Así intentan secuestrar tu cuenta de WhatsApp; varios uruguayos cayeron en la trampa

Utilizando el SMS

Desde un contacto, el usuario recibe de manera sorpresiva un mensaje por WhatsApp que dice: "Hola lo siento te envié un código de 6 dígitos por sms por error ¿me lo puedes pasar por favor? Es urgente". Al lado de eso, un emoji con un corazón, otro de una cara llorando de manera exagerada y uno último de una cámara de fotos.

El ciberatacante instala WhatsApp en un smartphone particular, introduce el número telefónico que quiere asociar: es el de la víctima. Luego, el sistema enviará a ese número un SMS. Este es el requisito que tiene WhatsApp de corroborar que se trata del usuario correcto, dueño del dispositivo..

El atacante que había logrado hacerse pasar por un conocido de la víctima, porque anteriormente le había robado a otros su cuenta, le envía un mensaje pidiéndole que le reenvíe un SMS con este código número porque lo necesita y porque lo habría enviado por error. Como el usuario suele contestar sin cuestionarse demasiado la autenticidad del remitente, acata el pedido sin pestañar.

De lograr hacerse con ese código, lo que logra el ciberdelincuente es obtener el control de la cuenta de su teléfono y el acceso a todos los grupos a los que pertenezca la víctima. 

Alejandro Draper, analista en seguridad informática de la empresa Isbel, comentó a Cromo que este tipo de ataques son "muy sencillos" de realizar ya que no requieren demasiado conocimientos técnicos y tampoco infraestructura sofisticada. "Uno de los motivos por el cual lo hacen es simplemente para hacer daño: para mostrar que lo pueden hacer y exponer la vulnerabilidad de la plataforma", comentó.

¿Pueden acceder al historial de chats? En general, el historial de conversaciones está sincronizado con la cuenta de iCloud (Apple) o Google Drive (Android) por lo que es difícil para los hackers acceder a esa información. 

De todas formas, Draper dijo que conoce casos más graves en los que los atacantes roban dinero. Al lograr la suplantación de identidad, los usuarios logran contactarse con amigos y familiares de la víctima y solicitan transferencias de dinero. "Esta maniobra sucedía antes con los correos electrónicos. Ahora se lleva a cabo a través de estas nuevas plataformas", comentó. 

Este tipo de ataques está dando la vuelta al mundo desde hace meses. De hecho, el Ministerio del Interior de España divulgó un comunicado en noviembre del año pasado en el que advierte sobre esta práctica de secuestro de cuentas y suplantación de identidad. Es una forma renovada del cuento del tío en internet, más comúnmente llamado "phishing" entre los informáticos. Es el tipo de ciberataque en el que más caen los usuarios.

Hackers utilizan WhatsApp Web

El Ministerio del Interior advirtió que este caso se da en caso de utilizar WhatsApp Web en una PC de escritorio. Allí el usuario debe escanear un código QR para permitir el acceso directo a la versión de escritorio de la aplicación.

El código QR de WhatsApp almacena información para validad el acceso de los usuarios a la versión web, "pero no ofrece ningún tipo de validación adicional", señala la secretaría de Estado.

En este caso siempre se debe acceder desde la web oficial (https://web.whatsapp.com) y cerrar sesión una vez que no se use más la computadora.

Recomendaciones

El departamento de Delitos Informáticos de Interpol recomienda activar la verificación en dos pasos ingresando a WhatsApp a la sección “Cuenta”, ubicada dentro de la sección “Ajustes” o “Configuración”, dependiendo del modelo de dispositivo.

"En caso de recibir un mensaje en el que se brinde un código de verificación evitar compartirlo con terceros por cualquier medio", señala.

También se sugiere verificar habitualmente en qué dispositivos se encuentran abiertas sesiones de WhatsApp Web y evitar abrir sesiones en dispositivos de uso compartido.

El ministerio recuerda que la plataforma no solicita información a sus usuarios por medio de SMS, WhatsApp u otros servicios de mensajería ni a través de llamadas telefónicas. "Si recibís un mensaje de WhatsApp proveniente de un usuario desconocido es aconsejable bloquear y reportar al usuario a través de las opciones que aparecerán en pantalla", señala.

¿Qué hacer si fuiste víctima del ataque?

Registrate en WhatsApp con tu número de teléfono e ingresa el código de seis dígitos que recibas por SMS para verificar el número. Luego de que ingreses el código de seis dígitos enviado por SMS, la sesión de la persona con acceso a tu cuenta se cerrará automáticamente.

También es posible que se te pida ingresar un código de verificación en dos pasos. "Si no sabes ese código, es posible que la persona con acceso a tu cuenta haya activado la verificación en dos pasos. En ese caso, debes esperar siete días para poder verificar tu número sin el código de verificación en dos pasos. Independientemente de si sabes el código de verificación en dos pasos o no, la sesión de la persona con acceso a tu cuenta se cerrará en cuanto ingreses el código de seis dígitos enviado por SMS", concluye.

Delitos Informáticos invita a denunciar estos episodios. Puede hacerse en la Calle Maldonado 1109 esquina Paraguay o comunicarse con las oficinas de la Dirección General de Lucha Contra el Crimen Organizado e Interpol (Departamento de Delitos Informáticos) a los números de teléfonos: 2030 4614 ó 2030 4625;o al mail: delitosinformaticos.interpol@minterior.gub.uy.