La última persona de la que desconfías es de tu madre. Si te manda un mensaje pidiéndote un código, porque la pobre se ha liado (malditos cacharros), se lo das. Al segundo siguiente, ya no puedes entrar en tu cuenta de WhatsApp. Tu madre no era tu madre, sino un cracker que se ha hecho pasar por ella desde su número de teléfono.
Desde hace unos meses hemos visto llegar una nueva forma de suplantación de identidad: escribirte desde el número de tus propios conocidos y familiares para que no sospeches. Es un ataque en cadena para hacerse con tu cuenta de WhatsApp y proseguir el ataque escribiendo a tus contactos, y así sucesivamente.
Es un método muy efectivo porque una vez se consigue suplantar a alguien es mucho más fácil seguir la cadena y hacerse con las cuentas de sus contactos. Hemos hablado con varias personas que han sido contactadas por estos atacantes. Veamos su modus operandi.
"Te envié un código de 6 dígitos por error. ¿Me lo puedes pasar?"
Primero que todo, ¿qué es este código que te piden? A fin de proteger tu cuenta, WhatsApp envía una notificación push cuando alguien intenta registrar una cuenta de WhatsApp con tu número de teléfono. Para mantener la cuenta a salvo, es importante que no compartas el código de verificación con nadie.
Si recibes esta notificación sin haberla pedido, significa que alguien ingresó tu número de teléfono y solicitó el código de registro. Si alguien está intentando apoderarse de tu cuenta, para lograrlo, necesitará el código de verificación que se envió por mensaje SMS a tu teléfono. Sin ese código, ningún usuario que intente verificar tu número podrá completar el proceso de verificación y usar el número en WhatsApp.
Captura de pantalla del mensaje que recibió Antonio de uno de sus contactos.
¿Cuál es la treta de estos delincuentes para convencerte de darte ese código de verificación? Hacerse pasar por uno de tus contactos de confianza. Este fue el caso de Antonio, a quien escribió uno de sus amigos: "Acto seguido, caí en el error que acababa de cometer, ya que la lógica dice que en ningún momento esta persona me debería haber solicitado tal código e intenté entrar a mi cuenta de nuevo. Ahí recibí el mensaje que ya no tenía acceso a la cuenta ya que, dado el funcionamiento de WhatsApp, una cuenta no puede ser usada en dos teléfonos a la vez".
El mensaje que aparece en WhatsApp una vez que hackean la cuenta (Antonio).
Tenemos muchos más testimonios en esta misma línea. La misma historia repetida una y otra vez que se repite, por lo visto, desde agosto de 2020. Una vez que acceden a tu cuenta, les escriben el mismo mensaje a todos tus contactos.
Diferentes capturas de varias víctimas que hemos podido contactar para este artículo.
Cómo recuperar una cuenta robada... y qué es lo que quieren al robártela
Algunas de las víctimas anteriores pudieron recuperar su cuenta solicitando otro código de verificación y metiéndolo a toda prisa para recuperar el control de la cuenta. Si no funciona, lo más efectivo es ponerse en contacto directamente con WhatsApp para informar del robo.
El siguiente paso sería enviar un email incluyendo la frase "Teléfono robado/extraviado: Por favor, desactiva mi cuenta" en tu mensaje y tu número de teléfono en el formato internacional completo, añadiendo el prefijo nacional. En cualquier caso, lo primero que te recomendamos es que actives la verificación en dos pasos.
En cuánto al "qué pretenden con este robo", Sergio Carrasco, abogado experto en derecho al olvido y ciberseguridad entre otras especialidades nos explica que se trata de "ejemplos de phishing para obtener acceso a la cuenta de WhatsApp, y que acaba en spoofing".
Su objetivo puede ser variado. Por un lado, obtener una cuenta de confianza desde la que poder hacer otros ataques, como el fraude del CEO aunque sea a niveles más cotidianos. Por otro, en una línea similar, para pedir ayuda económica a contactos cercanos alegando una situación extraordinaria, dependiendo del perfil de la cuenta obtenida.
"Estas actuaciones suelen estar fuertemente automatizadas (suelen ser bots que se comunican con la API de WhatsApp para ir solicitando la recuperación, para no ir número por número de manera manual), razón por la cual en ocasiones llega a perfiles de los que parece que no se va a poder obtener nada. Diferente sería si se pudieran realizar pagos directamente desde WhatsApp, que actualmente no es el caso", explica Sergio. Habrá que estar todavía más atentos para cuando los pagos vía WhatsApp sí estén con nosotros.
Ver 36 comentarios