A la hora de utilizar WhatsApp, no solo puedes hacerlo en el móvil, sino que podrías vincular otro dispositivo, como tu ordenador. Esto es útil, es algo que muchos usuarios tienen en cuenta, pero también tiene su riesgo si no hacemos bien las cosas. Por ejemplo, podrías dejar la sesión abierta en un equipo que no es tuyo. En este artículo, vamos a explicarte cómo los piratas informáticos están abusando de esta función para secuestrar cuentas de WhatsApp.
Se trata de un descubrimiento que han realizado desde Gen Digital (originalmente Symantec, tras la adquisición de NortonLifeLock y Avast), una firma de ciberseguridad, y han documentado todo en una publicación con fecha de 15 de diciembre. Explican la estrategia que siguen los ciberdelincuentes para, a través de códigos de emparejamiento, secuestrar cuentas de WhatsApp. Esta campaña se denomina GhostPairing.
Campaña para robar WhatsApp
El objetivo de este ataque es engañar a la víctima para que vincule el navegador del atacante a su dispositivo, donde utiliza WhatsApp. No requiere de autenticación, ni de robar una contraseña, como ocurre con otros ataques, contra plataformas muy diversas. Estamos ante un ataque de ingeniería social, en el que siguen una estrategia.
Este ataque comienza con un clásico. Lo primero que hace el atacante, es enviar un mensaje desde la cuenta de Facebook de un conocido. En ese mensaje, aparece un enlace que, supuestamente, lleva a una foto de Facebook. Incluso muestra una vista previa como si fuera realmente la red social de Meta. Todo es una estafa, ya que lleva a una página que simula ser Facebook, pero que ha sido creada para engañar.
La víctima, cuando entra en ese sitio web, ve un mensaje para iniciar sesión y, de esta forma, poder ver el contenido. Realmente, lo que hace esa página es iniciar el proceso de emparejamiento de dispositivos de WhatsApp. Solicita a la víctima su número de teléfono y, de esta forma, el atacante puede iniciar el proceso legítimo para vincular WhatsApp en su navegador.
En ese momento, WhatsApp va a generar un código para iniciar la vinculación. Ese código lo va a solicitar la página falsa de Facebook para, supuestamente, poder acceder a esa imagen. Aunque la aplicación legítima de WhatsApp informa claramente de que esa notificación es para vincular un nuevo dispositivo, la víctima puede pasarlo por alto y caer en la trampa. Al poner ese código, el atacante va a lograr el control total de WhatsApp.
| Paso | Acontecimiento | Indicador de Riesgo para el Usuario |
|---|---|---|
| 1 | La víctima recibe un mensaje por Facebook de un contacto conocido con un enlace. | El enlace, aunque parezca de Facebook, puede tener un dominio ligeramente diferente. |
| 2 | Al hacer clic, es redirigido a un sitio web que imita la página de inicio de sesión de Facebook. | La URL en la barra del navegador no es la oficial de facebook.com. |
| 3 | La página falsa solicita el número de teléfono de la víctima para 'ver el contenido'. | Una página de fotos no debería necesitar tu número de WhatsApp para iniciar una vinculación. |
| 4 | WhatsApp genera un código de vinculación en el móvil de la víctima. | La notificación oficial de WhatsApp indica claramente que es para vincular un nuevo dispositivo. |
| 5 | La víctima introduce ese código en la página falsa, creyendo que es para ver una foto. | El atacante usa el código para vincular su propio navegador a la cuenta de WhatsApp de la víctima. |
Qué puede hacer el atacante
Cuando el atacante logra acceso a la cuenta de WhatsApp, el control va a ser total. Va a poder acceder al historial de conversaciones o, al menos, a una parte. También podría ver el contenido multimedia compartido, números de contactos y suplantar tu identidad. Básicamente, podría actuar como si fueras tú quien envía mensajes. A través de su dispositivo, verá en la pantalla tus conversaciones, como si fueras tú quien escribe o lee.
Un problema añadido, es que muchas víctimas desconocen que se ha vinculado su cuenta a otro dispositivo y que, en segundo plano, el atacante está leyendo todo. A partir de ese momento, podría espiar todas las conversaciones, lo que hace que la estafa cobre una mayor relevancia, también más a largo plazo. No solo es el problema actual, por ver un mensaje puntual, sino todo lo que puedas enviar o recibir en un futuro.
Desde RedesZone, te recomendamos que revises posibles dispositivos vinculados a tu cuenta de WhatsApp. Podrás ver si hay algo extraño y actuar lo antes posible. Para ello, tienes que entrar en el menú de arriba a la derecha y accedes a Dispositivos vinculados. Ahí verás la lista de dispositivos que has vinculado a tu cuenta, si los hubiera. Podrás ver cuándo ha sido la última vez que has accedido, el navegador o sistema operativo.
En caso de que veas algo extraño, es muy importante que revoques la vinculación lo antes posible y revises hasta qué punto han estado expuestos tus mensajes. Además, para evitar caer en la estafa que hemos hablado en este artículo, la de la campaña GhostPairing, es fundamental mantener el sentido común y no hacer clic, ni poner datos, a través de enlaces que te envíen por redes sociales, correo electrónico o el propio WhatsApp.
Ten en cuenta que WhatsApp es una plataforma que utilizan millones de personas en España, de todas las edades. Por ello, los piratas informáticos tienen una gran oportunidad de engañar a víctimas muy variadas, que no tienen experiencia en el uso de aplicaciones con seguridad y pueden caer en la trampa. Por tanto, es fundamental que informes y ayudes a tus familiares y amigos que puedan tener dificultades para detectar estafas de este tipo.