Cabecera-v2-web.jpg

Conocé más sobre los métodos empleados por ciberatacantes para el secuestro de cuentas de WhatsApp


ladron-whatsapp-640x336.jpg

Recientemente han aparecido varios reportes de personas cuyas cuentas de Whatsapp han sido "secuestradas", tanto a nivel nacional como internacional. Es decir, un ciberatacante ha registrado el número telefónico de la ví­ctima en la aplicación Whatsapp de otro SmartPhone, y como la aplicación de mensajería instantánea solo permite una sesión activa por SmartPhone, la víctima pierde el acceso a su cuenta.

¿Cómo ocurre esto?

En realidad, se trata de técnicas de ingeniería social, que aprovechan el mecanismo de verificación de la propia aplicación Whatsapp: El ciberatacante instala la aplicación Whatsapp en un SmartPhone y al momento de introducir el número de teléfono para esa cuenta, introduce el número de la ví­ctima a la que quiere "secuestrar" su sesión. Whatsapp enví­a un SMS de verificación al número de teléfono de la ví­ctima, pero el registro no se completará hasta tanto el cibercriminal haya introducido el código de verificación correcto que fuera enviado al teléfono de la víctima.

Los ciberatacantes emplean diversas técnicas, por ejemplo pueden hacerse pasar por funcionarios de una telefónica o el soporte técnico de la misma, o pueden hacerse pasar por un conocido, o puede prometer algún beneficio como por ejemplo la invitación a algún evento, una promoción o similar. Bajo esa excusa, le solicita a la víctima que le comparta el código que le va a llegar o que le llegó por SMS, por lo general. A veces le pide que le mande una captura de pantalla del código, a veces le pide que le dicte el código, o cualquier otro mecanismo que le permita conocer al criminal el código de verificación.

w222.png

Otras técnicas empleadas por ciberatacantes

  • Escaneo de código QR: Los ciberatacantes envían un enlace falso a las víctimas con promociones y/o artículos que pudieran ser de su interés, mencionando que para acceder a los beneficios citados deberán escanear el código QR a través de la aplicación de WhatsApp. Una vez que la víctima escanea el código QR muestra un mensaje de que accedieron a la promoción, y redirige al usuario víctima a otro sitio, mientras que el ciberatacante queda con una sesión abierta de la aplicación WhatsApp web de la víctima.
  • Acceso físico al dispositivo: Con acceso físico al dispositivo un atacante podría remover el chip del SmartPhone, y colocar el mismo chip en otro SmartPhone diferente, de esta manera tendría todo lo necesario para activar WhatsApp en el nuevo Smartphone, y dado el caso recuperar todos los mensajes, como así también obtener nuevos mensajes que se envíen a la cuenta afectada.

Cualquiera sea la técnica empleada, el ciberatacante podría obtener acceso a toda la información, contactos, imágenes y conversaciones disponibles en ella. Mientras que en algunos casos podría leer y enviar mensajes en su nombre, acceder a sus grupos, chantajear y pedir dinero a sus contactos, etc. Es más, para mantener el control de la cuenta, los ciberatacantes activan la autenticación de doble factor en la aplicación WhatsApp de las cuentas secuestradas que no la tenían configurada, lo que impide que la víctima recupere su cuenta.

¿Qué hacer si fuiste víctima del secuestro de cuenta en Whatsapp?

En el caso de ser una víctima del secuestro de la cuenta de Whatsapp, se debe primeramente bloquear la tarjeta SIM llamando a la operadora telefónica correspondiente, luego se debe enviar un correo electrónico a support@whatsapp.com solicitando la dar de baja la cuenta de Whatsapp, en el correo electrónico se debe detallar el número telefónico en formato internacional, por ejemplo +5959XXXXXXXX. Cómo último paso volver a activar la tarjeta SIM, proceder a registrarse en WhatsApp con el número de teléfono y verificar el número al ingresar el código de seis dígitos que ha sido enviado por SMS. Una vez ingresado el código la sesión del ciberatacante con acceso a tu cuenta se cerrará automáticamente. Es posible que Whatsapp solicite un código de verificación en dos pasos, en el caso de no poseer el mismo, se debe aguardar siete días para la verificación del número sin el código de verificación en dos pasos, para más información puede hacer click aquí.

Recomendaciones:

  • Habilite la autenticación de doble factor. Este es un código de seis dígitos que el propietario de WhatsApp crea y necesita ingresar cada vez que instale la aplicación en un SmartPhone nuevo. Para activarlo, ingresa a Ajustes > Cuenta > Verificación en dos pasos y sigue las indicaciones. Para más información puede hacer click aquí.
  • Solicite que su número sea eliminado de las listas de identificación de llamadas, como por ejemplo TrueCaller. Los estafadores utilizan estas listas para encontrar números de teléfono por nombre de usuario.
  • No conecte su SmartPhone a dispositivos USB desconocidos o de terceros.
  • No escanee códigos QR a través de la aplicación de Whatsapp, a menos que sea para su propio acceso a la aplicación de WhatsApp Web.
  • No pierda de vista su SmartPhone.


Referencias:


pie.png

CERT-PY | Centro de Respuestas a Incidentes Cibernéticos
Ministerio de Tecnologí­as de la Información y Comunicación (MITIC)

Avda. Gral. Santos c/ Concordia | Telefono: (595 21) 217-9000
República del Paraguay

80x15.png

Versión del Template 1.11