Estafas: una nueva forma de hackear WhatsApp hace pie en Rosario

Un novedoso método para hackear WhatsApp se multiplica en Rosario. Los estafadores aprovechan las claves débiles del buzón de voz de las víctimas para obtener el código de verificación y tomar el control de las cuentas. Luego le piden dinero a sus conocidos haciéndose pasar por el titular del número.

El teléfono está sobre la mesa y su dueño duerme. No hizo clic en ningún enlace, no respondió un mensaje sospechoso ni compartió un código de seguridad. Sin embargo, durante la madrugada alguien consigue registrar su cuenta de WhatsApp en otro dispositivo. Para cuando se despierta, ya perdió el acceso.

La maniobra parece imposible, pero aprovecha una puerta que muchos usuarios olvidaron que todavía existe: el buzón de voz del teléfono. La modalidad ya es investigada por la Policía de Investigaciones (PDI) de Santa Fe y, según explicaron desde la División Cibercrimen Zona Sur, se registra también en otras partes del país pero llegó a la ciudad no hace mucho tiempo.

“Esta metodología está cambiando y evolucionando. Hace alrededor de un año que llegó y está cada vez más presento”, explicó a La Capital Pablo Bruno, jefe de la División Cibercrimen Zona Sur de la PDI, dependiente del Ministerio de Justicia y Seguridad provincial.

>> Leer más: El Banco Central advirtió sobre nuevas estafas virtuales: recomendaciones y cómo hacer reclamos

Robar un WhatsApp

El ataque comienza sin necesidad de establecer contacto con la víctima. Los delincuentes instalan WhatsApp en otro dispositivo e intentan registrar allí el número de teléfono que quieren robar. Para completar ese proceso, la app de mensajería exige un código de verificación de seis dígitos y ofrece distintas vías para recibirlo. Una de ellas es una llamada telefónica automatizada.

Según explicó Bruno, los atacantes buscan deliberadamente horarios nocturnos, cuando existen mayores posibilidades de que el dueño de la línea no atienda. Solicitan entonces que WhatsApp envíe el código mediante una llamada. Si la llamada es derivada al buzón de voz, el sistema automático puede dejar allí el mensaje con el código. Y es en ese punto donde aparece la vulnerabilidad que explotan los delincuentes.

“Se meten en el buzón de voz de manera remota. Usualmente, si el usuario nunca la cambió, las claves predeterminadas son débiles”, explicó Bruno. El especialista describió estos sistemas como infraestructuras antiguas en las que permanecen fallas que los atacantes aprendieron a aprovechar.

Una vez dentro del buzón, escuchan el mensaje automático y obtienen el código de autenticación de un solo uso generado por WhatsApp e intentan completar el registro de la cuenta en su propio teléfono. La víctima puede entonces despertarse y encontrarse con WhatsApp cerrado en su dispositivo sin haber entregado voluntariamente ninguna contraseña.

Pedir dinero

El objetivo suele ser económico y el tiempo juega un papel central. Los delincuentes pueden utilizar la identidad de la víctima para dirigirse a sus contactos y grupos. Una estrategia habitual consiste en publicar estados ofreciendo dólares o enviar mensajes masivos solicitando transferencias por montos relativamente bajos y con alguna excusa urgente.

La lógica busca explotar la confianza. El mensaje ya no llega desde un número desconocido sino desde el WhatsApp auténtico de un familiar, amigo, compañero de trabajo o conocido. El dinero es derivado rápidamente hacia las denominadas cuentas mula, utilizadas para recibir y mover los fondos antes de que la víctima pueda reaccionar.

Bruno explicó que detrás de esas cuentas pueden existir otras personas que también fueron víctimas de delitos, identidades obtenidas mediante documentación robada o personas que prestan sus datos a cambio de dinero para la apertura de billeteras virtuales.

El especialista aclaró además un punto importante: apoderarse de la cuenta no significa necesariamente obtener automáticamente el historial anterior de conversaciones. Las copias de seguridad cuentan con mecanismos adicionales de protección. Sin embargo, el acceso a la cuenta ya ofrece herramientas suficientes para intentar nuevas estafas contra terceros: pueden ver los grupos en los que está la víctima y escribirle a esos contactos.

>> Leer más: Cómo saber si te tienen bloqueado en WhatsApp

La segunda clave

Hay, sin embargo, una barrera adicional que puede cambiar por completo el resultado: la verificación en dos pasos de WhatsApp. Esta función permite establecer un PIN personal de seis dígitos que WhatsApp solicitará ante intentos de volver a registrar la cuenta. Por eso, aun cuando un delincuente consiga interceptar el código temporal enviado por llamada, todavía necesita conocer ese segundo PIN.

Según Bruno, cuando la víctima no tiene activada esta protección, el atacante puede apoderarse de la cuenta y luego configurar su propia verificación en dos pasos y modificar el correo electrónico asociado, complicando considerablemente la recuperación.

Cuando el PIN ya estaba configurado, el escenario es diferente. El intento puede dejar temporalmente al verdadero usuario afuera de WhatsApp, pero el delincuente tampoco puede completar fácilmente el acceso desde su dispositivo.

>> Leer más: WhatsApp: cómo agregar el gmail para recuperar la cuenta en casos de emergencia

Tres precauciones

¿Cómo evitar el robo de WhatsApp mediante el buzón de voz? Tres medidas pequeñas pueden cerrar buena parte de la puerta que explota esta modalidad: desactivar o proteger el buzón de voz, activar el PIN de WhatsApp y tener verificado el correo electrónico de recuperación.

1) La principal recomendación de la División Cibercrimen es sencilla: si el buzón de voz no se utiliza, pedirle a la empresa telefónica que lo desactive completamente a los números *555 o *2747. Existen códigos que permiten modificar determinados desvíos desde el propio teléfono: se puede marcar *#62# y luego apretar el botón de llamar (código MMI), lo que verifica el desvío de llamadas. O también marcar el código ##002# para desactivar el buzón de voz.

Sin embargo, su funcionamiento depende del operador, del sistema operativo del dispositivo (Android o iOS) y de la configuración de cada línea. Por eso, la forma más segura de comprobar que el servicio quedó efectivamente deshabilitado es hacerlo directamente con la compañía telefónica.

Si el usuario necesita conservar el buzón, Bruno recomienda cambiar inmediatamente su contraseña predeterminada por una clave robusta. Deben evitarse secuencias simples, fechas de cumpleaños, números de documento, domicilios u otros datos fáciles de descubrir. Además, si una línea fue dada de baja y posteriormente reactivada, algunas configuraciones pueden restablecerse, por lo que conviene volver a revisar el estado del buzón.

2) La segunda medida es indispensable: activar la verificación en dos pasos dentro de WhatsApp. Se encuentra en Configuración, Cuenta, Verificación en dos pasos. Allí se establece un PIN de seis dígitos independiente del código temporal que llega por SMS o llamada.

3) También es recomendable asociar y verificar una dirección de correo electrónico segura, que puede convertirse en una vía fundamental para recuperar la cuenta.

>> Leer más: Ola de bloqueos en WhatsApp: cómo evitar que la plataforma te cierre la cuenta

"Call center" de estafas

Para la PDI, el crecimiento de estas maniobras está relacionado con una ecuación particularmente atractiva para las organizaciones criminales: requieren relativamente poca infraestructura, permiten atacar muchas líneas simultáneamente y buscan obtener dinero en períodos muy cortos.

“Es una técnica de dinero rápido y relativamente segura porque es difícil de rastrear. No consume mucha logística y en un rato, con varios teléfonos, pueden atacar a muchas víctimas”, señaló Bruno.

Parte de las investigaciones conduce además hacia personas ubicadas fuera de la jurisdicción donde ocurrió la estafa y, en algunos casos, hacia organizaciones que operan desde establecimientos penitenciarios. El investigador describió algunas de esas estructuras como verdaderos “call centers” dedicados a este tipo de delitos, muchas veces desde las cárceles.

A eso se suma un problema conocido en la investigación criminal: la cifra negra. Muchas personas que pierden montos pequeños, recuperan rápidamente sus cuentas o sienten vergüenza por haber sido engañadas directamente no realizan la denuncia.

>> Leer más: EPE alerta por estafas y advierte sobre publicidades engañosas en redes y Whatsapp

Otra modalidad

El robo mediante el buzón de voz no es la única metodología que actualmente sigue la policía. La PDI también detectó estafas que comienzan con una llamada de una persona que se identifica como representante de un servicio técnico, una empresa, una plataforma de comercio electrónico o incluso como interesado en una compra publicada por la propia víctima.

Durante la conversación, el estafador propone realizar una videollamada y consigue que la persona active la función “compartir pantalla” de su teléfono. Desde ese momento puede observar en tiempo real todo lo que aparece en el dispositivo.

Mediante distintas excusas guía a la víctima para que abra aplicaciones, introduzca contraseñas o realice procedimientos de seguridad. Si durante ese proceso aparece un código de WhatsApp, el delincuente también puede verlo.

Es una modalidad más compleja y que requiere interacción con la víctima, pero demuestra cómo las técnicas de ingeniería social evolucionan a medida que las plataformas incorporan nuevas barreras de seguridad. Incluso, una vez que se realizó toda la sustracción de la información, inducen a la víctima a hacer un reseteo de fábrica del aparato para borrar todas sus huellas.

Pero lo cierto es que en la modalidad de ataques que más está creciendo, la víctima puede no tocar un enlace, no responder un mensaje y ni siquiera estar despierta. A veces, la vulnerabilidad está en un servicio telefónico que lleva años funcionando en segundo plano y al que casi nadie recuerda haberle puesto una contraseña.