Alerta de estafa en WhatsApp: la IA solo comprueba a desconocidos, no a sus contactos

El 12 de agosto, Meta publicó una descripción técnica de «Scam Alert», una nueva función de WhatsApp. Está diseñada para advertir a los usuarios sobre mensajes fraudulentos antes de que alguien caiga en la trampa. El proceso de verificación se lleva a cabo íntegramente en el teléfono del usuario.

Una vez activada, WhatsApp descarga un pequeño modelo de inteligencia artificial en el dispositivo. Este modelo analiza los mensajes entrantes y los compara con patrones de estafas denunciadas, es decir, hilos de conversación y expresiones típicas de estafas conocidas. Para ello, ningún contenido de los mensajes sale del teléfono. El cifrado de extremo a extremo, en el que solo el remitente y el destinatario ven el texto sin cifrar, permanece intacto.

Solo el destinatario ve la advertencia

Si el modelo detecta un posible intento de estafa, aparece una notificación directamente en el chat. El remitente no recibe ninguna notificación. A partir de ahí, el usuario puede bloquear al remitente, denunciarlo o, simplemente, continuar la conversación. WhatsApp no informa automáticamente de nada a Meta. Esto solo ocurre si el usuario pulsa activamente en «Denunciar».

Solo se comprueban los mensajes de remitentes que no figuran en la agenda

Esta es la limitación, y así se indica en la propia descripción de Meta. El modelo clasifica exclusivamente los mensajes de remitentes que no están guardados en los contactos del usuario. Los mensajes de personas que ya figuran en la agenda no se comprueban.

Esto significa que, irónicamente, la estafa que mejor funciona queda fuera del sistema. Si la cuenta de WhatsApp de un amigo o familiar es secuestrada, el mensaje fraudulento procede de una cuenta real y conocida. «Alerta de estafa» no emite ninguna advertencia en estos casos. El caso de una aplicación falsa que secuestra cuentas de WhatsApp demostró cómo funciona este tipo de secuestro. Incluso la impactante llamada con una voz clonada elude esta comprobación, ya que no se realiza a través de WhatsApp en absoluto.

Si la marca como de confianza una vez, nunca volverá a ver una advertencia

Si considera que una advertencia es falsa, puede marcar el chat como de confianza. La advertencia desaparecerá entonces de forma permanente para ese contacto. Esto resulta práctico, pero también es el punto débil: es precisamente el tipo de decisión que se toma bajo presión cuando un estafador experto ya ha entablado una conversación. Cualquier persona que marque el chat de esta forma también puede enviar voluntariamente los últimos cinco mensajes recibidos a WhatsApp.

Diseñado para garantizar la verificabilidad

En lo que respecta a la transparencia, Meta va más allá de lo habitual. Cada versión del modelo se registra en un registro público junto con su suma de comprobación antes de su implementación. La firma procede de Cloudflare; Meta no dispone de la clave necesaria para ello. Las ponderaciones del modelo se publican para que los investigadores puedan verificar si el modelo detecta realmente solo estafas. Los propios usuarios pueden consultar un registro en «Cuenta» > «Solicitar información» > «Actividad de alertas de estafa», donde se muestra qué mensajes se comprobaron y qué versión del modelo se estaba ejecutando en ese momento.

Las estadísticas sobre la frecuencia con la que se emitieron las advertencias y cómo respondieron los usuarios se procesan en entornos informáticos aislados. Antes de que Meta tenga acceso a ellas, los datos se agregan y se ocultan para que no se puedan extraer conclusiones sobre usuarios concretos.

Aún no está disponible

Actualmente, «Scam Alert» se encuentra en fase beta limitada, junto con el programa de recompensas por errores de Meta. La empresa no ha anunciado una fecha para el lanzamiento completo ni los países en los que estará disponible. Hasta el momento no se ha hecho ninguna declaración con respecto a Alemania. Hasta entonces, se aplica la regla de siempre: si recibe una solicitud de dinero o un número de teléfono supuestamente nuevo, póngase en contacto con la persona en cuestión a través de un segundo canal, preferiblemente llamando al número anterior. Si desea saber con qué rapidez puede verse comprometida una cuenta incluso sin contraseña, consulte el informe sobre la cookie de sesión robada.