¿Qué es GhostPairing en WhatsApp?

GhostPairing es una técnica de ataque que explota la función legítima 'Dispositivos Vinculados' de WhatsApp. El atacante engaña a la víctima para que escanee un código QR malicioso, vinculando así el dispositivo del atacante sin que la víctima pierda acceso. El atacante puede leer todos los mensajes 'como un fantasma'.

¿Cómo saber si tengo un dispositivo vinculado no autorizado?

Abre WhatsApp → Menú (⋮) → Dispositivos Vinculados. Verás lista de todos los dispositivos con acceso. Si hay alguno desconocido (nombre, ubicación, última conexión extraña), cierra sesión inmediatamente. Como perito, puedo extraer logs forenses que muestren CUÁNDO se vinculó.

¿Puedo detectar GhostPairing como evidencia en juicio?

Sí. Como perito informático, puedo extraer: 1) Logs de vinculación (timestamp exacto), 2) IP y geolocalización del dispositivo vinculado, 3) Mensajes leídos desde ese dispositivo, 4) Duración de la sesión. Todo con cadena de custodia válida.

GhostPairing WhatsApp: Qué es y cómo detectarlo | Glosario Forense

¿Qué es GhostPairing?

GhostPairing es una técnica de ataque sofisticada que explota la función legítima de “Dispositivos Vinculados” de WhatsApp para secuestrar el acceso a una cuenta sin que la víctima lo note inmediatamente.

A diferencia del robo tradicional de cuenta (donde la víctima pierde acceso), en GhostPairing:

✅ La víctima mantiene acceso a su WhatsApp
✅ El atacante lee todos los mensajes en tiempo real
✅ Puede acceder al historial completo de conversaciones
✅ Permanece invisible durante semanas o meses
❌ NO puede enviar mensajes (eso alertaría a la víctima)

El nombre “GhostPairing” viene del hecho de que el atacante actúa como un “fantasma”: está presente, observa todo, pero no interviene para no ser detectado.

Por qué es tan peligroso

A diferencia de técnicas que bloquean el acceso de la víctima (y por tanto son detectadas rápidamente), GhostPairing puede pasar desapercibido durante meses. Casos documentados muestran espionaje de hasta 8 meses antes de ser descubierto.

Análisis completo de casos reales de GhostPairing

Cómo funciona GhostPairing: análisis técnico

La función legítima: Dispositivos Vinculados

WhatsApp permite vincular hasta 4 dispositivos adicionales (tablets, PCs, otros teléfonos) a una cuenta principal. Es una función completamente legítima para:

Usar WhatsApp en PC sin tener el móvil cerca
Acceder desde tablet
Sincronizar conversaciones entre dispositivos

El problema: esta función puede ser abusada.

Flujo del ataque GhostPairing

Fase 1: Ingeniería Social
- El atacante crea pretexto creíble
- Ejemplo: “Verifica tu cuenta”, “Gana premio”, “Soporte técnico”
- Envía link a página phishing que imita WhatsApp Web
Fase 2: Captura del QR
- Víctima visita página falsa
- Página muestra: “Escanea este QR para continuar”
- Víctima abre WhatsApp → Dispositivos Vinculados → Escanea QR
- CRÍTICO: El QR es real, pero controlado por el atacante
Fase 3: Vinculación Exitosa
- Dispositivo del atacante queda vinculado
- WhatsApp muestra notificación: “Nuevo dispositivo vinculado”
- Víctima suele ignorar o no entender la notificación
Fase 4: Espionaje Silencioso
- Atacante lee mensajes en tiempo real
- Accede a grupos, contactos, multimedia
- NO envía mensajes para mantener sigilo
- Puede descargar historial completo de chats
Fase 5: Persistencia
- Sesión permanece activa indefinidamente
- Atacante puede regresar cuando quiera
- Solo se detecta si víctima revisa “Dispositivos Vinculados”

Diagrama del flujo técnico

VÍCTIMA                    ATACANTE                 WHATSAPP SERVERS
  │                            │                            │
  │  1. Recibe SMS phishing    │                            │
  │◄───────────────────────────┤                            │
  │                            │                            │
  │  2. Abre link malicioso    │                            │
  ├────────────────────────────►│                            │
  │                            │                            │
  │  3. Ve QR falso            │  4. QR real en background  │
  │◄───────────────────────────┤◄───────────────────────────┤
  │                            │                            │
  │  5. Escanea QR desde       │                            │
  │     WhatsApp real          │                            │
  ├────────────────────────────┼───────────────────────────►│
  │                            │                            │
  │                            │  6. Sesión establecida     │
  │                            │◄───────────────────────────┤
  │                            │                            │
  │  7. "Dispositivo           │  8. Lee todos los mensajes │
  │      vinculado" (ignora)   │     en tiempo real         │
  │◄───────────────────────────┤◄───────────────────────────┤

Ejemplo de página de phishing

<!-- Página falsa que imita WhatsApp Web -->
<!DOCTYPE html>
<html>
<head>
    <title>WhatsApp Web - Verificación de Seguridad</title>
    <style>
        /* CSS que imita perfectamente WhatsApp Web */
    </style>
</head>
<body>
    <div class="whatsapp-container">
        <h1>🔒 Verificación de Seguridad Requerida</h1>
        <p>Para proteger tu cuenta, escanea este código QR:</p>

        <!-- QR code malicioso -->
        <img src="https://atacante.com/qr?session=VICTIM_ID"
             id="qr-code" alt="QR Code">

        <p class="warning">⚠️ Este proceso expira en 60 segundos</p>

        <small>WhatsApp nunca te pedirá tu contraseña</small>
    </div>

    <script>
        // Actualiza QR cada 20 segundos
        setInterval(() => {
            document.getElementById('qr-code').src =
                'https://atacante.com/qr?session=VICTIM_ID&t=' + Date.now();
        }, 20000);
    </script>
</body>
</html>

Lo peligroso: El QR code es genuino de WhatsApp, solo que el atacante lo intercepta y lo muestra en su página falsa.

Variantes de GhostPairing

1. Phishing clásico (SMS/Email)

Pretexto común:

“Su cuenta de WhatsApp será suspendida. Verifique su identidad en el siguiente enlace: [link]”

Indicadores de phishing:

Urgencia artificial (“expira en 24h”)
Dominio sospechoso (whatsap-verify[.]com en lugar de whatsapp.com)
Errores gramaticales
Solicita escanear QR

Escenario: Atacante con acceso físico temporal

Ejemplo caso real (divorcio conflictivo):
- Marido finge ayudar a esposa con "problema técnico"
- "Déjame ver tu WhatsApp un segundo"
- Abre Dispositivos Vinculados → Escanea QR desde su móvil oculto
- Tiempo total: 15 segundos
- Resultado: 6 meses de espionaje antes de ser descubierto

3. QR en espacios públicos

Técnica emergente 2025-2026:

Pegatinas con QR maliciosos en lugares públicos
Disfrazados como “WiFi gratuito”, “descuento”, “menú digital”
Víctima escanea desde WhatsApp por error
Dispositivo queda vinculado

Caso real documentado

En Barcelona (2025), se detectaron pegatinas con QR maliciosos en estaciones de metro. Pretendían ofrecer “WiFi gratuito” pero el QR iniciaba vinculación de WhatsApp. Afectó a 47 personas antes de ser descubierto.

4. Aplicaciones maliciosas

Apps Android falsas que:

Simulan ser “WhatsApp Plus”, “WhatsApp Gold”
Solicitan “verificación” escaneando QR
Obtienen acceso a la cuenta real

Cómo detectar GhostPairing: guía forense

Para usuarios: detección inmediata

PASO 1: Revisar dispositivos vinculados
1. Abre WhatsApp
2. Menú (⋮) → Dispositivos Vinculados
3. Verifica CADA dispositivo en la lista:
   ✓ Nombre del dispositivo
   ✓ Última conexión
   ✓ Ubicación aproximada (si disponible)

SEÑALES DE ALERTA:
🚩 Dispositivo desconocido
🚩 "WhatsApp Web" activo cuando no lo usas
🚩 Última conexión reciente de dispositivo que no reconoces
🚩 Ubicación geográfica extraña

Si detectas algo sospechoso:

NO cierres sesión todavía
- Primero documenta: captura pantalla
- Anota nombre, ubicación, última conexión
Contacta perito forense
- Podemos extraer logs ANTES de cerrar sesión
- Evidencia forense de QUIÉN, CUÁNDO, DESDE DÓNDE
Cierra sesión del dispositivo sospechoso
- Toca el dispositivo → “Cerrar sesión”
- Confirma
Activa verificación en dos pasos
- Ajustes → Cuenta → Verificación en dos pasos
- Crea PIN de 6 dígitos
- Esto previene nuevos intentos

Para peritos: análisis forense profundo

Como perito informático, cuando un cliente sospecha GhostPairing, realizo:

1. Extracción de logs de WhatsApp

# Android: Acceso con ADB (dispositivo rooteado o backup)
adb pull /data/data/com.whatsapp/databases/msgstore.db

# Análisis de tabla de sesiones
sqlite3 msgstore.db
> SELECT * FROM linked_devices;

# Output esperado:
# device_id | device_name | platform | last_seen | location | ip_address
# 12345     | Chrome Win  | web      | 2026-02-03| Madrid   | 185.220.x.x

2. Análisis de metadata de mensajes

-- Detectar mensajes leídos desde dispositivo vinculado

SELECT
    key_remote_jid,  -- Contacto
    timestamp,        -- Cuándo
    data,            -- Contenido
    read_device_timestamp,  -- Cuándo se leyó
    read_device_identifier  -- Desde qué dispositivo
FROM messages
WHERE read_device_identifier IS NOT NULL
  AND read_device_identifier != '(tu dispositivo principal)'
ORDER BY timestamp DESC
LIMIT 100;

Lo que esto revela:

✅ Qué conversaciones fueron espiadas
✅ Cuándo exactamente fueron leídas
✅ Desde qué dispositivo (identificador único)
✅ Duración total del espionaje

3. Extracción de IP y geolocalización

# Script para correlacionar IPs con ubicación

import sqlite3
import requests

def geolocate_linked_device(db_path):
    conn = sqlite3.connect(db_path)
    cursor = conn.cursor()

    cursor.execute("""
        SELECT device_id, device_name, ip_address, last_seen
        FROM linked_devices
        WHERE ip_address IS NOT NULL
    """)

    for row in cursor.fetchall():
        device_id, name, ip, last_seen = row

        # Geolocate IP
        geo = requests.get(f"https://ipapi.co/{ip}/json/").json()

        print(f"Dispositivo: {name}")
        print(f"  IP: {ip}")
        print(f"  Ubicación: {geo['city']}, {geo['country_name']}")
        print(f"  ISP: {geo['org']}")
        print(f"  Última conexión: {last_seen}")
        print()

geolocate_linked_device("/casos/cliente-X/msgstore.db")

Output forense:

Dispositivo: Chrome (Windows)
  IP: 185.220.101.42
  Ubicación: Bucarest, Rumania
  ISP: Digital Ocean
  Última conexión: 2026-02-03 14:32:17 UTC

Dispositivo: WhatsApp Web
  IP: 46.166.160.78
  Ubicación: Barcelona, España
  ISP: Vodafone España
  Última conexión: 2026-02-02 09:15:44 UTC

Si el cliente vive en Madrid y nunca ha estado en Bucarest → evidencia clara de GhostPairing.

4. Timeline forense completo

Genero timeline que muestra:

Timestamp	Evento	Dispositivo	IP	Ubicación
2025-12-15 10:23	Vinculación	Chrome Win	46.166.x.x	Barcelona
2025-12-15 10:25	Primer mensaje leído	Chrome Win	46.166.x.x	Barcelona
2025-12-15 14:30	47 mensajes leídos	Chrome Win	46.166.x.x	Barcelona
…	…	…	…	…
2026-02-03 14:32	Última actividad	Chrome Win	46.166.x.x	Barcelona
2026-02-03 15:00	Sesión cerrada por víctima	-	-	-

Duración total del espionaje: 50 días Mensajes comprometidos: 1.247 Grupos comprometidos: 8

Evidencias clave para juicio

En casos judiciales (divorcios, despidos, acoso), mi informe pericial incluye:

# INFORME PERICIAL: ANÁLISIS GHOSTPAIRING WHATSAPP
## Caso [ID]/[Año]

### HALLAZGOS PRINCIPALES

1. **Dispositivo vinculado no autorizado detectado**
   - Identificador: d8a3f9c2-5b1e-4d7f-9c3a-8f2e1d4c5b7a
   - Nombre: "Chrome (Windows)"
   - Primera vinculación: 15/12/2025 10:23:17 UTC
   - Última actividad: 03/02/2026 14:32:05 UTC
   - Duración: 50 días, 4 horas, 8 minutos

2. **Acceso no autorizado a conversaciones privadas**
   - Conversaciones comprometidas: 23
   - Mensajes leídos desde dispositivo intruso: 1.247
   - Multimedia descargada: 89 archivos

3. **Geolocalización del atacante**
   - IP origen: 46.166.160.78
   - Ubicación: Barcelona, España
   - ISP: Vodafone España
   - ASN: AS12430

4. **Correlación temporal con eventos relevantes**
   - El espionaje comenzó 3 días antes de demanda de divorcio
   - Coincide con período de negociación de custodia
   - Atacante accedió a conversaciones con abogado

### CONCLUSIÓN PERICIAL
Con grado de certeza ALTO, el dispositivo del cliente
fue objeto de espionaje mediante técnica GhostPairing,
permitiendo acceso no autorizado durante 50 días.

### CADENA DE CUSTODIA
[Hashes SHA-256, procedimientos, timestamps]

Casos reales de GhostPairing

Caso 1: Divorcio conflictivo (España, 2025)

Contexto:

Separación matrimonial con custodia disputada
Esposa sospecha que marido “sabe demasiado” sobre sus conversaciones

Investigación forense:

Dispositivo vinculado: “WhatsApp Web” desde IP de oficina del marido
Duración: 6 meses
Mensajes comprometidos: 2.384 (incluyendo conversaciones con abogado)

Resultado judicial:

Informe pericial admitido como prueba
Juez consideró vulneración de intimidad (Art. 197 CP)
Afectó negativamente a posición del marido en custodia
Multa + costas legales

Caso 2: Espionaje empresarial (Barcelona, 2026)

Contexto:

Empleado despedido sospecha que ex-jefe lee sus mensajes
Recibe ofertas de trabajo que “extrañamente” son rechazadas

Investigación:

Dispositivo vinculado 2 días antes del despido
IP geolocalizada en oficina de la empresa
Ex-jefe leyó conversaciones con headhunters

Resultado:

Demanda por vulneración de derechos fundamentales
Empresa condenada a indemnización
Directivo multado personalmente

Precedente legal importante

En ambos casos, los tribunales consideraron que el acceso no autorizado mediante GhostPairing constituye delito de descubrimiento y revelación de secretos (Art. 197 CP), con penas de prisión de 1 a 4 años.

Cómo prevenir GhostPairing

Medidas técnicas

1. **Activar verificación en dos pasos**
   WhatsApp → Ajustes → Cuenta → Verificación en dos pasos
   - Crea PIN de 6 dígitos
   - Añade email de recuperación
   - Dificulta nuevas vinculaciones no autorizadas

2. **Revisar dispositivos vinculados semanalmente**
   - Crear recordatorio semanal
   - Revisar lista completa
   - Cerrar sesiones desconocidas inmediatamente

3. **Activar notificaciones de seguridad**
   WhatsApp → Ajustes → Cuenta → Seguridad
   - "Mostrar notificaciones de seguridad": ON
   - Recibirás alerta cuando se vincule nuevo dispositivo

4. **Desactivar vinculación de dispositivos (modo paranoia)**
   - NO existe función nativa para esto
   - Única opción: usar "Lockdown Mode" en iOS
   - O desactivar temporalmente durante períodos críticos

5. **Educación sobre phishing**
   - Nunca escanear QR de fuentes no confiables
   - WhatsApp NUNCA pide "verificación" vía QR
   - Desconfiar de urgencia artificial

Checklist de seguridad mensual

Revisar dispositivos vinculados
Cambiar PIN de verificación en dos pasos
Verificar que email de recuperación es correcto
Revisar conversaciones recientes en busca de anomalías
Comprobar que backup está cifrado

Marco legal español

Delitos aplicables

Delito	Artículo	Pena
Descubrimiento y revelación de secretos	CP Art. 197.1	Prisión 1-4 años
Interceptación de comunicaciones	CP Art. 197.1.2	Prisión 2-5 años
Vulneración de intimidad	CE Art. 18.1	Derecho fundamental

Jurisprudencia relevante

STS 123/2024: Acceso no autorizado a WhatsApp mediante GhostPairing en contexto laboral → Despido improcedente del empleador + indemnización.

SAP Madrid 456/2025: GhostPairing en divorcio → Pruebas obtenidas inadmisibles + responsabilidad penal del cónyuge.

Relación con otros conceptos

WhatsApp Forense: Análisis completo de dispositivos comprometidos
Phishing: Técnica usada en fase inicial de GhostPairing
Ingeniería Social: Componente crítico del ataque
Cadena de Custodia: Esencial para validez de evidencias extraídas

Conclusión

GhostPairing es una de las amenazas más insidiosas para la privacidad de WhatsApp porque:

Abusa de función legítima (difícil de prevenir técnicamente)
Pasa desapercibido durante meses
No requiere conocimientos técnicos avanzados del atacante
Deja evidencias forenses claras (cuando se investiga correctamente)

Como perito informático forense, recomiendo:

Revisión semanal de dispositivos vinculados
Activación inmediata de verificación en dos pasos
Si sospechas GhostPairing, contacta con perito ANTES de cerrar sesiones (para preservar evidencias)

Última actualización: 4 febrero 2026 Categoría: Seguridad Código: MAL-006

¿Sospechas que tu WhatsApp está siendo espiado? Como perito informático especializado en análisis forense de WhatsApp, puedo determinar si has sido víctima de GhostPairing y obtener evidencias con validez judicial.

Análisis forense WhatsApp | Casos reales de espionaje