No, no existe ninguna aplicación capaz de leer los mensajes de WhatsApp de otra persona a distancia: el cifrado de extremo a extremo lo impide desde 2016. Lo que sí ocurre, y a diario, es el robo de cuentas mediante el código de seis dígitos. La verificación en dos pasos corta ese ataque.

Quien busca esto casi nunca quiere espiar a nadie. Suele ser gente a la que le acaba de llegar un mensaje raro de un contacto, o que sospecha que alguien le lee los chats. La buena noticia es que la parte difícil ya está hecha de fábrica, y lo que queda por tu parte son cuatro ajustes que se tocan una vez en la vida.

Qué protege el cifrado y qué no protege

WhatsApp aplica cifrado de extremo a extremo a todos los chats personales, y lo hace por defecto desde el 5 de abril de 2016, según su propio anuncio. Usa el protocolo de Signal. La documentación oficial lo resume así: nadie fuera del chat, ni siquiera WhatsApp, puede leer los mensajes, escuchar las llamadas ni compartirlos. Cubre mensajes, fotos, vídeos, notas de voz, documentos, ubicación en tiempo real, estados y llamadas. Y añade un detalle que conviene retener: todo eso ocurre de forma automática, sin que tengas que activar ninguna configuración especial.

Aquí es donde se cae la mitad de las promesas que circulan. Si el mensaje sale cifrado de tu móvil y solo se descifra en el del destinatario, no hay ningún punto intermedio donde pinchar. Por eso ninguna app puede leer los chats de un número ajeno a distancia: no es que sea difícil, es que no hay por dónde.

Ahora la parte que las páginas de miedo nunca cuentan. El cifrado protege el mensaje en el camino, no protege los extremos. Tres huecos reales:

• El teléfono desbloqueado. Quien tiene tu móvil en la mano y sin bloqueo lee tus chats como los lees tú. No hay cifrado que arregle eso.
• La copia de seguridad. Si guardas la copia en Google Drive o iCloud sin activar el cifrado de extremo a extremo de la propia copia, esa copia queda fuera del paraguas.
• El secuestro de la cuenta. Si alguien consigue el código de verificación de tu número, entra como si fueras tú. El cifrado sigue funcionando perfectamente, solo que ahora trabaja para el intruso.

Hay una excepción más, y es oficial: los chats con empresas. WhatsApp advierte de que, una vez la empresa recibe tu mensaje, ese mensaje queda sometido a las prácticas de privacidad de esa empresa, y que cuando la empresa usa servicios de alojamiento de Meta, WhatsApp no considera esos mensajes cifrados de extremo a extremo. Vale la pena saberlo antes de escribirle datos sensibles a un servicio de atención al cliente.

El robo del código de seis dígitos, que es el ataque de verdad

Este es el vector real, el que llena las comisarías, y funciona sin tocar nada técnico. El guion llega casi siempre igual:

1. Alguien pide el registro de WhatsApp con tu número. WhatsApp te manda a ti, por SMS, un código de seis dígitos que tú no has pedido.
2. Acto seguido te escribe un contacto tuyo, uno de verdad, cuya cuenta ya han robado antes. El mensaje suele ser: «perdona, te ha llegado un código mío por error, me lo pasas?». A veces es una llamada, a veces es alguien que se hace pasar por soporte técnico de WhatsApp.
3. Le pasas el código. En ese instante pierdes la cuenta: la sesión salta a su teléfono y el tuyo se queda fuera.
4. Desde tu cuenta escriben a tus contactos pidiendo dinero por Bizum, o repiten la misma jugada del código con ellos. Por eso llega desde un número conocido: la cadena se alimenta sola.

La regla es corta y no tiene excepciones. La documentación oficial de WhatsApp la abre con esa frase exacta: nunca compartas tu código de registro con nadie, ni siquiera con familiares o amigos. Nosotros añadimos una versión práctica: WhatsApp nunca te va a pedir ese código por chat, ni por SMS, ni por teléfono. Si alguien te lo pide, sea quien sea, es un robo en curso. Y si te llega un código que no has solicitado, no hagas nada con él, simplemente ignóralo, porque su llegada ya te está avisando de que alguien está intentando entrar.

Las defensas oficiales que sí cortan el ataque

Todas están dentro de la app, son gratuitas y se activan una sola vez. La más importante, con diferencia, es la primera: aunque el atacante consiga el código por SMS, sin tu PIN no pasa de la pantalla siguiente.

Verificación en dos pasos. Añade un PIN de seis dígitos que la app te pedirá de vez en cuando y, sobre todo, cada vez que se registre tu número en un teléfono nuevo. WhatsApp está migrando ese PIN a una contraseña, así que según tu versión verás uno u otro nombre. Durante la activación te ofrece asociar un correo electrónico: acéptalo, porque es lo único que te permitirá restablecer el PIN si lo olvidas. Si no lo asocias y lo olvidas, tocará esperar.

Copia de seguridad cifrada. Se activa dentro de la copia de seguridad normal y puedes protegerla con una contraseña, con una clave de cifrado de 64 dígitos o, en Android, con una llave de acceso. Un aviso serio antes de tocarla: WhatsApp declara que si pierdes el acceso a tu cuenta y olvidas esa contraseña o esa clave, no puede restablecer ni restaurar tu copia por ti, ni enviarte un duplicado. Guarda la clave donde la vayas a encontrar dentro de dos años. Si quieres entender cómo funciona la copia por dentro antes de cifrarla, tenemos una guía sobre cómo consultar la copia de seguridad de WhatsApp desde el ordenador.

Bloqueo de la app y de chats sueltos. El bloqueo de aplicación pide huella o cara para abrir WhatsApp, y deja pasar las llamadas aunque esté bloqueada. El bloqueo de chats, que según el idioma de tu móvil aparece como «Restringir chat» o «Bloquear chat», mete conversaciones concretas en una carpeta aparte detrás de otra autenticación. Sirve para el caso más frecuente de todos, que no es un hacker: es alguien de tu entorno cogiendo tu teléfono un minuto.

Cómo comprobar quién tiene tu cuenta abierta ahora mismo

Esta es la comprobación que deberías hacer hoy, tarde cinco segundos. En el menú de la app, entra en Dispositivos vinculados. Ahí aparece la lista completa de ordenadores, tablets y navegadores conectados a tu cuenta, con la fecha de último uso. Si ves algo que no reconoces, tócalo y pulsa cerrar sesión. No necesitas permiso de nadie ni avisar al otro extremo.

Tres cifras oficiales que ayudan a leer esa pantalla:

• Puedes tener hasta cuatro dispositivos vinculados a la vez además del teléfono principal. Si ves cuatro y solo usas uno, sobran tres.
• WhatsApp desconecta automáticamente los dispositivos vinculados tras 30 días de inactividad.
• Y cierra la sesión de todos ellos si no usas el teléfono principal durante más de 14 días.

Al vincular un dispositivo nuevo, la app te pide confirmar tu identidad en el teléfono principal con huella, cara o el PIN de desbloqueo, y avisa expresamente cuando detecta un dispositivo desconocido con la opción de no vincularlo. Si alguna vez ves esa pantalla sin haberla provocado tú, di que no y ve corriendo a activar la verificación en dos pasos.

Mods y «apps para hackear WhatsApp»: qué pasa realmente

Aquí hay que separar dos cosas que suelen ir en el mismo saco, y una de ellas ha cambiado de bando.

Las apps no oficiales. Son versiones modificadas de WhatsApp hechas por terceros, y la propia WhatsApp las nombra en su documentación: GB WhatsApp, FM WhatsApp, TeleMessage, TM WhatsApp y equivalentes. Su posición oficial es clara y merece leerse entera, porque explica el problema mejor que cualquier advertencia genérica: infringen las condiciones del servicio y WhatsApp no avala su uso porque no es posible validar sus prácticas de seguridad y privacidad. Ahí está la trampa. Una app que promete «más privacidad» pero cuyo código nadie puede auditar no te da cifrado de extremo a extremo verificable, te da la palabra de un desarrollador anónimo. WhatsApp añade que pueden contener malware y que no hay garantía de que tus mensajes, tu ubicación o los archivos que compartes sean privados.

El desenlace también está documentado y es escalonado: la cuenta puede quedar bloqueada de forma temporal o permanente, o sujeta a restricciones. Si recibes el aviso de «cuenta suspendida temporalmente» y no te pasas a la app oficial, WhatsApp advierte de que la suspensión puede volverse permanente. Y en ese punto no se recupera el número. No te vamos a decir dónde se descargan ni cómo se instalan, porque el final del camino es perder la cuenta que estás intentando proteger. Si lo que querías eran funciones que la app no trae, la vía sensata es mirar otra mensajería completa: comparamos las dos grandes en Telegram frente a WhatsApp.

Ojo con el nombre «WhatsApp Plus». Durante años fue uno de los mods más conocidos, y medio internet lo sigue contando así. Hoy ya no es eso: WhatsApp Plus es una suscripción opcional de pago del propio WhatsApp, con página oficial en whatsapp.com, que añade personalización, temas, iconos, tonos exclusivos y más chats fijados. Es un producto legítimo de Meta y no bloquea ninguna cuenta. Si lees un artículo que te dice que WhatsApp Plus te va a banear, ese artículo está desactualizado.

Las «apps para espiar WhatsApp» que se anuncian. Caen en tres cajones, y ninguno es bueno:

• Estafa directa. Webs que piden el número de la víctima, te pasean por encuestas, descargas y pagos, y nunca enseñan un mensaje. Lo que buscan es tu tarjeta.
• Phishing. Páginas que imitan a WhatsApp Web para que introduzcas tus datos o escanees un QR. Ese QR vincula tu cuenta al ordenador de otro, que es exactamente el ataque del que hablábamos arriba.
• Stalkerware. Programas de control que solo funcionan si alguien instala físicamente la app en el móvil de la víctima, con el teléfono desbloqueado. No hay versión a distancia. Instalarlo en el teléfono de otra persona sin su conocimiento constituye en España un delito de descubrimiento y revelación de secretos, y ahí ya no hablamos de una mala idea sino de un juzgado.

De ese tercer punto sale la conclusión útil para ti: si de verdad temes que alguien te esté leyendo, el sospechoso no es un pirata remoto, es alguien que ha tenido tu móvil en la mano. Revisa dispositivos vinculados, mira las aplicaciones instaladas que no reconozcas y cambia el código de desbloqueo del teléfono.

Si ya te han robado la cuenta

Se recupera, y casi siempre en el mismo día. El procedimiento oficial es este:

1. Vuelve a registrar tu número en la app, con tu número en formato internacional, e introduce el código de seis dígitos que llega por SMS o por llamada. Con eso basta: al volver a registrar la cuenta, WhatsApp cierra automáticamente la sesión en todos los dispositivos que la tuvieran conectada, incluido el del atacante.
2. Si te pide un PIN que tú no has puesto, es que el atacante activó la verificación en dos pasos para dejarte fuera. En ese caso hay que esperar siete días y volver a intentarlo. Es incómodo, pero funciona, y durante esa espera el intruso tampoco puede usar la cuenta desde otro sitio si tú ya has metido el código.
3. Avisa a tus contactos por otra vía, llamando o por otra red. WhatsApp lo recomienda expresamente, porque quien tiene tu cuenta puede hacerse pasar por ti en chats individuales y en grupos, y ahí es donde llegan las peticiones de dinero.
4. No reportes la cuenta antes de recuperarla. WhatsApp avisa de que si denuncias como comprometida la cuenta que estás intentando recuperar, podrían bloquearla. Primero se recupera, después se reporta si hace falta.
5. Cierra el agujero. Ya dentro, activa la verificación en dos pasos con un PIN nuevo y un correo de recuperación, y repasa la lista de dispositivos vinculados.

Cambiar solo la contraseña de la verificación en dos pasos no sirve para expulsar a nadie: la única forma de sacar a quien controla tu cuenta es volver a registrarla con el código. Si quieres el repaso completo de ajustes con calma, lo tenemos desarrollado en la guía para proteger WhatsApp de accesos no autorizados, y el funcionamiento general de la app está en nuestra guía de WhatsApp. El patrón se repite en otras redes, por cierto: lo contamos igual en si se puede hackear Facebook.

Preguntas frecuentes

¿Existe alguna app real para hackear WhatsApp?

No. El cifrado de extremo a extremo impide leer los mensajes de otra persona a distancia, y ninguna aplicación puede saltárselo. Lo que se anuncia con ese reclamo son estafas de pago, páginas de phishing que imitan a WhatsApp Web o stalkerware, que exige acceso físico al teléfono de la víctima y es delito en España.

¿Pueden leer mis mensajes solo con mi número de teléfono?

No. Con tu número, por sí solo, nadie puede entrar en tu cuenta. Hace falta el código de verificación de seis dígitos que WhatsApp envía a tu móvil, o tener tu teléfono desbloqueado en la mano. Por eso ese código es la pieza que hay que proteger.

Me ha llegado un código que no he pedido y un contacto me lo reclama, ¿qué hago?

No se lo pases y no respondas al mensaje. Ese código es la llave de tu cuenta, y la documentación oficial de WhatsApp pide expresamente no compartirlo con nadie, ni siquiera con familiares o amigos. Si te lo reclama un contacto conocido, lo más probable es que su cuenta ya esté robada. Avísale por otra vía.

¿La verificación en dos pasos es suficiente?

Es la defensa que corta el ataque más común, porque sin el PIN no se puede registrar tu número en otro teléfono aunque el atacante consiga el SMS. Conviene combinarla con el bloqueo de la app por huella o cara, la copia de seguridad cifrada de extremo a extremo y una revisión periódica de los dispositivos vinculados.

¿Es seguro usar WhatsApp GB u otra versión modificada?

No. WhatsApp declara que estas aplicaciones infringen sus condiciones del servicio y que no avala su uso porque no puede validar sus prácticas de seguridad y privacidad, es decir, no ofrecen un cifrado de extremo a extremo verificable. La consecuencia documentada es el bloqueo de la cuenta, primero temporal y luego permanente si sigues usándolas.

¿WhatsApp Plus es uno de esos mods?

Ya no. Ese nombre correspondió durante años a una versión modificada no oficial, pero hoy WhatsApp Plus es una suscripción opcional de pago del propio WhatsApp, con página oficial, que añade temas, iconos, tonos y personalización. Es un producto legítimo y no supone ningún riesgo para tu cuenta.

¿Cómo sé si alguien está espiando mi WhatsApp?

La comprobación que más sirve es entrar en Dispositivos vinculados y revisar la lista de sesiones abiertas con su fecha de último uso. Cierra las que no reconozcas. Recuerda que solo puede haber cuatro a la vez y que WhatsApp desconecta solo las que llevan 30 días sin actividad, así que una sesión activa que tú no has abierto es una señal real.