¿Puede entrar un virus por un mensaje de WhatsApp?

Recibir un mensaje de WhatsApp con una fotografía, un enlace o un archivo extraño no significa automáticamente que el teléfono tenga un virus. En la mayoría de los casos, el problema aparece cuando el usuario interactúa con el contenido malicioso: abre un enlace fraudulento, descarga un archivo, instala una aplicación o entrega códigos y credenciales.

WhatsApp incorpora distintas capas de protección, incluido el cifrado de extremo a extremo y sistemas para detectar spam y comportamientos sospechosos. Sin embargo, ninguna aplicación puede convertir en seguro un enlace o un archivo que un atacante haya conseguido enviar al usuario. WhatsApp: mensajes sospechosos y fraudes

¿Un simple mensaje de WhatsApp puede infectar el móvil?

En condiciones normales, recibir y leer un mensaje no equivale a instalar un virus. Los ataques más habituales necesitan que la víctima realice alguna acción o que el dispositivo tenga una vulnerabilidad que pueda ser aprovechada.

Por eso conviene distinguir entre varias situaciones. Un mensaje puede contener un enlace que conduce a una página fraudulenta, un archivo diseñado para engañar al usuario o instrucciones para instalar una aplicación aparentemente legítima. También puede intentar conseguir el código de vinculación de WhatsApp o información personal.

WhatsApp recomienda prestar especial atención a los mensajes que piden pulsar un enlace, descargar una aplicación o compartir información personal o financiera. La compañía también aconseja revisar cuidadosamente los enlaces y archivos antes de abrirlos.

Los enlaces fraudulentos son una de las vías más habituales para intentar engañar al usuario.

El peligro más frecuente está en el enlace

Una de las técnicas más utilizadas consiste en enviar un mensaje que parece proceder de una persona conocida, una empresa o un servicio utilizado habitualmente. El texto puede avisar de un supuesto paquete, una factura, una cuenta bloqueada, un premio o cualquier otro asunto que provoque una reacción rápida.

El enlace puede llevar a una página que imita un servicio real. El objetivo puede ser robar una contraseña, obtener datos bancarios, instalar software malicioso o conseguir información que permita continuar el fraude por otro canal.

WhatsApp dispone de avisos específicos para determinados enlaces sospechosos. La aplicación puede advertir cuando detecta combinaciones de caracteres poco habituales que podrían utilizarse para hacer que una dirección parezca legítima.

También pueden utilizar archivos o aplicaciones

Otro riesgo aparece cuando el mensaje incluye un archivo que el usuario no esperaba. Un documento, una imagen o cualquier otro contenido no debe considerarse seguro simplemente porque llegue mediante WhatsApp.

El riesgo aumenta especialmente cuando el mensaje intenta convencer al usuario de que instale una aplicación fuera de la tienda oficial, active una función mediante un enlace o cambie alguna configuración de seguridad. En Android, por ejemplo, WhatsApp advierte sobre las aplicaciones no oficiales modificadas por terceros porque pueden comprometer la privacidad y la seguridad del dispositivo.

INCIBE también identifica la descarga de archivos no deseados como uno de los riesgos asociados al uso de grupos de WhatsApp y otros servicios de mensajería.

Un archivo inesperado puede utilizarse para intentar engañar al usuario o iniciar una descarga peligrosa.

¿Y si el mensaje llega de un contacto conocido?

Que el remitente esté en la agenda tampoco garantiza que el mensaje sea legítimo. Una cuenta puede haber sido comprometida o una persona puede haber reenviado sin comprobar un enlace, archivo o supuesto aviso.

Si un contacto conocido envía de repente un mensaje extraño, pide dinero, solicita un código, incluye un enlace inesperado o utiliza un tono que no coincide con su forma habitual de comunicarse, lo más prudente es confirmar la situación por otro medio.

Existen ataques mucho más sofisticados

Decir que un mensaje de WhatsApp nunca puede provocar un problema sería incorrecto. Existen ataques dirigidos que aprovechan vulnerabilidades del sistema operativo, del navegador o de las propias aplicaciones. Son mucho menos habituales que las campañas basadas en engañar al usuario, pero pueden ser considerablemente más complejos.

En junio de 2026, WhatsApp informó de intentos de ingeniería social vinculados a NSO en los que se utilizaron enlaces maliciosos para dirigir a determinadas personas hacia sitios externos. La compañía indicó que había identificado y desarticulado esos intentos y recomendó mantener actualizados tanto WhatsApp como los dispositivos.

Estos casos no deben confundirse con el típico mensaje que circula entre usuarios. Los ataques dirigidos de este nivel buscan objetivos concretos y pueden requerir capacidades técnicas y recursos muy superiores a los utilizados en una estafa masiva.

Cómo saber si un mensaje puede ser peligroso

No existe una señal única que permita determinar que un mensaje contiene malware, pero hay varios indicios que justifican detenerse antes de actuar:

El mensaje procede de un número desconocido o inesperado.
Solicita pulsar rápidamente un enlace.
Pide instalar una aplicación o activar una función.
Solicita códigos de verificación, contraseñas o datos bancarios.
Utiliza premios, amenazas o urgencia para presionar al usuario.
El enlace tiene una dirección extraña o intenta imitar a una empresa conocida.
Un contacto conocido envía algo completamente fuera de contexto.

La recomendación de WhatsApp es clara: si un mensaje parece sospechoso o demasiado bueno para ser cierto, no hay que pulsar, compartir ni reenviar su contenido. También recomienda revisar los enlaces y archivos antes de abrirlos.

Mantener el sistema actualizado y comprobar los mensajes antes de interactuar con ellos reduce los riesgos.

Qué hacer si ya has pulsado un enlace sospechoso

Si has abierto un enlace pero no has introducido datos, instalado nada ni concedido permisos, el riesgo puede ser menor, aunque conviene actuar con prudencia. Cierra la página, no descargues archivos adicionales y comprueba que el sistema operativo y las aplicaciones estén actualizados.

Si has instalado una aplicación desde una fuente desconocida, has proporcionado una contraseña, has compartido un código de verificación o has detectado actividad extraña en la cuenta, la situación requiere más atención. En esos casos conviene revisar las sesiones y dispositivos vinculados, cambiar las credenciales afectadas desde un dispositivo seguro y utilizar las herramientas de bloqueo y reporte de WhatsApp cuando corresponda.

Meta también ha incorporado advertencias frente a determinados intentos de vincular una cuenta de WhatsApp a un dispositivo controlado por un estafador, una técnica que puede comenzar con un mensaje aparentemente inocente.

La mejor defensa sigue siendo no actuar automáticamente

Un mensaje de WhatsApp no es peligroso simplemente por aparecer en la pantalla. El riesgo depende de qué contiene, qué vulnerabilidad pueda existir y, en muchos casos, de qué consigue que haga la víctima.

Por eso, ante un enlace, archivo o petición inesperada, la medida más eficaz es detenerse y comprobarla por una vía independiente. Mantener WhatsApp y el sistema operativo actualizados, evitar aplicaciones no oficiales, no compartir códigos de verificación y desconfiar de las peticiones urgentes reduce buena parte de los riesgos habituales.

WhatsApp también ofrece una configuración denominada Strict Account Settings para usuarios que puedan estar expuestos a ataques especialmente sofisticados. Entre otras medidas, puede bloquear automáticamente determinados archivos y contenidos procedentes de remitentes desconocidos.

Preguntas frecuentes

¿Puedo infectarme solo por recibir un mensaje?

Normalmente, recibir un mensaje no significa que el teléfono esté infectado. Los riesgos habituales aparecen al interactuar con enlaces, archivos, aplicaciones o solicitudes fraudulentas, aunque existen ataques sofisticados que pueden aprovechar vulnerabilidades.

¿Un enlace de WhatsApp puede llevar a una página peligrosa?

Sí. Un enlace puede dirigir a una página diseñada para robar información, engañar al usuario o iniciar una descarga maliciosa. Conviene comprobar la dirección antes de abrirla.

¿Puedo confiar en un enlace enviado por un amigo?

No automáticamente. Una cuenta puede estar comprometida o el contacto puede haber reenviado un contenido sin comprobarlo. Si el mensaje resulta extraño, es mejor confirmar su procedencia por otro canal.

¿WhatsApp está completamente protegido frente al malware?

No. WhatsApp incorpora mecanismos de seguridad, pero una plataforma de mensajería no puede garantizar que todos los enlaces, archivos o contenidos enviados por terceros sean seguros.