(+34) 910 42 42 93 [email protected]

Hacía tiempo que quería traer a esta página una guía para explicar cómo funciona el robo de cuentas en WhatsApp, y además saber para qué se está utilizando, y justo hace unos días revisando el timeline de Twitter, me saltó el caso de una víctima.

Vamos a aprovechar, por tanto, los pantallazos que colgó en su perfil para explicar cómo funciona el ataque y cómo en apenas unas horas ya habían conseguido robar a varios de sus conocidos.

Pero antes, dejo por aquí el hilo completo:

El gancho

¿Cómo funciona el fraude? Pues como en la mayoría de casos de este tipo, mediante un ataque de ingeniería social.

robo whatsapp

Cómo puedes ver en la imagen que acompaña este texto, los cibercriminales se hacen pasar por el supuesto departamento técnico de WhatsApp, alertando a la víctima de que ha sido víctima de un intento de activación de su cuenta en un dispositivo nuevo, y que para confirmar si somos o no nosotros, debemos contestar a este mensaje.

El soporte técnico de WhatsApp informa: su cuenta de WhatsApp ha sido solicitada en un nuevo dispositivo móvil, para confirmar que fue usted quien realizó la operación diga * SI * si su respuesta es negativa debe ser * NO *, si no recibe una pronta respuesta, su cuenta de WhatsApp se eliminará por su seguridad y la de otros usuarios. Para más información contactenos https://www.whatsapp.com

En este mensaje ya podemos ver varias cosas que deberían llamarnos la atención:

  • Lo envía un número de teléfono cualquiera: En este caso, un particular de Colombia. Sobra decir que si WhatsApp enviase alguna notificación de este tipo, lo haría con el sistema interno de notificaciones, no por un chat. Y mucho menos desde un teléfono particular.
  • Faltas de ortografía y gramática: En el texto hay una palabra a la que le falta un acento, y además, todo parece escrito sin criterio gramatical de ningún tipo. Algo muy habitual viniendo de cibercriminales.
  • Sentimiento de Urgencia: Un clásico de cualquier timo. O haces esto rápidamente o te cerramos la cuenta. Algo que en la realidad jamás pasaría.

Por supuesto, la víctima les responde a los cibercriminales, que acto y seguido le vuelven a escribir para avisarle de que van a enviarle un código de autenticación que debe devolverles para en efecto parar la eliminación de la cuenta.

En ese momento es cuando los cibercriminales, en efecto, intentan activar la cuenta de la víctima en otro dispositivo. Y la víctima lo que va a recibir es el SMS oficial de WhatsApp pidiendo confirmación para hacer el cambio de dispositivo.

Es decir, que lo que está haciendo la víctima es permitirles a los cibercriminales hacer justo lo que hace tan solo un momento antes estaba intentando evitar…

Sobra decir que en el momento en que les entregues el código de autenticación, ellos entrarán en tu cuenta y tendrán ya el control absoluto de la misma.

La única opción que le queda a la víctima es pedir verificación de identidad a WhatsApp.

¿El problema? Pues que esta verificación tarda alrededor de 12 horas en poder pedirse tras haber activado un nuevo dispositivo.

Y en ese medio día, como te podrás imaginar, los cibercriminales pasan a la segunda fase.

¿El objetivo? Pedir dinero en tu nombre a amigos y familiares

Una vez ya con la cuenta en su poder, te expulsan de la cuenta, y empiezan a escribirle a todos los contactos que vean que has mantenido conversación recientemente para pedirles dinero.

robo dinero whatsapp

Por aquí tienes un ejemplo de los mensajes que enviarán en tu nombre a los conocidos.

Básicamente, se aprovecharán de la confianza que tienen tus contactos en ti para pedirles, esgrimiendo cualquier excusa, un dinero que deben enviar a alguna cuenta.

Eso sí, aseguran que se lo vas a devolver en apenas una hora.

Por supuesto, esto no va a ocurrir nunca.

Sobre las cuentas, utilizan como cabría esperar varios servicios de terceros con cuentas distintas, buscando en la medida de lo posible que si les bloquean alguna de estas cuentas, tengan el dinero lo suficientemente repartido como para que suponga un gran problema.

A partir de entonces, entran en juego las mismas dinámicas de blanqueo de capitales que ya vimos en otros timos y campañas de phishing, incluyendo o no carteras de criptomonedas.

En apenas medio día, a esta víctima, que sepa, le han conseguido estafar a al menos dos contactos. Y digo al menos, ya que aunque estuvo avisando uno a uno a todos los que se le ocurrió, alertó a WhatsApp, a Facebook y a la policía, quizás en los siguientes días descubra que también había otras víctimas.

De hecho, lo que sí sabe ya a ciencia cierta es que algunos de sus contactos de agenda han recibido el mismo ataque, ya que entre las acciones de este grupo de cibercriminales está la de descargar todos los contactos e intentar en próximos días engañarles para seguir estafando a más y más víctimas.

¿Qué podemos hacer para no caer en este tipo de timos?

Pues lo primero, como te habrás imaginado, es saber identificarlos:

  • Como te decía al comienzo de la pieza, WhatsApp (o Facebook, o cualquier gran compañía) no te va a escribir con un número personal. De hecho, en casos como este, que hablamos de aplicaciones móviles, si te tiene que notificar… puede utilizar el sistema de notificaciones push, sin abrirte un nuevo chat.
  • Además, JAMÁS te van a pedir que confirmes tu identidad. Maldita sea, ellos son los administradores del servicio. Ya saben que tú eres tú… Y mucho menos te van a enviar un código… para que tú se lo devuelvas…
  • Por último, y no menos importante, está el hecho de que si un contacto tuyo de pronto te pide dinero, lo mejor es que lo contactes por otro canal, por ejemplo, vía llamada, para confirmar que en efecto es quien dice ser.

Solo aplicando estos tres puntos (recalco, en un timo vía WhatsApp, pero también con una operadora de telecomunicaciones o nuestro proveedor bancario) ya habríamos evitado ser víctimas directas e indirectas de timos como este.

Mucho cuidado…

Otros timos que deberías conocer:

En CyberBrainers ayudamos a empresas y usuarios a prevenir, monitorizar y minimizar los daños de un ataque informático o una crisis reputacional. Si estás en esta situación, o si quieres evitar estarlo el día de mañana, escríbenos y te preparamos una serie de acciones para remediarlo.

Pablo F. Iglesias
Pablo F. Iglesias

Pablo F. Iglesias es Consultor de Presencia Digital y Reputación Online, director de la Consultora CyberBrainers, escritor del libro de ciencia ficción «25+1 Relatos Distópicos» y la colección de fantasía épica «Memorias de Árganon», un hacker peligroso, y un comilón nato 🙂