WhatsApp de la clínica: cómo evitar una suplantación ante tus pacientes

La idea clave

El riesgo no se limita a recibir un mensaje sospechoso. En fraudes recientes, el objetivo es conseguir un código de registro o vincular un dispositivo ajeno a la cuenta. Desde ahí, el atacante puede escribir a los contactos aparentando ser la clínica.

Qué ha ocurrido y por qué importa a una clínica

Un reciente caso difundido por El País y documentado por INCIBE parte de un mensaje que llega desde una cuenta conocida y pide participar en un supuesto concurso. El enlace lleva a una página fraudulenta y busca que la víctima complete un proceso de vinculación. La consecuencia puede ser que un tercero escriba desde esa cuenta sin autorización.

En una clínica dental, el problema adquiere otra dimensión: pacientes y familias reconocen el número, lo usan para confirmar una visita y suelen responder con rapidez. Un mensaje aparentemente normal podría pedir un pago, derivar a una web falsa, solicitar datos o alterar una cita. El hecho de que un número sea conocido no confirma que el mensaje sea legítimo.

Esto no significa que una clínica concreta haya sufrido una brecha ni que WhatsApp deje de ser útil. Significa que, si es un canal habitual con pacientes, debe tratarse como una cuenta operativa crítica: con propietario, controles y un plan de respuesta.

Cómo se suele producir la suplantación

1. Ingeniería social para obtener códigos. Alguien solicita por mensaje, llamada o una web falsa un código de seis dígitos recibido por SMS. Ese código no se comparte nunca, tampoco con quien diga ser soporte o un proveedor.

2. Vinculación de un dispositivo no autorizado. Un engaño puede llevar a escanear un código QR o a confirmar una vinculación. El tercero mantiene una sesión ligada a la cuenta y puede escribir a los contactos.

3. Dispositivo o aplicación sin actualizar. Mantener al día el móvil y WhatsApp reduce exposición a vulnerabilidades conocidas. La actualización no sustituye los controles anteriores, pero forma parte de la protección básica.

Señal de alerta. Una petición inesperada de código, QR, enlace, pago o datos no se valida dentro del mismo chat. Se confirma con el interlocutor por teléfono, correo corporativo o un número que ya conste en la agenda de la clínica.

Las siete medidas que conviene activar hoy

• Activa la verificación en dos pasos. Configura un PIN y un correo de recuperación que controle la clínica, no una persona que pueda dejar el puesto.

• Revisa los dispositivos vinculados. Hazlo ahora y después de cualquier cambio de personal, móvil o proveedor. Cierra las sesiones que no reconozcas.

• Define una titularidad corporativa. Documenta qué número se utiliza, qué cuenta lo administra, qué correo está asociado y quién puede acceder a sus ajustes.

• Limita el acceso. Evita compartir PIN, códigos SMS o el móvil principal entre varias personas. Si varias personas gestionan mensajes, establece permisos y bajas de acceso por escrito.

• Actualiza móvil y aplicación. Incluye este punto en la revisión mensual de sistemas de la clínica.

• Prohíbe códigos y QR no verificados. El equipo debe saber que soporte, proveedores y pacientes no necesitan el código de registro de la clínica.

• Separa la confirmación de pagos. No cambies una cuenta bancaria, un enlace de pago o un presupuesto solo por WhatsApp. Establece una segunda comprobación por un canal oficial.

Un protocolo sencillo para el equipo

No basta con que una persona “sepa informática”. La recepción, la dirección y quien gestione la línea deben compartir un protocolo de dos minutos:

Antes de actuar: si un mensaje o una llamada pide un código, escanear un QR, instalar algo, cambiar una cuenta de pago o abrir un enlace, se detiene el proceso.

Confirmación: se contrasta por una vía independiente. Para un proveedor, se utiliza el teléfono o correo contractual; para una paciente, el dato que ya figura en la ficha, no el que llega en el nuevo mensaje.

Escalado: se avisa a la persona responsable de la línea. Nadie improvisa una respuesta técnica o borra evidencias.

Mensaje interno recomendado. “Nadie debe compartir códigos recibidos por SMS, escanear códigos QR ni confirmar nuevos dispositivos sin validación de Dirección. Si recibes una petición urgente o extraña relacionada con WhatsApp, no respondas: avisa a [nombre/cargo] por el canal interno.”

Si crees que la cuenta ya ha sido comprometida

1. Limita el daño. Desde un dispositivo seguro, revisa “Dispositivos vinculados” y cierra cualquier sesión desconocida. Si no puedes recuperar el control, sigue el proceso oficial de recuperación de WhatsApp.

2. Advierte a los pacientes por otro canal. No utilices el propio WhatsApp comprometido. Prioriza llamada, SMS, correo, web y redes oficiales. Explica de forma breve que no se deben abrir enlaces, facilitar códigos ni hacer pagos solicitados por ese chat.

3. Conserva las pruebas. Guarda capturas, números, horas, enlaces y mensajes recibidos. No reenvíes el enlace fraudulento para “avisar”, porque podrías propagarlo.

4. Recupera y refuerza. Reinstala o vuelve a registrar la cuenta si procede, actualiza el equipo, activa la verificación en dos pasos y revisa quién tenía acceso.

5. Valora la comunicación y el asesoramiento. Si ha podido afectar a datos personales o a la confianza de pacientes, activa al responsable interno, DPO/asesor de protección de datos y proveedor tecnológico conforme al protocolo de la clínica. INCIBE atiende en el 017; si hay perjuicio económico, conviene valorar denuncia.

Plantilla breve para pacientes

Aviso importante de la clínica. Estamos revisando la seguridad de nuestro WhatsApp. Hasta nuevo aviso, no solicite ni envíe códigos de verificación, datos bancarios o pagos mediante este chat. Si recibe un mensaje extraño en nombre de la clínica, no pulse enlaces y confírmelo llamando al [teléfono oficial]. Disculpe las molestias.

No solo seguridad: también confianza y continuidad

Para una clínica, proteger esta línea no es una cuestión puramente técnica. Es proteger un canal en el que se producen confirmaciones, cancelaciones y conversaciones de confianza. La buena práctica es sencilla: una cuenta con responsable identificado, accesos controlados, revisiones periódicas y un mensaje listo para informar a pacientes si algo ocurre.

Esta guía es informativa. Adáptala a las herramientas, responsabilidades y protocolos de cada clínica.