¿Cómo pueden secuestrar tu cuenta de WhatsApp
con tu número de teléfono?

Para demostrar la importancia de activar la autenticación de dos pasos en WhatsApp, ESET realizó una prueba para ver si era posible secuestrar una cuenta con solo saber el número de teléfono asociado.

 

Después de que comprometieran el teléfono de Jeff Bezos mediante un video malicioso enviado a través de WhatsApp, probablemente muchos de ustedes se hayan puesto a pensar en la seguridad de esta aplicación y en la de su propio teléfono, y se pregunten también si puede ser comprometido con facilidad. Hay muchas herramientas, consejos y trucos para proteger de los ciberdelincuentes a los dos mil millones de usuarios de WhatsApp, pero la verdad es que, si un actor malintencionado está lo suficientemente dedicado, hay poco que podamos hacer más que protegernos de la mejor manera posible y esperar que los atacantes se muevan hacia blancos más desprotegidos.

Pero cuando se trata de WhatsApp, ¿hay algo más que podamos hacer para proteger nuestra cuenta? Los mensajes ya están cifrados, lo que significa que las personas encargadas de hacer cumplir la ley no pueden investigar esas conversaciones privadas directamente, pero ¿hay otra forma de acceder a las cuentas? La clave de cifrado de un mensaje de WhatsApp está presente en ambos dispositivos que se usan en la conversación, por lo que un atacante tendría que tener en sus manos uno de los dos dispositivos para acceder a los registros de las conversaciones.

Aquí es donde la mayoría de los lectores pueden presumir que acceden a sus dispositivos utilizando un PIN complejo o una contraseña biométrica. Sin embargo, ¿qué pasaría se pudiera tomar el control de la cuenta de alguien con solo conocer su número de teléfono? Esto es muy posible y aterradoramente fácil de llevar a cabo, pero hay formas en las que usted como usuario puede reducir el riesgo y evitar que esto suceda con su cuenta. Describiré cómo al final de esta publicación.

 

Entonces, ¿cuál es el problema?

 

Cuando compra un nuevo teléfono e instala todas sus aplicaciones y configuraciones existentes, lo que hace es restaurar una copia de seguridad realizada en el otro equipo, y para ello WhatsApp requiere que se envíe un código a un número de teléfono. Ese código (generalmente enviado al dispositivo en el que está instalando la aplicación) validará el teléfono y recuperará sus grupos y contactos. Si también tiene una copia de seguridad de los mensajes, aparecerán hasta la última vez que se realizó una copia de seguridad del dispositivo. Si no, los nombres de las personas y grupos en los que está participando se mostrarán sin los mensajes.

Aquí es donde noté una falla potencial. ¿Podría configurar la cuenta de WhatsApp de otra persona en un nuevo dispositivo simplemente tomando el código enviado al teléfono de la otra persona?

Decidí probar mi hipótesis con uno de mis colegas la semana pasada (que generalmente está en el extremo receptor de mis travesuras de ingeniería social, pero sigue estando feliz de participar). Nota: ¡No pruebe esto en el dispositivo de nadie que previamente no le haya otorgado permiso de manera explícita!

Recientemente, le mencioné en una de nuestras conversaciones que, en caso de que no lo hiciera, es recomendable realizar una copia de seguridad de los grupos y mensajes de WhatsApp, ya que, ante un incidente, probablemente no quisiera perderlos para siempre. Unos días después, usé un teléfono de respaldo que tengo y descargué la aplicación. Enseguida solicitó mi número de teléfono para verificar el dispositivo en el que se iba a instalar.

 

Podés leer el artículo completo en el siguiente enlace: 

¿Cómo pueden secuestrar tu cuenta de WhatsApp con tu número de teléfono?