Un atacante no puede ingresar de forma directa a un celular ni leer mensajes de WhatsApp solo por conocer el número, según explica David González, investigador de ESET Latinoamérica. El riesgo aparece cuando ese dato se combina con otra información personal filtrada o se usa como punto de partida para un engaño mayor.
PUBLICIDAD
Cómo se usa el número de celular para engañar
El número de teléfono puede ser la puerta de entrada a otros datos personales: nombre, perfiles en redes sociales o información expuesta en alguna filtración previa. Con ese material, un atacante arma un perfil más completo de la víctima para preparar un fraude más creíble.
Una de las tácticas más frecuentes es el smishing: mensajes de phishing por SMS que se hacen pasar por bancos, empresas de paquetería o agencias gubernamentales. Suelen incluir un enlace a un formulario falso o piden llamar a una línea de soporte fraudulenta.
El número de teléfono por sí solo no permite acceder a una cuenta: un ciberdelincuente necesita además un dato como el correo electrónico o una contraseña filtrada. El mayor riesgo surge cuando un servicio usa el SMS como único método de recuperación de contraseña y el atacante logra interceptar ese mensaje.
PUBLICIDAD
También existe la suplantación del identificador de llamadas, que permite que un mensaje o llamada parezca provenir del número real de la víctima. Esta técnica se volvió más accesible con avances en inteligencia artificial, lo que facilita que los estafadores pidan transferencias de dinero o códigos de verificación a los contactos de esa persona haciéndose pasar por ella.
Cómo el intercambio de SIM es la amenaza más grave
El intercambio de SIM, conocido como SIM swapping, ocurre cuando un atacante convence al operador de telefonía de transferir el número de la víctima a una tarjeta SIM que él controla. A partir de ese momento, recibe todas las llamadas y mensajes dirigidos a ese número, incluidos los códigos de verificación por SMS de correo, banca o redes sociales.
Para lograrlo, el atacante reúne antes datos como nombre, dirección o los últimos cuatro dígitos del número de seguridad social a partir de filtraciones previas o perfiles públicos, y luego se hace pasar por el titular ante el operador. Una variante, llamada fraude de portabilidad, transfiere el número a otra compañía mediante un proceso similar.
PUBLICIDAD
WhatsApp advierte en su centro de ayuda sobre una variante cotidiana de este riesgo: alguien recibe un código de verificación no solicitado y, segundos después, otra persona escribe diciendo que fue enviado “por error” y pide que se lo reenvíe. El código no llegó por equivocación, sino porque alguien intenta apoderarse de esa cuenta.
Cómo protegerse de de este tipo de ataques
Entre las recomendaciones compartidas por ESET figuran no compartir nunca códigos de verificación, no entregar datos personales en llamadas o mensajes no solicitados, verificar por canales oficiales cualquier pedido extraño de información y activar el doble factor de autenticación en todas las cuentas posibles.
A nivel de operador, conviene establecer un PIN para la tarjeta SIM, usar un código de acceso robusto para la cuenta del portal del operador y activar las opciones de bloqueo de número o congelación de portabilidad que ofrecen la mayoría de las compañías.
PUBLICIDAD
Para la autenticación de dos factores, se recomienda reemplazar el SMS por aplicaciones como Google Authenticator, Microsoft Authenticator o Authy, o bien por una llave de seguridad física, ya que ambas opciones resultan inmunes a un intercambio de SIM. También se aconseja revisar qué información personal está expuesta públicamente y evitar la reutilización de contraseñas entre distintos servicios.
PUBLICIDAD