Alerta policial sobre WhatsApp: no existe ningún brazo de seguridad
Si te llega un mensaje en el que te piden que reenvíes un código por un SMS que acabas de recibir, bórralo.
Buscar en Google los términos 'hackear whatsapp' arrojan casi 2,5 millones de resultados en menos de 0,4 segundos. Y es que WhatsApp tiene el don de ser la aplicación de mensajería más usada en el mundo, y una de las más populares, ya que más de 1/4 de toda la población mundial la usa cada mes.
Pero esto provoca que también sea el medio favorito para intentar bulos, estafas, ataques malware y distribución de Phishing, debido al enorme alcance viral que WhatsApp ofrece.
Robar una cuenta de WhatsApp con un SMS
A mediados de febrero de 2020, cuando esto del Coronavirus era algo que sólo afectaba a China, la Guardia Civil de Navarra alertaba de un intento de estafa que corría por WhatsApp tras recibir varias denuncias que compartían el mismo punto de partida. Una campaña Phishing (suplantación de identidad) que empieza primero recibiendo un mensaje SMS con un código que tu no has solicitado, y luego recibes este mensaje en tu WhatsApp:
"Hola, lo siento, te envíe un código de 6 dígitos por SMS por error, puedes pasar a mí por favor? es urgente"
El mensaje te lo envía por WhatsApp un contacto que tienes en la agenda, un conocido con el que hablas por la app, por lo tanto no tienes motivos para dudar. El problema es que si le envías ese código, la persona que está al otro lado de la conversación podrá robarte la cuenta de WhatsApp y apropiarte de tu número, tus contactos y tus chats.
La cosa funciona así:
- Un cibercriminal le roba la cuenta de WhatsApp a un contacto tuyo de la app, logrando el acceso a su agenda de contactos. Ahora decide ir por ellos, tu incluído/a.
- Para conseguirlo, el tipo instala WhatsApp en un dispositivo de su propiedad e introduce tu número de teléfono para asociarlo a la aplicación
- El sistema de WhatsApp envía a ese número que el hacker intenta registrar (tu número) el código de verificación que necesita por cuestiones de seguridad, para verificar que se trata del usuario correcto y finalizar la instalación de la app
- El hacker sabe que acabas de recibir un SMS con un código de 6 dígitos, y usando el número que le ha quitado a uno de tus contactos, se hace pasar por este para pedirte el favor de que se lo pases.
- Si lo haces, el cibercriminal podrá finalizar el registro de tu cuenta de WhatsApp en su dispositivo, y en ese momento te quitará el acceso a ella, teniendo acceso a tus contactos y grupos.
Si te llega un mensaje así, lo primero que debes hacer es borrarlo y avisar a tu contacto para decirle qué le sucede a su cuenta -pero no llamándolo al móvil, sino a otro número porque el suyo está pirateado. Aunque también hay gente que aprovecharon para trollear al troll, como este tipo hizo desde esta cuenta de Twitter.
El mensaje SMS que debes borrar
Esta misma técnica volvió en mitad del verano pasado, a mediados de agosto en una campaña creciente de ciberataques que compañías expertas en ciberseguridad como Panda Security denunciaron. En su blog, Panda señalaba que el Modus Operandi es básicamente el mismo, sólo que los criminales no se hacen pasar por un contacto tuyo de la app, sino directamente por el equipo de soporte técnico de la compañía.
En el texto indican que recientemente alguien ha registrado una cuenta de WhatsApp con el mismo número de teléfono de la víctima, con lo que podría ser “un inicio de sesión ilegítimo”. Con el fin de “corroborar” que la persona con la que están hablando es la propietaria de esa cuenta, los cibercriminales te piden que les reenvíes un código de seguridad que vas a recibir en pocos minutos por medio de un SMS.
Y entonces ya logran acceder a tu cuenta, cambiar la contraseña y tener, sin que lo sepas, toda tu lista de contacto para repetir la estafa. A partir de aquí puede pasar como el caso denunciado arriba, que se hagan pasar por ti y por otros contactos, para seguir robando cuentas.
“El brazo de seguridad de WhatsApp”, WTF?
Si hay una constante actual, es el reciclaje de los timos y estafas. Y si es tan bueno como este de WhatsApp, entonces es normal que cada poco tiempo veamos nuevos intentos por parte de los cibercriminales de usarlo. En este caso, la Policía Nacional nos advierte de un mensaje que ha empezado a correr por la aplicación, y esta vez en vez de ser del soporte técnico de WhatsApp han querido usar un título más ‘intimidatorio’ sin duda, ya que dicen pertenecer al ‘brazo de seguridad de WhatsApp’.
Usando ingeniería social e intimidación a partes iguales, el mensaje nos pide que verifiquemos nuestra cuenta reenviando el código SMS de 6 dígitos “que le enviamos” para verificar que es nuestra. Y si no lo hacemos, pues son bastante explícitos: “De lo contrario, cerraremos su cuenta”.
Como veis, se trata exactamente del mismo tipo de estafa que llevamos dos años viendo usada de forma evidente. Así que no piquéis. Si recibis un SMS o un mensaje en WhatsApp similar, desconfiad, borradlo y ponéos en contacto con el soporte técnico de WhatsApp para decirles lo que ha pasado.
Recuperar la cuenta
Pero, y si por el motivo que sea alguien pica yse queda sin cuenta. ¿Cómo se puede recuperar la cuenta de WhatsApp? El proceso no es sencillo, pero se puede hacer. Según el director técnico de Check Point para España y Portugal, Eusebio Nieva: "La única manera sería hablando con WhatsApp para informarles del robo de la cuenta y que ellos anulen automáticamente esa cuenta con ese número de teléfono".
Además, habría que informar de lo ocurrido a la Guardia Civil o a la Policía Nacional para que hagan un seguimiento del teléfono y "comprueben todas las posibles comunicaciones que ha tenido con otros usuarios y minimizar las víctimas".