El Instituto Nacional de Ciberseguridad (Incibe) de España confirmó un aumento inusual de casos de suplantación de cuentas de WhatsApp utilizadas para solicitar transferencias urgentes de dinero a familiares y amigos de las víctimas. Aunque el organismo no dispone de cifras exactas sobre el alcance del fraude, su técnica en ciberseguridad, Raquel Loma, declaró al diario que “este fraude tiene un impacto en la población más elevado de lo habitual”.
El ataque tiene una particularidad que lo distingue de otros fraudes digitales: la víctima no necesita pinchar ningún enlace, escanear un código QR ni descargar un archivo. Se trata de lo que en la jerga técnica se conoce como zero-click, un método mediante el cual el atacante accede a la cuenta sin que el usuario realice ninguna acción, lo que multiplica el efecto sorpresa.
PUBLICIDAD
A esto se suma que el pedido de dinero llega desde el perfil de una persona conocida, no de un desconocido, lo que reduce las sospechas de quien lo recibe.
La vulnerabilidad afecta a iPhone sin actualizar
Según explicó Loma a El País, los ciberdelincuentes explotan una falla de iOS en versiones anteriores a la 16.7.12. El único error de quienes sufren esta estafa es no tener actualizado el teléfono. Quienes mantienen al día tanto el sistema operativo como la aplicación de WhatsApp no corren riesgo, ya que ambas vulnerabilidades fueron resueltas por las compañías responsables.
El primer registro de este ciberataque se detectó en mayo en Italia, donde varias cuentas de WhatsApp vinculadas a iPhone con distintas versiones de iOS 16 fueron utilizadas sin autorización.
PUBLICIDAD
“Las víctimas descubrieron que, desde sus propias cuentas, se habían enviado mensajes a contactos, especialmente recientes, solicitando dinero”, detalló Loma en declaraciones al diario. Lo llamativo de esos casos fue que no aparecía ningún dispositivo desconocido en el apartado de dispositivos vinculados de las cuentas afectadas.
La investigación forense italiana planteó como explicación una explotación en cadena de dos vulnerabilidades, una en iOS y otra en WhatsApp. A diferencia de fraudes anteriores, el delincuente no necesita engañar a la víctima para que entregue voluntariamente el código de verificación de la aplicación, sino que aprovecha directamente las fallas técnicas del sistema.
Testimonios de víctimas de la estafa por WhatsApp
Óscar Collado vivió en carne propia este fraude cuando recibió un mensaje de su hija Vivianne, de 20 años, a través de WhatsApp, según el relato que el afectado compartió con El País. La joven le pedía un adelanto de 988 euros (1.148 dólares) porque ya había gastado el límite diario de su tarjeta y necesitaba realizar un pago urgente.
PUBLICIDAD
Cuando el padre intentó llamarla para preguntar los detalles, ella no contestó y luego respondió que estaba con gente y no quería hablar de dinero en voz alta.
Vivianne se despertó ese miércoles con varias llamadas perdidas de sus padres y de su novio. Los tres habían recibido mensajes suyos pidiendo dinero, pero esos textos no aparecían en el historial de chats de su propio teléfono. La joven utilizaba un iPhone 12 desactualizado porque tenía la memoria del dispositivo llena de fotografías.
David Arroyo Guardeño, científico del Grupo de Investigación en Ciberseguridad y Protección de la Privacidad del CSIC, explicó al diario el mecanismo por el cual las víctimas no ven los mensajes enviados en su nombre: el atacante opera a través de WhatsApp Web mediante dispositivos vinculados y utiliza la opción de eliminar el mensaje solo para el remitente.
PUBLICIDAD
Un caso similar afectó a Saúl M., profesor universitario de 48 años, cuyo WhatsApp fue vulnerado un martes reciente. Su madre, su novia y un amigo recibieron pedidos de dinero por montos de entre 850 y 980 euros sin que él pudiera advertirlo en su propio teléfono, ya que también utilizaba un iPhone antiguo y sin actualizar.
Durante la conversación telefónica que mantuvo con El País, el WhatsApp de Saúl siguió enviando mensajes fraudulentos, entre ellos uno recibido por el propio periodista del diario, en el que se solicitaban 980 euros para la compra de un móvil.
Los pasos recomendados para recuperar el control de la cuenta
Ante la sospecha de haber sido víctima de este fraude, Incibe recomienda avisar de inmediato a los contactos más cercanos —preferiblemente por llamada telefónica, mensaje de texto o correo electrónico— para advertir que los mensajes enviados desde WhatsApp podrían no ser legítimos. Si alguien ya realizó una transferencia, debe solicitar al banco la revisión o cancelación de la operación e indicar que se trata de un fraude.
PUBLICIDAD
El siguiente paso consiste en ingresar a la cuenta de WhatsApp, revisar el listado de dispositivos vinculados y cerrar cualquier sesión que no se reconozca. También se aconseja desinstalar y reinstalar la aplicación para reiniciar el proceso de registro con un único dispositivo, además de activar la verificación en dos pasos una vez recuperado el control.
Incibe recomienda conservar capturas de pantalla, mensajes y datos de las transferencias como respaldo, y presentar una denuncia policial si hubo perjuicio económico.
Collado siguió ese procedimiento el mismo día en que descubrió el hackeo: denunció el hecho y contactó a Incibe, que le indicó los pasos para restaurar la cuenta de su hija. Tras el episodio, Vivianne decidió mantener actualizado su teléfono, aunque eso implicara borrar parte de sus fotografías.
PUBLICIDAD
PUBLICIDAD