa — es lo que da al cliente un punto de comparación.

El plan de crisis que cabe en una página

Toda empresa que atiende por WhatsApp debería tener, impreso o en el mural interno, un plan corto con cinco líneas:

• Quién es la persona responsable de intentar la recuperación del número.
• Por dónde se comunica el equipo mientras el canal esté comprometido — un grupo alternativo, un teléfono, un correo.
• Qué aviso se publica, ya escrito, para sitio, redes y correo.
• Quién registra el reporte policial y habla con operadora y banco.
• Cuándo vuelve a funcionar la atención y por qué número provisional, si hay.

Las empresas que tienen este plan resuelven el incidente en horas. Las que no, pasan dos días descubriendo qué hacer mientras el estafador conversa con la base de clientes.

Después de que pasa: qué revisar

Resuelto el caso, vale usar el susto para arreglar la estructura. Tres preguntas suelen bastar: ¿el número comercial está atado a un dispositivo personal? ¿La empresa puede quitar el acceso a alguien sin depender del celular de esa persona? ¿Existe registro de lo que se habló en nombre de la marca?

Si la respuesta a cualquiera de ellas es incómoda, la corrección no es comprar otro antivirus — es cambiar dónde vive el número y cómo accede el equipo. Es la diferencia entre una empresa que depende de la atención de una persona y una empresa que tiene control sobre su propio canal de atención.