Una estafa por WhatsApp suplanta a tu empresa: cómo responder sin empeorar el daño

Confirma el incidente antes de responder públicamente

Empieza por distinguir una cuenta corporativa comprometida de un número externo que solo usa el nombre y la imagen de la empresa. Pregunta a la persona afectada qué número la contactó, cómo comenzó la conversación, qué identidad utilizó y qué solicitó. No pidas que reenvíe documentos íntimos, datos bancarios o imágenes completas a un buzón general.

Conserva capturas que muestren el número, nombre visible, foto, fecha, mensaje inicial, enlaces y solicitud de dinero o información. Registra dónde encontró el estafador a la víctima: anuncio, red social, web falsa, grupo o mensaje inesperado. Una cronología breve resulta más útil que cientos de capturas duplicadas.

Comprueba internamente si existe la vacante, promoción, factura o conversación mencionada. Identifica quién puede hablar por recursos humanos, atención al cliente, seguridad y comunicación. No afirmes que existe un delito o atribuyas una identidad concreta sin pruebas; describe la conducta observable como una posible suplantación o estafa.

• Número y nombre visible
• Primer mensaje y enlace utilizado
• Dinero o datos solicitados
• Canal donde empezó el contacto
• Confirmación del responsable interno

Protege primero a las personas que podrían ser víctimas

INCIBE documentó un caso en España en el que alguien utilizó WhatsApp y una falsa entrevista para suplantar a una empresa. Su recomendación incluyó avisar mediante la web o redes oficiales, recopilar evidencias y orientar a la víctima hacia ayuda especializada. La respuesta debe reducir el riesgo, no limitarse a proteger la marca.

Publica un aviso corto en canales controlados cuando exista riesgo real y verificable. Indica qué número, dominio u oferta no pertenece a la empresa, cómo son los procesos auténticos y dónde confirmar una comunicación. Evita repetir enlaces activos, datos personales o imágenes dañinas. Fecha el aviso y actualízalo cuando cambien los hechos.

Para una persona que recibió el mensaje, la FTC recomienda no utilizar los enlaces o teléfonos incluidos en una comunicación inesperada y verificar con datos de contacto conocidos. Si compartió credenciales, información financiera o efectuó un pago, debe contactar rápidamente con la entidad correspondiente y usar los recursos oficiales aplicables en su país.

Denuncia cada componente por la vía que corresponde

Dentro de WhatsApp, la víctima puede bloquear y denunciar el contacto utilizando los controles disponibles en la conversación o perfil. La persona que recibió los mensajes suele conservar la prueba más directa. La empresa puede ayudarle a identificar los elementos relevantes, pero no debe acceder a su teléfono o hacerse pasar por ella.

Si la campaña incluye una web, anuncio, perfil social, correo o vacante falsa, trátalos como objetos separados. Conserva la URL completa y utiliza el canal del proveedor que controla cada elemento. Una denuncia a WhatsApp no retira automáticamente una web falsa, y eliminar una publicación no impide que el mismo número continúe enviando mensajes.

Cuando existan fraude, amenazas, coerción, robo de identidad, pagos o riesgo personal, valora recursos policiales, de ciberseguridad, financieros o jurídicos adecuados. En España, INCIBE ofrece orientación mediante el 017; en Estados Unidos, las estafas pueden comunicarse a la FTC. La vía correcta depende del país y de los hechos.

Refuerza los procesos auténticos de la empresa

Explica en la página de empleo, facturación o soporte qué canales utiliza realmente la empresa. Indica si nunca pide pagos para optar a un puesto, códigos de verificación, contraseñas, transferencias urgentes o documentos por un número desconocido. No hagas afirmaciones absolutas si alguna unidad autorizada sí utiliza WhatsApp; documenta las excepciones con precisión.

Alinea el dominio, perfiles sociales, Perfil de Empresa de Google, directorios y páginas de contacto. Publica una forma sencilla de verificar vacantes, promociones y facturas. Forma a personal de recepción, recursos humanos y atención al cliente para registrar avisos sin culpar a la víctima y para escalar rápidamente patrones repetidos.

Revisa si el fraude utiliza fotos públicas de ejecutivos, descripciones de empleados o documentos expuestos. No elimines información corporativa útil de forma impulsiva. Reduce datos innecesarios, protege cuentas, activa autenticación disponible y define quién puede crear anuncios, números y perfiles en nombre de la organización.

Mide el resultado sin prometer una eliminación total

Mantén un registro por número, URL y plataforma: primera detección, evidencia, aviso publicado, denuncia enviada, respuesta recibida y última actividad observada. Separa actividad de resultado. Un número bloqueado por una persona no confirma una retirada global, y el silencio durante unos días no demuestra que la campaña haya terminado.

Busca el nombre de la empresa junto con términos como estafa, WhatsApp, empleo o fraude en los mercados afectados. Revisa también respuestas de IA si el incidente ha generado noticias o avisos, conservando la consulta, idioma, país y fuentes citadas. Corrige datos controlados sin intentar ocultar información legítima sobre el incidente.

ReputationGeo.ai puede organizar pruebas, coordinar avisos y rutas de denuncia, revisar superficies de búsqueda y seguir cambios. WhatsApp, proveedores, autoridades, entidades financieras y buscadores toman decisiones independientes. No se garantiza retirada, identificación del responsable, recuperación de dinero, posición en Google ni plazo. Este contenido es informativo y no sustituye asesoramiento jurídico o de seguridad.

Cómo convertir esta guía en un plan responsable

Empieza por las pruebas, no por las suposiciones. Guarda los enlaces exactos, capturas, fechas de publicación, búsquedas, perfiles de reseñas y respuestas de inteligencia artificial que generan preocupación. Anota dónde aparece cada elemento, quién controla la fuente y si la información es inexacta, antigua, privada, engañosa o simplemente desfavorable. Estas diferencias importan porque retirar, corregir, responder, desplazar y monitorizar son soluciones distintas. Un asesor responsable debe explicarlas antes de recomendar acciones o hablar de plazos.

Después, define la audiencia y la decisión que está en riesgo. Un resultado visto por clientes potenciales en España puede exigir un idioma, unas fuentes y unas señales locales diferentes de un resultado que afecte a inversores en Estados Unidos. Decide qué nombres, marcas, ubicaciones y preguntas de búsqueda son prioritarios. Esta selección evita que la campaña se convierta en un intento impreciso de controlar internet y la transforma en un programa medible centrado en exactitud, confianza y visibilidad.

Pruebas, personas y métricas que conviene preparar

Crea una referencia antes de empezar. Puede incluir las dos primeras páginas de Google para las búsquedas acordadas, la puntuación y el volumen de reseñas, la visibilidad de páginas propias, los temas repetidos en respuestas de IA y el estado de solicitudes enviadas a plataformas o editores. Limita los datos personales a lo necesario y comparte documentos sensibles únicamente mediante un proceso seguro. Si puede existir un derecho legal, consulta con un abogado cualificado; la estrategia reputacional no sustituye el asesoramiento jurídico.

Asigna responsables para aprobar contenidos, verificar hechos y responder a clientes. Revisa el progreso con constancia, pero no juzgues el programa por una sola posición diaria. Las métricas útiles incluyen elementos corregidos o eliminados, respuestas completadas, presencia de fuentes propias e independientes creíbles, composición de resultados, tendencias de búsquedas de marca y capacidad de la información pública para responder preguntas reales. El objetivo es un historial digital más exacto y resistente, no una promesa artificial de que desaparecerá toda crítica.

Mantén un registro de decisiones, no solo una lista de enlaces

Para cada elemento relevante, registra la fuente exacta, el problema factual, la persona responsable de verificarlo, la vía propuesta y el motivo por el que resulta proporcionada. Incluye la fecha de cada solicitud, el plazo de respuesta, el número de referencia de la plataforma y la próxima fecha de revisión. Este registro evita denuncias duplicadas o contradictorias y permite que una nueva persona responsable entienda por qué un elemento se corrigió, impugnó, respondió, monitorizó o se dejó sin intervención.

Un buen registro también separa los hechos confirmados de las interpretaciones. Reserva las cuestiones jurídicas para abogados cualificados, los fallos de servicio para responsables operativos y las explicaciones públicas para revisión de comunicación. Si un elemento cambia, conserva las pruebas del antes y el después sin recopilar más datos personales de los necesarios. Esta disciplina es especialmente importante cuando buscadores y sistemas de IA se actualizan de forma imprevisible: permite saber qué cambió realmente y evita atribuirse movimientos que pueden tener varias causas.

• Fuente, enlace, fecha y búsqueda o consulta afectada
• Hechos verificados, afirmaciones discutidas y pruebas de apoyo
• Vía elegida, responsable, estado y próxima revisión
• Riesgos de privacidad, amplificación y escalado