Los ciberdelincuentes están constantemente buscando nuevas maneras de concretar estafas a través de diferentes plataformas digitales, y una de las que pueden aprovechar para esto es WhatsApp, la aplicación de mensajería de Meta (anteriormente Facebook) por la cual millones de usuarios intercambian todo tipo de datos.
Para llevar a cabo un engaño y robar información sensible, se utilizan desde cadenas de mensajes en las que se promete un premio hasta métodos pensados para robar cuentas, y una buena forma de evitar esto último es activar la verificación en dos pasos, un método disponible desde hace tiempo en muchas aplicaciones para reforzar la seguridad mediante una clave adicional.
Sin embargo, analistas de la compañía de seguridad informática Kaspersky descubrieron un esquema basado en ingeniería social y una solicitud al área de soporte de la aplicación. Este método, que resulta uno de los más populares para proteger mejor nuestras cuentas, también está siendo vulnerado.
¿Cómo se hackea la verificación en dos pasos?
El fraude comienza con una llamada a la víctima, donde los delincuentes se hacen pasar por representantes de alguna institución sanitaria y piden realizar una encuesta sobre covid-19. Al finalizar las preguntas, el estafador le pide a la víctima compartir el código que le será enviado a su celular para registrar su participación en la encuesta y evitar que la institución lo vuelva a llamar.
Toda la puesta en escena tiene un objetivo claro: hacer que la víctima comparta el código de seis números que se envía por SMS, el cual en realidad es el código que WhatsApp envía para poder activar la aplicación en un teléfono nuevo.
En caso de que la víctima caiga en el engaño y comparta el código, quien está del otro lado podrá abrir su cuenta de WhatsApp en otro dispositivo, y la continuidad de la estafa depende de si la víctima tiene activada o no la verificación en dos pasos.
Si la autenticación de doble factor está habilitada, el estafador se pondrá nuevamente en contacto con la víctima, pero esta vez fingirá ser parte del equipo de soporte de WhatsApp con el objetivo de reportarle al usuario una actividad maliciosa en su cuenta.
A partir de este punto la víctima recibe instrucciones para revisar su correo electrónico y buscar el mensaje con el enlace que le permitirá registrarse de nuevo en la doble autenticación. Sin embargo, al hacer clic en dicho enlace, la protección de doble factor se deshabilita y le abre paso a los delincuentes para robar la cuenta.
Fabio Assolini, investigador senior de seguridad en Kaspersky, comentó que junto a otros especialistas quedaron sorprendidos al ver que la víctima recibe un correo legítimo de WhatsApp titulado "Restablecimiento de la verificación de dos pasos", por lo que advirtió que la ingeniería social de los delincuentes alcanzó un nuevo nivel.
Otra de las formas utilizadas por hackers para robar cuentas de WhatsApp es a través de falsos mensajes de actualización de la app que también solicitan el código de autenticación de seis dígitos. Estos mensajes incluyen el logo de la empresa como imagen de contacto y aparentan venir de un sistema automatizado.
Cómo recuperar una cuenta de WhatsApp
En caso de haber sido víctima de una estafa de este tipo, lo que hay que hacer es desinstalar la app y volver a descargarla. Luego, se debe seguir el proceso de autenticación colocando el número de celular y el nuevo código.
No obstante, es importante remarcar que para hacer esto deberán transcurrir seis horas desde que se envió el último número de verificación, por lo que los ciberdelincuentes podrán aprovechar ese lapso de tiempo para intentar concretar alguna otra estafa.
