La Guardia Civil advierte sobre el timo del falso comprador de Wallapop: nunca hay que pinchar el enlace aunque parezca de la plataforma
La norma que se debe aplicar es que nunca se deben hacer pagos fuera de plataformas oficiales
La Guardia Civil lanza una advertencia sobre los sorteos falsos en Instagram y Facebook: hacen pagar por un premio inexistente
Publicas un móvil en Wallapop. Un usuario aparentemente atento responde en cuestión de minutos, hace tres o cuatro preguntas razonables, acepta el precio sin regatear y propone cerrar la operación por WhatsApp para agilizar los envíos. Ya al margen del chat oficial, un mensaje anuncia que el pago está hecho y que solo falta "confirmar el envío". Adjunta un enlace que reproduce con precisión milimétrica la identidad visual de Wallapop, la del propio servicio de envíos o la de una empresa logística conocida como Correos o DHL. El dominio de ese enlace no es, por supuesto, wallapop.com, sino una URL falsa a menudo camuflada con caracteres similares o subdominios inventados. El vendedor no se fija en el detalle y pulsa. Introduce los datos de la tarjeta. La pantalla dice "gracias, el pago se ha procesado".
En realidad, acaba de firmar la salida de una cantidad de dinero variable, que ir desde unos pocos euros hasta el saldo disponible completo, desde su propia cuenta hacia la del estafador. La Guardia Civil lleva meses advirtiendo de esta estafa y alerta de un incremento significativo de estos fraudes a través de la aplicación de compraventa.
Cuando salir de la app equivale a bajar la persiana
El motivo por el que estos fraudes prosperan lo señala la propia Guardia Civil: al trasladar la conversación a WhatsApp, la plataforma pierde el control de la trazabilidad, lo que dificulta enormemente la investigación posterior. Dentro del chat integrado de Wallapop, las conversaciones y los mensajes del sistema tienen distintivos y colores específicos que los estafadores no pueden replicar.
Fuera del chat, esos distintivos desaparecen y con ellos se desactiva también la red de protección que la propia plataforma tiende sobre el comprador y el vendedor. La regla a seguir que Wallapop enuncia en sus condiciones de uso es sencilla: nunca aceptar gestionar pagos o envíos fuera del chat oficial.
Las señales del engaño
Existen varios indicios que permiten desactivar la trampa antes de introducir cualquier dato.
- Propuesta de salir de la plataforma: cualquier interlocutor que insista en cerrar la operación por WhatsApp, correo o llamada está desactivando la única red de protección disponible.
- Envío de un enlace externo que exige introducir la tarjeta "para recibir el pago": ni Wallapop ni ninguna plataforma legítima piden al vendedor sus datos bancarios de esa forma, y menos aún fuera del propio sistema integrado.
- Falsa credencial institucional: el correo supuestamente firmado por la Guardia Civil, el sello de una empresa logística, el logotipo de Wallapop reproducido en la web, que sirven como decorados para blindar la confianza del interlocutor.
- URL del enlace: cualquier dominio distinto a wallapop.com, incluso con variaciones sutiles (guiones adicionales, subdominios, extensiones raras), debe activar la sospecha automática.
Qué hacer si has caído
Si el enlace ya se ha pulsado y los datos ya se han introducido, la actuación se articula en cuatro movimientos consecutivos.
- Contactar inmediatamente con la entidad bancaria para bloquear la tarjeta y tratar de revertir cualquier operación en curso, sabiendo que la eficacia decae con el paso de las horas.
- Cambiar todas las contraseñas asociadas (Wallapop, correo, banca online, etc…) desde un dispositivo distinto y de confianza.
- Recopilar el material probatorio: capturas del anuncio, del chat original en Wallapop, de la conversación desviada a WhatsApp, del enlace recibido, del correo con la suplantación institucional.
- Presentar denuncia ante la Unidad de Ciberdelincuencia de la Policía Nacional o el Grupo de Delitos Telemáticos (GDT) de la Guardia Civil con toda esa documentación.
Para orientación técnica gratuita y confidencial, el teléfono 017 de la Línea de Ayuda en Ciberseguridad de INCIBE atiende este tipo de incidentes en tiempo real.
La regla a seguir es sencilla: dentro del chat de la aplicación la transacción es segura. Fuera del chat, no existe ninguna garantía. Ningún enlace externo, por más que reproduzca al milímetro el diseño corporativo, sustituye al sistema de pagos integrado. Ninguna corroboración por correo con el sello de la Guardia Civil compensa la exposición a una web clonada. Y ningún interlocutor con prisa por cerrar la venta por WhatsApp merece ese salto de fe.
