Se descubrió una nueva y sofisticada estafa en WhatsApp. Cómo roban cuentas y cuál es la mejor manera de protegerse.
Durante el fin de semana se dio a conocer una nueva estafa en WhatsApp que involucra el robo de cuentas mediante un curioso método, que abusa del proceso de autenticación de cuentas en WhatsApp.
Los delincuentes aprovechan el sistema de registro y validación de cuenta de WhatsApp, que funciona de la siguiente manera: cuando un nuevo teléfono quiere registrar una cuenta de WhatsApp, usando un número de celular específico, la aplicación envía un código para verificar que quien pide acceso a la aplicación es quien efectivamente maneja ese número. WhatsApp ofrece varias formas de acceder al código de verificación, entre los que se encuentra el llamado telefónico.
WhatsApp, a través de un robot de llamadas automático, hace una llamada el teléfono y una voz automatizada ofrece el código. Si se ingresa este código, se activará la cuenta de WhatsApp.
Lo que sucede ahora es que los atacantes intervienen ese llamado, se apropian de la clave de identificación, y roban la cuenta de WhatsApp.
La estafa parece darse en dos pasos. Primero, a través de una campaña tradicional de engaño, los atacantes se hacen pasar por alguna entidad importante (quien destapó el caso, el periodista Alejandro Rebossio, recibió una supuesta llamada de personal de la app cuidAR). Una vez que el usuario atiende el llamado, se inventa alguna excusa para mantenerlo al teléfono.
En segunda instancia, se realiza un pedido de verificación para el número de la víctima, eligiendo como modalidad la llamada. Como el damnificado está en la llamada con los primeros estafadores, se derivará el llamado con el código al correo de voz.
Ahora, los ciberdelincuentes aprovechan que el servicio de correo de voz, que proveen las compañías de manera gratuita con todas las líneas, no suele ser configurado por el usuario, quedando la contraseña de acceso predeterminada. Como se puede acceder al correo de voz desde cualquier dispositivo, los estafadores piden el acceso, toman la contraseña, y dan de alta la cuenta de WhatsApp desde otro dispositivo.
Una vez que tienen acceso a la cuenta de WhatsApp, la utilizan para realizar otras estafas tradicionales de ingeniería social; como ser pedir dinero a los contactos por una supuesta emergencia.
Ya se comenzaron a conocer, incluso, casos de alto perfil; como la diputada Cynthia Hotton, que comunicó recientemente que su cuenta de WhatsApp se vio comprometida.
La propia empresa salió a hablar tras estos incidentes y dejó algunas recomendaciones. Lo primero es activar la verificación de dos pasos, que es un código que la aplicación pide adicionalmente a la hora de validar una cuenta. Luego, es recomendable llamar al proveedor de telefonía y pedirle o bien cambiar la contraseña del correo de voz o bien dar de baja el buzón de mensajes.
