Qué le pasa a tu negocio si pierdes tu WhatsApp Business

Una clínica dental en Coacalco. Martes 10 de la mañana. La recepcionista ve que el WhatsApp del consultorio se cerró solo y pide un código de verificación. Lo ingresa. No entra. Lo intenta otra vez. Mientras tanto, 340 pacientes están recibiendo un mensaje desde el número de la clínica: “Tenemos una promoción, deposita a esta cuenta para apartar”. Tres pacientes depositan antes del mediodía.

La clínica no perdió un chat. Perdió su agenda, su canal de confirmación de citas, su historial con cada paciente y, por unas horas, su reputación. Todo en un número de teléfono que nadie consideraba “un sistema”.

Esto lo he visto en consultorios, en tiendas y en una inmobiliaria. Y lo que más me llama es que en ninguno de esos casos el dueño sabía que podía evitarse con seis dígitos.

Tu WhatsApp es tu sistema, aunque no lo veas así

En México el negocio chico corre por WhatsApp. Ahí llegan los pedidos, ahí se confirman citas, ahí se mandan cotizaciones y comprobantes. Si tienes WhatsApp Business, ahí está tu catálogo, tus respuestas rápidas y tus etiquetas de clientes.

Lo que veo en los diagnósticos es que ese número vive en un solo celular, casi siempre el del dueño o el de la persona de atención, sin verificación en dos pasos, con el chip a nombre de alguien que ya no trabaja ahí, y sin respaldo de los chats fuera del teléfono.

Es decir: el sistema más crítico del negocio depende de un aparato que se puede perder, robar o clonar. Y nadie lo tiene en la lista de riesgos porque “es solo WhatsApp”.

Cómo te lo quitan (no hace falta ser hacker)

El robo de cuenta de WhatsApp es un fraude de ingeniería social, no de tecnología. Ingeniería social es convencer a una persona de hacer algo que no debería. Las variantes más comunes que he visto:

El código “enviado por error”. Te llega un SMS de WhatsApp con un código de seis dígitos. Enseguida un contacto conocido, cuya cuenta ya fue robada, te escribe: “Perdón, te mandé un código por error, ¿me lo pasas?”. Se lo pasas. Ese código era el registro de tu número en otro teléfono. Ya no tienes cuenta.

El chip clonado. Alguien con tus datos consigue que la compañía telefónica le dé una SIM nueva con tu número. Tu celular se queda sin señal, el suyo recibe el código, y registra tu WhatsApp. Esto se conoce como SIM swap.

El buzón de voz. Si no contestas la llamada de verificación, WhatsApp puede dejar el código en el buzón. Si tu buzón tiene la contraseña de fábrica, el atacante lo escucha.

En los tres casos el atacante tiene tu número registrado en su teléfono. No puede leer tus chats viejos (esos se quedan en tu aparato, como explica WhatsApp en su página de seguridad), pero sí puede escribir a todos tus contactos haciéndose pasar por ti. Y eso es lo que hace.

Las primeras 24 horas

Lo que pierdes se divide en tres bloques, y conviene que los veas así porque cada uno se recupera distinto.

Operación: no puedes atender. Los pedidos, las citas y las dudas siguen llegando a un número que no controlas. Si tu equipo no tiene otro canal acordado, el negocio se detiene.

Dinero: el atacante escribe a tus clientes pidiendo depósitos. En mi experiencia, siempre va primero por los que tienen conversaciones recientes de cobro, porque ahí el mensaje se ve natural.

Reputación: cuando recuperas la cuenta, tienes que explicar a cada cliente que no fuiste tú. Algunos ya depositaron. Esa conversación la vas a tener tú, no el atacante.

Cómo se recupera (y por qué puede tardar)

Según la propia página de seguridad de WhatsApp, si pierdes el acceso, el camino es volver a registrar tu número en tu teléfono. Al hacerlo, la sesión del atacante se cierra.

El problema es si el atacante activó la verificación en dos pasos con su PIN después de robarte la cuenta. WhatsApp documenta que, si olvidas el PIN y no registraste un correo de recuperación, debes esperar 7 días para restablecerlo, y ese plazo no se puede acortar. Es decir, si tú no pusiste el PIN, el atacante lo puso por ti, y ahora tú eres el que espera una semana.

Siete días sin el canal principal de tu negocio. Por no haber dedicado dos minutos.

Los seis dígitos que cambian la historia

La verificación en dos pasos de WhatsApp es un PIN de seis dígitos que se pide cada vez que alguien intenta registrar tu número en un teléfono nuevo. Si el atacante consigue el código de SMS pero no tiene tu PIN, no entra. Se activa en Ajustes, Cuenta, Verificación en dos pasos, y WhatsApp recomienda agregar un correo para poder restablecerlo.

Mi regla para los negocios: el PIN lo conoce el dueño y una persona más, no se guarda en el teléfono, y el correo de recuperación es uno del negocio al que el dueño tiene acceso aunque esa persona renuncie.

Y una regla que doy a todos los equipos: nadie, nunca, comparte un código de verificación. Ni al dueño, ni a un cliente, ni a “WhatsApp”. Si te lo piden, es fraude. No hay excepción, y es más fácil recordar “nunca” que recordar casos.

Qué puedes hacer esta semana

1. Activa la verificación en dos pasos en el WhatsApp del negocio hoy. Registra un correo de recuperación que controle el dueño.
2. Ponle contraseña nueva al buzón de voz de la línea del negocio.
3. Verifica a nombre de quién está el chip. Si es de un exempleado o de una persona ajena, cámbialo.
4. Acuerda con tu equipo un canal alterno (un segundo número o correo) para avisarse si el WhatsApp cae, y un mensaje tipo para clientes: “Nuestro WhatsApp fue comprometido, no deposites a cuentas que te pidan por ese medio”.
5. Respalda los chats fuera del teléfono (Google Drive o iCloud) y revisa que el respaldo sea reciente.

Cómo ayuda AgileNext

En Blindaje Empresarial tratamos tu WhatsApp como lo que es: un sistema crítico. En un sprint de 45 días dejamos MFA, contraseñas y accesos controlados en todos tus canales, respaldos probados de verdad y un plan de continuidad para que el negocio siga operando si un canal cae. Alineado a ISO 27001 sin obligarte a certificarte, con validación independiente de aliados especializados. Protección que puedes demostrar a tus clientes.

Haz el autodiagnóstico de seguridad sin costo y revisa qué tan expuesto está tu número.

Te puede interesar: Los 5 ataques que más golpean a un negocio chico · Auditar al agente: el 100% de las conversaciones, no una muestra