Los ciberdelincuentes están robando cuentas de WhatsApp al asociar un número a otro celular y obtener la clave de verificación que llega por SMS. Desde Eset, una compañía especializada en detección proactiva de amenazas, explicaron cómo se lleva a cabo el robo y por qué la autenticación en dos pasos es la mejor forma de prevenirlo.

El robo de cuentas de WhatsApp es cada vez más común. Los estafadores primero abren la aplicación en otro teléfono móvil con el número de la víctima, a la que luego buscan engañar mediante técnicas de ingeniería social para obtener el código de verificación.

Una vez que obtienen el código, acceden a la cuenta y toman el control. En este punto, la única forma de evitar el robo es tener activada la autenticación en dos pasos. Por eso, desde Eset recomiendan tener siempre esta opción activada en todas las cuentas que lo permitan. Una vez que roban la cuenta, se comunican en nombre de la víctima con sus contactos y realizan otros tipos de estafas, como solicitar dinero.

"El robo de cuentas de WhatsApp no es algo nuevo, de hecho, es un flagelo que azota cada vez más a América Latina. El ejemplo de México es paradigmático: en los dos primeros meses de 2024, el secuestro de cuentas de WhatsApp creció más del 650% comparándolo con los mismos meses del año anterior. Pero no es el único", comentó Fabiana Ramírez, investigadora de seguridad informática de Eset Latinoamérica, en un comunicado enviado a iProfesional.

Robos de cuentas de WhatsApp en América Latina

En Colombia, los estafadores enviaban mensajes a través de WhatsApp, haciéndose pasar por soporte técnico de la app para obtener el código de verificación de seis dígitos y robar la cuenta. Si la persona enviaba dicha clave, el estafador podía tomar el control de la cuenta y acceder a sus contactos y parte del historial de conversaciones.

En Argentina, durante la pandemia del coronavirus, utilizaron como excusa los turnos de vacunación por el Covid-19: se registraron denuncias de personas que alertaban ser contactadas por un teléfono con la imagen del Ministerio de Salud bonaerense. Los estafadores solicitaban a la víctima que les envíe un código de seis dígitos que recibiría a través de SMS. Supuestamente, este código era para acceder al turno de vacunación; sin embargo, era el código que envía WhatsApp al número de teléfono asociado a la app para corroborar que es el verdadero propietario de la línea quien está intentando abrir una cuenta de WhatsApp en otro dispositivo.

En Honduras circuló una estafa en la que se ofrecían dólares a un precio inferior al autorizado por el Banco Central del país. El mensaje, enviado por un número de teléfono de algún conocido que ya había sido hackeado previamente, hacía que caer en la trampa fuera mucho más fácil.

Consejos para prevenir ataques

En primer lugar, se debe desactivar la vista previa de los mensajes SMS. Cuando se usa la verificación en dos pasos (también conocida como doble factor de autenticación) sin una aplicación de autenticación, los códigos tienden a ser enviados por SMS, pero si se pueden ver en una pantalla bloqueada, no funcionan como capa adicional de seguridad si el usuario no está atento a su teléfono móvil.

En segundo lugar, nunca se debe perder de vista el teléfono móvil o dispositivo. Muchas personas se quedan dormidas en el tren con sus teléfonos móviles a la vista o, incluso, al ir al baño en restaurantes, dejan sus teléfonos móviles rodeados de extraños o en sus lugares de trabajo.

Para algunos dispositivos móviles también está disponible la opción de Passkeys, que sustituye la clave de verificación por SMS por la huella dactilar, la cara o el PIN del celular.

Finalmente, la mejor forma de proteger una cuenta es activar la verificación en dos pasos en WhatsApp, ya que es simple de configurar y evita que este tipo de ataques tenga éxito.

El paso a paso:

1. Con la aplicación abierta, ir a Ajustes/Cuenta/Verificación en dos pasos y hacer clic en Activar. Luego, ingresar un código de seis dígitos y memorizarlo.
2. A continuación, ingresar una dirección de correo electrónico como capa de seguridad adicional.
3. Finalmente, se verá la confirmación de que la verificación en dos pasos está configurada en el teléfono móvil, lo que significa que será mucho más difícil para alguien secuestrar la cuenta o transferir los mensajes a otro dispositivo.

Una vez configurada, y como una forma de ayudar a recordar el número, cuando se abra WhatsApp, de manera aleatoria, la aplicación pedirá ingresar el PIN. No será cada vez que se abra, por lo que no debería ser un inconveniente.

Utilizá copias de seguridad cifradas

WhatsApp permite hacer una copia de seguridad de tus chats y datos como una forma de mover toda tu información a un nuevo teléfono móvil. Estas copias de seguridad funcionan almacenando tus datos en Google Drive o iCloud de Apple, según el sistema operativo que uses. Las copias de seguridad pueden ser útiles si te mudás a un teléfono nuevo o perdés tu dispositivo anterior.

Si vas a utilizar las copias de seguridad de WhatsApp, debés utilizar la versión cifrada de extremo a extremo. En WhatsApp, debés ir a Configuración, Chats, Copia de seguridad de chat y luego, una vez que hayas activado las copias de seguridad, tocar Copia de seguridad cifrada de extremo a extremo y activar la opción.

Esta copia de seguridad requiere una contraseña separada, que idealmente deberías crear y almacenar en un administrador de contraseñas. Si perdés esta contraseña, no podrás acceder a tu copia de seguridad cifrada.