Una modalidad de estafa digital que permite tomar el control de cuentas de WhatsApp sin que la víctima entregue voluntariamente códigos o contraseñas comenzó a detectarse con mayor frecuencia en Rosario. Los delincuentes aprovechan buzones de voz con claves débiles para obtener el código de verificación y luego utilizan la cuenta para pedir dinero a familiares, amigos y otros contactos.
La maniobra es investigada por la División Cibercrimen Zona Sur de la Policía de Investigaciones (PDI) de Santa Fe. Pablo Bruno, jefe de esa dependencia, explicó que el método también se registra en otros puntos del país y que comenzó a aparecer en la ciudad hace alrededor de un año.
"Esta metodología está cambiando y evolucionando. Hace alrededor de un año que llegó y está cada vez más presente", señaló el investigador.
Cómo funciona el robo de la cuenta
El ataque puede comenzar sin que exista contacto entre los estafadores y la víctima. Los delincuentes instalan WhatsApp en otro dispositivo e intentan registrar allí el número que buscan apropiarse. Para completar el procedimiento, la aplicación solicita un código de verificación de seis dígitos que puede enviarse mediante SMS o una llamada telefónica.
Los ataques suelen realizarse durante la noche, cuando existen mayores posibilidades de que el titular de la línea no atienda. Si se solicita la verificación mediante llamada y esta termina en el correo de voz, el sistema automático puede dejar allí el código necesario para registrar la cuenta. WhatsApp reconoce oficialmente que el código puede quedar almacenado en el buzón cuando se utiliza la opción de verificación por llamada.
El paso siguiente consiste en intentar acceder de manera remota al buzón de voz. El problema aparece principalmente cuando el usuario nunca modificó la contraseña configurada originalmente por su compañía telefónica.
"Se meten en el buzón de voz de manera remota. Usualmente, si el usuario nunca la cambió, las claves predeterminadas son débiles", explicó Bruno.
Si consiguen escuchar el mensaje y recuperar el código, los atacantes pueden completar el registro de WhatsApp en su propio teléfono. La víctima puede descubrir el ataque recién cuando encuentra cerrada su sesión, pese a no haber abierto enlaces sospechosos ni compartido información.
Pedidos de dinero desde una cuenta verdadera
Una vez que controlan la cuenta, los estafadores buscan aprovechar rápidamente la identidad del titular. Pueden escribir a contactos y grupos, publicar estados ofreciendo dólares o solicitar transferencias mediante alguna excusa urgente.
La eficacia del engaño reside en que el pedido llega desde el WhatsApp auténtico de una persona conocida, y no desde un número desconocido. Los delincuentes intentan así obtener transferencias antes de que el verdadero propietario pueda recuperar la cuenta y advertir a sus contactos.
El acceso tampoco implica necesariamente que puedan consultar automáticamente todo el historial previo de conversaciones. Sin embargo, disponer de la cuenta y de sus grupos permite iniciar nuevos contactos haciéndose pasar por la víctima.
La barrera de la verificación en dos pasos
La principal protección adicional dentro de WhatsApp es la verificación en dos pasos. Esta función permite establecer un PIN personal de seis dígitos que es diferente del código utilizado para registrar el número.
De esta manera, aunque un delincuente consiga el código temporal mediante el buzón de voz, todavía necesitará conocer el PIN configurado por el usuario para completar el acceso. WhatsApp también permite asociar una dirección de correo electrónico al sistema de verificación para facilitar determinados procesos de recuperación.
Desde Cibercrimen recomiendan además desactivar el buzón de voz si no se utiliza o, en caso de mantenerlo activo, reemplazar cualquier contraseña predeterminada por una clave segura.
Para la PDI, la expansión de estas maniobras responde también a que requieren poca infraestructura y permiten realizar numerosos intentos en períodos breves. "Es una técnica de dinero rápido y relativamente segura porque es difícil de rastrear. No consume mucha logística y en un rato, con varios teléfonos, pueden atacar a muchas víctimas", sostuvo Bruno.
La particularidad del método es que el usuario puede perder su cuenta sin responder mensajes ni mantener una conversación con el estafador. En este caso, el punto de ingreso puede encontrarse en un servicio telefónico que permanece activo en segundo plano y cuya contraseña muchos usuarios nunca modificaron.
