GhostPairing, la trampa sin clicks que suplanta cuentas de WhatsApp y le pide dinero a tus contactos

La popular aplicación de mensajería WhatsApp se ha convertido en una de las principales herramientas en los modus operandi de los delincuentes para extorsionar a las personas.

Anteriormente, era el robo de una cuenta a través de una llamada telefónica e ingresando a un enlace, código QR o descargando archivos, pero los últimos reportes señala que ya ni siquiera es necesario y ahora se hacen pasar por un familiar cercano a través de WhatsApp sin que haya rastro en la cuenta afectada.

¿CÓMO ES EL NUEVO MODUS OPERANDI DE ESTAFA EN WHATSAPP?

Aunque se han reportado casos en España, este método no tardará en llegar a México, luego que el Instituto Nacional de Ciberseguridad de España (INCIBE) identificó este método como GhostPairing.

Se trata de una técnica de ingeniería social que permite vincular una cuenta de WhatsApp a un dispositivo controlado por un atacante sin que el propietario pierda el acceso a su cuenta y así aprovechar la confianza de sus contactos para empezar a pedir dinero que parece provenir de alguien conocido.

El engaño comienza con un mensaje aparentemente normal enviado desde la cuenta de WhatsApp de un conocido que previamente fue comprometida por el atacante, este puede incluir un enlace acompañado de un pretexto para despertar la curiosidad de la víctima.

A lo que el usuario puede ser dirigido a una página fraudulenta que imita servicios conocidos, por lo que a través de diferentes pasos los delincuentes buscan conseguir que la cuenta quede vinculado a otro dispositivo.

NUEVO MODUS OPERANDI SIN CLICKS

De acuerdo con el medio de comunicación El País, la nueva vulneración se le conoce como zero-click: el atacante accede a la cuenta de la víctima sin que esta haga nada. Y el único error de la víctima es no tener actualizado su sistema operativo en el teléfono.

El diario informa que los atacantes explotan una vulnerabilidad en iOS, el sistema operativo de los iPhone, anterior a la versión 16.7.12.

Situación común en los usuarios con teléfonos móviles con almacenamientos llenos y con algún tiempo sin actualizar.

No obstante, la duda continua: ¿cómo no dejan rastro en la cuenta afectada?

HACKEO SIN RASTRO

INCIBE señala que una vez intervenida la cuenta, a través del emparejamiento, el atacante puede acceder a conversaciones y archivos de la cuenta y enviar mensajes haciéndose pasar por su propietario.

Los delincuentes aprovechar la confianza de familiares y amigos para solicitarles dinero en nombre de la víctima.

A diferencia de otros modus operandi, donde el usuario se queda sin acceso a WhatsApp, en este el propietario puede seguir entrando y utilizando la aplicación, es más ni siquiera se da cuenta de los mensajes falsos.

Lo que retrasa la detección del fraude, ya que la víctima continúa conversando con sus contactos y el dispositivo adicional del delincuente puede permanecer vinculado a la cuenta y ser utilizado para acceder a información o enviar mensajes.

Además, El País señalan que se aprovechan de una herramienta de WhatsApp para sus usuarios, utilizan la opción ‘Eliminar para mí’, por lo que al estar sincronizado el dispositivo de la víctima y el del atacante, se borra en el celular de la víctima. Aunado, lo llamativo de lo relatado por el medio de comunicación es que el dispositivo desconocido no aparecía en el apartado de “Dispositivos vinculados”.

¿QUÉ HACER SI HACKEARON MI CUENTA DE WHATSAPP?

Si sospechas que alguien está utilizando tu cuenta para contactar a tus familiares o amigos, lo primero es avisarles por un medio alternativo para evitar que alguno de ellos envíe dinero, haga transferencias o tramiten préstamos a los estafadores.

Si un familiar o amigo te pide dinero, confirma la situación por una llamada telefónica u otro medio distinto a WhatsApp antes de realizar cualquier operación y no realices transferencias de inmediato.

Es recomendable revisar periódicamente la sección “Dispositivos vinculados” de WhatsApp. Si aparece un equipo que no reconoces, puedes cerrar su sesión.

Así como que no compartas códigos de verificación, desconfiar de mensajes que exijan actuar con urgencia y comprobar la identidad de quien solicita dinero mediante otro canal.

También se aconseja activar la verificación en dos pasos en redes sociales y plataformas, evitar enlaces sospechosos y mantener actualizadas las aplicaciones y los dispositivos.