"¿Podrías votar por Eliska?" El mensaje inocente que puede robarte el WhatsApp
Si estos días uno de tus contactos quiere pedirte un favorcito por WhatsApp, mejor que le digas: gracias pero no, gracias. Cuando alguien nos pide dinero es fácil desconfiar, incluso aunque se haga pasar por nuestro hijo y supuestamente su teléfono se haya roto (que no tengas descendencia simplifica mucho el asunto), pero cuando lo que quiere es algo tan sencillo, rápido y a priori inocente como un voto para un concurso de baile, la cosa cambia.
En ese momento una frase surca mi mente ("bah, chica, si no cuesta nada") sugiriéndome perder ese minuto en votar, menos mal que ser una perezosa juega a mi favor en estos menesteres, pero soy consciente de que no todo el mundo es tan malqueda, especialmente porque el mensaje llega desde uno de tus contactos, que bien puede ser tu amiga del alma. Además de hacer feliz a una criatura y su progenitor, promete una clase de baile gratis. Y lo haces.
Un enlace que no es lo que dice ser. El enlace lleva a una web que simula una votación, pide el teléfono y muestra un código con instrucciones para introducirlo en WhatsApp. Pista: es la información que hace falta para vincular un dispositivo externo a una cuenta, lo que como explica el INCIBE, permitiría escribir a tus contactos sin autorización y por ejemplo, seguir reenviando este mismo mensaje a tus contactos, aumentando la red de potenciales víctimas.
Estamos ante un fraude por ghostpairing (emparejamiento fantasma) y funciona como cuando usas WhatsApp Web en tu ordenador porque en realidad es exactamente eso lo que estás haciendo y a lo que tienen acceso quienes están detrás: tus chats, contactos, todo lo que compartes y te comparten.
Ni aunque te dé apuro hacerle un feo a tu contacto o quieras aprender a bailar: no votes a Eliska
Es solo el principio. En esta estafa no hay malware de por medio, pero sí un acceso a una cantidad ingente de datos sensibles y privados y la usurpación de tu cuenta, que los ciberdelicuentes pueden usar para seguir difundiendo mensajes fraudulentos y solicitudes de dinero. Sin ir más lejos, la petición de dinero ante una situación de emergencia (por ejemplo, ante una visita al dentista que sale mucho más cara de lo esperado) suena mucho más creíble si te llega desde un contacto que si lo hace desde un número desconocido. Por ejemplo, si te llega de tu hijo o de tu hija.
De hecho, el INCIBE alertaba hace pocos días del uso de cuentas de contactos para pedir dinero a sus contactos ante una supuesta urgencia y facilitan un número de cuenta. Y ojo porque les está funcionando: según Bitdefender, se han identificado 177 dominios fraudulentos y 554 URLs únicas vinculadas a esta campaña de ingeniería social.
Qué hacer si recibo este mensaje. Lo mejor es no abrir el enlace y si lo haces, no facilites tu número ni sigas las instrucciones. El Instituto Nacional de Ciberseguridad pide que lo reportes con un pantallazo y elimines el chat después. Para evitar riesgos de suplantación, lo mejor es activar la verificación en dos pasos de WhatsApp (entra en tus ajustes y en 'Cuenta' > 'Verificación en dos pasos' y activa la opción).
Si "ya has votado" y por tanto, has metido tu número, ve nuevamente a los 'Ajustes' > 'Dispositivos vinculados' y cierra todas las sesiones que no conozcas, además de poner en conocimiento los hechos con el INCIBE y las autoridades. Y si algún conocido te pide dinero por chat, lo mejor que puedes hacer es verificarlo por otro canal, incluso simplemente llamando por teléfono.
En Xataka | Estafa de la foto efímera de WhatsApp: qué es y cómo evitar que te extorsionen con ella
KioskNews shows a cleaned-up reading view extracted from the publisher’s page — the original always lives on their site, not ours.