Un SMS, correo o aviso con un código que no has solicitado no significa que te hayan robado la cuenta. Significa que alguien ha escrito tu número, tu correo o tu contraseña en algún sitio, por error o a propósito. La regla que repiten Google y WhatsApp es la misma: no compartas ese código con nadie. Lo que cambia, y esta guía explica cómo distinguirlo, es si además tienes que cambiar la contraseña ya.
El primer reflejo suele ser el pánico, y no hace falta. Microsoft lo resume en su guía sobre códigos de verificación: si alguien intenta entrar en tu cuenta, sin el código tu cuenta está segura. WhatsApp dice lo mismo con otras palabras en su página sobre códigos que no has solicitado: sin ese código nadie puede completar la verificación ni usar tu número, así que sigues teniendo el control. El código es la cerradura; mientras no lo entregues, la puerta aguanta.
¿Por qué te llega un código que no has pedido?
Hay tres explicaciones posibles, y solo una es un ataque. Microsoft las enumera así: alguien está intentando acceder a tu cuenta, alguien escribió por error tu teléfono o tu correo al iniciar sesión, o un código que pediste hace tiempo ha llegado con retraso. WhatsApp coincide en las dos primeras: suele ocurrir cuando otra persona teclea tu número por equivocación en lugar del suyo o cuando alguien intenta apoderarse de tu cuenta.
Para saber cuál es tu caso, fíjate en qué tipo de código es. No todos se piden igual:
- Código de registro o de recuperación. Basta con conocer tu número o tu correo para provocarlo. Es el caso de WhatsApp, que envía un código cuando alguien intenta registrar una cuenta con tu número, y del código que Google manda a tu teléfono de recuperación cuando alguien intenta cambiar tu contraseña, según su página sobre cuándo te envía un mensaje de texto. No implica que sepan tu contraseña.
- Código de inicio de sesión (segundo factor). Aquí la cosa cambia. Apple explica en su guía de la autenticación de doble factor que, al entrar desde un dispositivo o navegador nuevo, confirmas tu identidad con la contraseña y un código de seis dígitos. Y Microsoft describe la «actividad inusual» como un inicio de sesión hecho con la contraseña correcta, pero desde una ubicación o un dispositivo que no reconoce.
- Aviso en un dispositivo de confianza. En Apple, el código aparece como notificación en tus otros aparatos, a veces con un mapa de la ubicación aproximada del intento. La compañía advierte de que ese punto sale de la dirección IP y puede reflejar la red y no el lugar exacto, así que no te fíes ciegamente del mapa.
Mi lectura de estas guías es clara: si el código que no pediste es de inicio de sesión, lo más prudente es asumir que alguien conoce tu contraseña. El código de registro es una molestia; el de inicio de sesión es una señal de que la primera barrera ya ha caído.
Qué hacer, servicio por servicio
En todos los casos: no lo compartas. Ni por SMS, ni por llamada, ni con alguien que dice ser de soporte técnico o un familiar con número nuevo. Google es explícito en que puedes ignorar y borrar el SMS y no compartirlo con nadie. Microsoft pide no responder a códigos no solicitados. Y si te llega una notificación de Apple para permitir un inicio de sesión que no estás haciendo tú, lo sensato es no pulsar Permitir (Apple solo indica que lo pulses si sabes que eres tú quien intenta entrar).
Google. Además de ignorar el código, la compañía recomienda hacer periódicamente su Revisión de Seguridad, que te da recomendaciones personalizadas para proteger la cuenta.
Microsoft. Entra en la página de Actividad reciente de tu cuenta, que según Microsoft muestra dónde y cuándo la has usado en los últimos 30 días. Si aparece una sección de Actividad inusual, despliega cada entrada y marca He sido yo o No he sido yo. Si te preocupa que alguien tenga acceso, Microsoft recomienda cambiar la contraseña desde la configuración de seguridad y quitar los dispositivos de confianza. También propone eliminar la contraseña de la cuenta y entrar con métodos sin contraseña, como la aplicación Microsoft Authenticator, Windows Hello o una llave de seguridad.
WhatsApp. Si el código es de registro, no ha pasado nada mientras no lo des. WhatsApp recomienda activar la verificación en dos pasos y aclara que no tiene información suficiente para identificar a quien lo intenta. Según el INCIBE, la forma más conocida de robar cuentas de WhatsApp consiste precisamente en engañar a la víctima para que facilite ese código que llega por SMS; el detalle de cómo blindarte está en nuestro artículo sobre el robo de WhatsApp con un código de seis dígitos.
Ojo con una variante más reciente. El INCIBE alertó en junio de 2026 del llamado ghostpairing: un enlace del tipo «¿eres tú el de esta foto?» lleva a una página que imita un servicio de Meta, la víctima introduce su número y acaba vinculando su WhatsApp al dispositivo del atacante sin perder el acceso; por eso, en mi lectura, el robo es más difícil de notar. La defensa es revisar los dispositivos vinculados y desconfiar de cualquier web que te pida el número para «ver» algo.
Cuando el código es la segunda pieza de un engaño
La situación peligrosa no es recibir el código: es recibirlo y, a los pocos minutos, una llamada, un SMS o un mensaje que te lo pide. Ese orden es la firma del fraude. El atacante ya ha provocado el envío y solo le falta que tú le leas los dígitos. Ninguna empresa seria necesita que le dictes un código que te ha mandado ella misma; ese mensaje es una forma de phishing y tiene señales que lo delatan.
Si ya lo has compartido, actúa en este orden, que combina lo que recomiendan Microsoft, WhatsApp y el INCIBE: cambia la contraseña de la cuenta afectada desde un dispositivo de confianza, cierra las sesiones y los dispositivos vinculados que no reconozcas, activa la verificación en dos pasos y avisa a tus contactos si la cuenta puede usarse para engañarles. El INCIBE atiende dudas en la Línea de Ayuda en Ciberseguridad, el 017.
Lo incómodo de todo esto es que el propio sistema de seguridad se ha convertido en la herramienta del estafador. El código de un solo uso nació para demostrar que eres tú, pero llega a un canal, el SMS, que no sabe distinguir si quien te pide reenviarlo es tu banco o un desconocido. Por eso creo que la recomendación de fondo no es solo «no lo compartas», que es imprescindible, sino depender cada vez menos de códigos por SMS. Explicamos los motivos y las alternativas en por qué el SMS ya no es un segundo factor seguro.
Mientras tanto, la regla práctica cabe en una línea. Un código que no has pedido es información, no una emergencia: te dice que alguien ha escrito tus datos en algún sitio. Si es de inicio de sesión, cambia la contraseña hoy. Y si alguien te lo pide, ya sabes quién es.