La última persona de la que desconfías es de tu madre. Si te manda un mensaje pidiéndote un código, porque la pobre se ha liado (malditos cacharros), se lo das. Al segundo siguiente, ya no puedes entrar en tu cuenta de WhatsApp. Tu madre no era tu madre, sino un cracker que se ha hecho pasar por ella desde su número de teléfono.
Desde hace unos meses hemos visto llegar una nueva forma de suplantación de identidad: escribirte desde el número de tus propios conocidos y familiares para que no sospeches. Es un ataque en cadena para hacerse con tu cuenta de WhatsApp y proseguir el ataque escribiendo a tus contactos, y así sucesivamente.
Es un método muy efectivo porque una vez se consigue suplantar a alguien es mucho más fácil seguir la cadena y hacerse con las cuentas de sus contactos. Hemos hablado con varias personas que han sido contactadas por estos atacantes. Veamos su modus operandi.
"Te envié un código de 6 dígitos por error. ¿Me lo puedes pasar?"
Primero que todo, ¿qué es este código que te piden? A fin de proteger tu cuenta, WhatsApp envía una notificación push cuando alguien intenta registrar una cuenta de WhatsApp con tu número de teléfono. Para mantener la cuenta a salvo, es importante que no compartas el código de verificación con nadie.
Si recibes esta notificación sin haberla pedido, significa que alguien ingresó tu número de teléfono y solicitó el código de registro. Si alguien está intentando apoderarse de tu cuenta, para lograrlo, necesitará el código de verificación que se envió por mensaje SMS a tu teléfono. Sin ese código, ningún usuario que intente verificar tu número podrá completar el proceso de verificación y usar el número en WhatsApp.
Captura de pantalla del mensaje que recibió Antonio de uno de sus contactos.
¿Cuál es la treta de estos delincuentes para convencerte de darte ese código de verificación? Hacerse pasar por uno de tus contactos de confianza. Este fue el caso de Antonio, a quien escribió uno de sus amigos: "Acto seguido, caí en el error que acababa de cometer, ya que la lógica dice que en ningún momento esta persona me debería haber solicitado tal código e intenté entrar a mi cuenta de nuevo. Ahí recibí el mensaje que ya no tenía acceso a la cuenta ya que, dado el funcionamiento de WhatsApp, una cuenta no puede ser usada en dos teléfonos a la vez".
El mensaje que aparece en WhatsApp una vez que hackean la cuenta (Antonio).
Tenemos muchos más testimonios en esta misma línea. La misma historia repetida una y otra vez que se repite, por lo visto, desde agosto de 2020. Una vez que acceden a tu cuenta, les escriben el mismo mensaje a todos tus contactos.
Diferentes capturas de varias víctimas que hemos podido contactar para este artículo.
Cómo recuperar una cuenta robada... y qué es lo que quieren al robártela
Algunas de las víctimas anteriores pudieron recuperar su cuenta solicitando otro código de verificación y metiéndolo a toda prisa para recuperar el control de la cuenta. Si no funciona, lo más efectivo es ponerse en contacto directamente con WhatsApp para informar del robo.
El siguiente paso sería enviar un email incluyendo la frase "Teléfono robado/extraviado: Por favor, desactiva mi cuenta" en tu mensaje y tu número de teléfono en el formato internacional completo, añadiendo el prefijo nacional. En cualquier caso, lo primero que te recomendamos es que actives la verificación en dos pasos.
En cuánto al "qué pretenden con este robo", Sergio Carrasco, abogado experto en derecho al olvido y ciberseguridad entre otras especialidades nos explica que se trata de "ejemplos de phishing para obtener acceso a la cuenta de WhatsApp, y que acaba en spoofing".
Su objetivo puede ser variado. Por un lado, obtener una cuenta de confianza desde la que poder hacer otros ataques, como el fraude del CEO aunque sea a niveles más cotidianos. Por otro, en una línea similar, para pedir ayuda económica a contactos cercanos alegando una situación extraordinaria, dependiendo del perfil de la cuenta obtenida.
"Estas actuaciones suelen estar fuertemente automatizadas (suelen ser bots que se comunican con la API de WhatsApp para ir solicitando la recuperación, para no ir número por número de manera manual), razón por la cual en ocasiones llega a perfiles de los que parece que no se va a poder obtener nada. Diferente sería si se pudieran realizar pagos directamente desde WhatsApp, que actualmente no es el caso", explica Sergio. Habrá que estar todavía más atentos para cuando los pagos vía WhatsApp sí estén con nosotros.
Ver 36 comentarios
36 comentarios
black_ice
Pero bueno. El lector medio de este blog entiende de tecnología y la probabilidad de que caiga en un ataque de este tipo es baja, pero os recuerdo, queridos lectores, que mucha gente allí fuera incluidos vuestros padres y vuestras madres seguramente se confundirán si ven que es un contacto de confianza quién pide el código.
Así que me alegro mucho por Xataka que publique esta entrada y poderla compartir con quienes son mas tecnológicamente "vulnerables",
Venga vosotros seguid llamando a los demás "mongólico", "tontos", "gilipollas", "besugos" etc etc... Quedáis retratados.
RamonYo 😬
Lo que confirma que en este mundo hay tontos a espuertas. Si ya el mensaje te dice que no compartas ese código con nadie, y tu vas y haces justo eso. Lo siento, es que no me cabe en la cabeza que haya tanto besugo suelto.
JAVIxcr
Según tengo entendido las empresas pueden obtener el nombre de la persona detrás de cualquier teléfono por parte del operador.
Debería Whattsapp detectar esto y evitar un intento con un número de otra persona. Pero bueno no lo van a hacer, les cuesta dinero la gente se quejan y así no se compran otro cepillo de oro.
Piter_Parking
Yo recomiendo preparar varias capturas con códigos al azar y enviárselo a quien te lo haya pedido. Más que nada para marear la perdiz un poco y hacerle perder el tiempo 😅
vanaxmi
Estoy de acuerdo con que la inmensa mayoría de los que leemos Xataka estamos "a salvo" de estas tretas, pero recordad que no está de mas avisar a las personas mayores de nuestro entorno porque son mas vulnerables. Si recibieran ese mensaje creyendo que es nuestro seguramente no sospecharían ni lo mas mínimo.
Usuario desactivado
Como que no se puede entrar de nuevo en la cuenta, al entrar te pide volver a identificar el teléfono y como el numero de móvil es tuyo te mandan otro código y punto. Ya vuelves a tener el control de la cuenta.
aaron89
Pues no sé qué información querrán sacar del WhatsApp, porque no se guardan ni conversaciones ni imágenes en los servidores, solamente en la nube de Google a la cuál no podrán acceder.
Si me apuran ni siquiera los contactos, solo podrán obtener más números cuando alguien te hable o hablen en uno de los grupos que estás.
tinerfe86
Me gustaría que alguien me responda algo que yo (perdón por mi ignorancia) no tengo muy claro.
Alguien puede abrir WhatsApp y poner el número de teléfono de cualquiera. Hacerle la trampa del código de verificación y así tenerlo en otro dispositivo.
Pero si WhatsApp va asociado al número de teléfono y el número lo tienes tú con la tarjeta SIM:
¿Simplemente con reactivar el WhatsApp y que te envíen el código a tu número de teléfono ya sería suficiente?
Gracias a quien responda.
Gustavo Woltmann
Se agradecen este tipo de artículos para aquellos más desconocedores del tema.
ernesto.dominguezrod
¿Phising y Spoofing qué es Sr. Periodista? Como no escriba en castellano a muchos no nos van a ayudar
benitogonzalezrodriguez
Yo desconfío hasta de mi padre no envío a nadie ni siquiera mi sombra así que el que quiera robarme lo tiene crudo
Deivid R.
Hay que ser muy @#_&$+# para caer en una treta como está pero como si lo hay por eso los shampoo vienen con instrucciones
evabol
Hace 3 semanas, le ocurrió eso a un amigo. Se alertó en el grupo de was del tema, y también nos reímos, como muchos de vosotros...
pero nos empezaron a llegar las solicitudes de código. Yo, rápidamente me protegí con la verificación en dos pasos.... quien o lo que fuese, interactuaba contestando mensajes desde el perfil de nuestro amigo, incluso llegó a expulsarme del grupo de was, pero las otras 6 personas del grupo se quedaron inmediatamente sin servicio. Sin haber enviado el código. Algo inaudito. Han intentado por todos los medios, incluso los que comentáis, de recuperar el servicio, y Mr. Was les contesta que “sospecha que la actividad de su cuenta Viola sus condiciones de servicio y mantienen la cuenta suspendida. Han recibido numerosas quejas de usuarios acerca de esta cuenta”. Básicamente, que se la pela. Y hasta hoy, todos siguen sin servicio.
¿Alguien con alguna solución creativa??
DrKrFfXx
Me preguntaba quién podría ser tan gilipollas. Luego hace un par de días la mujer de mi hermano me escribe para decirme que si "él" me escribía que lo bloqueara porque "le robaron la cuenta". Ahora todo cuadra XD
Usuario desactivado
Ahora lo que no entiendo es lo siguiente: si alguien me envia algo, ¿para qué querrías que te lo dijese de vuelta?
Mi primera reacción sería: pues léelo de donde sea que lo mandaste, ¡si me lo acabaste de enviar!
Si yo te digo...el mongólico está que se recoje por palas hoy día.
david6757
Idiota, besugo, mongólico, gilipollas x2. Nada nuevo por estos lares.
deidian
La misma historia de siempre: el gilipollas que pica en "Ha ganado usted 500€ en un sorteo" sin participar en ningún sorteo y sin que ni siquiera le digan de que sorteo viene el premio.