WhatsApp presume de ser una de las plataformas de mensajería más seguras del mundo, gracias a su tecnología de cifrado de extremo a extremo. Sin embargo, los últimos eventos adversos que involucran a celebridades cuyos chats han sido interceptados y publicados en páginas web y canales de noticias, ha puesto en evidencia la seguridad de la plataforma.
A menos que tu profesión sea de alto riesgo o hagas campaña contra un régimen totalitario, puedes ignorar las historias sobre el software espía, como el del Grupo NSO, una empresa de software con sede en Israel que vende este spyware a gobiernos de todo el mundo.
No estás en peligro de sufrir ese tipo de ciberataque tan sofisticado y caro.
No es ningún secreto que conociendo el número de teléfono de la cuenta asociada a WhatsApp se puede obtener cierta información sobre el usuario, incluso su fotografía pública asociada a no ser que la haya ocultado.
Pero no hay ningún servicio en línea ni tampoco software basado en la nigromancia que permita interceptar las conversaciones: todas las apps mágicas para hackear WhatsApp introduciendo el número de teléfono son estafas, y algunas incluso malware.
Los supuestos hackers que se anuncian en YouTube, foros, sitios web y portales solo quieren sacarle el dinero a los incautos, ganar unos euros confiando en que el usuario haga clic anuncios o suscribirlos a servicios de SMS prémium.
¿Quieres hackear la base de datos de tu banco para poder cancelar tu hipoteca, o tomar el control de un satélite norcoreano?
No hay problema, ellos ofrecen este servicio con un par de clics, por supuesto, siempre que sueltes la pasta por anticipado.
Pero debes tener un poco de cuidado con los dos primeros métodos.
Espiar WhatsApp a través de WhatsApp Web
Este es uno de los métodos más eficaces, pero para tener acceso a la app de WhatsApp de la víctima hay que hacerse con su teléfono el tiempo suficiente para poder abrir una sesión y escanear el código QRCode que aparece en WhtasApp Web.
Si alguien consigue escanear ese código en su ordenador con tu app de WhatsApp podrá ver tus conversaciones en tiempo real mediante un navegador web.
La única desventaja para el delincuente que utiliza este método de piratería es el requisito imprescindible de tener acceso físico al teléfono objetivo.
Y si el dispositivo está protegido con contraseña, o la huella dactilar, esto será bastante difícil, por no decir imposible.
Otra cosa que puede pasar es que el usuario «objetivo» vaya al menú de WhatsApp de su móvil y se dé cuenta de que la versión para PC está abierta.
Solamente tiene que desemparejar el dispositivo del fisgón, y asunto resuelto.
WhatsApp Web también acostumbra a notificar si alguien ha iniciado sesión, por lo que si la persona está atenta, se dará por advertida.
Incluso si no ha consultado las sesiones activas.
Pero hay que tener cuidado con los ataques de ingeniería social.
OhMyQR es una herramienta empleada en ataques de ingeniería social capaz de secuestrar sesiones de todas las aplicaciones que cuentan con la función «iniciar sesión mediante un código QR».
- Básicamente, se le envía a la Víctima una URL con un enlace a un código QR malicioso similar al de WhatsApp Web.
- Cuando la víctima abre el enlace malicioso, el navegador mostrará un código QR que se encuentra en la máquina del pirata.
- Sí, se le ocurre escanearlo, sus sesiones de WhatsApp serán secuestradas.
Puede parecer un intento bastante burdo, ya que nadie en su sano juicio escanearía un código QR de procedencia desconocida, pero el perpetrador puede ingeniárselas para que parezca proceder de un amigo o conocido.
Espiar los mensajes de WhatsApp exportando el historial de los chats a un correo electrónico
Este método es similar al anterior y basta con que el delincuente tenga un minuto para acceder al dispositivo objetivo.
Una vez conseguido, abrirá el WhatsApp de la víctima y usará la función de exportar chats (individuales o de grupo) incluida en la propia aplicación.
El villano seleccionará por ejemplo su cuenta de ProtonMail, ingresará su dirección de correo electrónico y pulsará en Exportar.
Los archivos multimedia, todas las fotos, videos y audios se adjuntarán al correo electrónico y los textos de los chats se cargarán en formato TXT.
En este caso, el seguimiento en línea de los chats es imposible, y solo se pueden exportar los chats que el usuario no ha eliminado.
¿Seguimiento de WhatsApp mediante Bluetooth?
Gracias a esta tecnología se puede acceder fácilmente al dispositivo objetivo en un radio de 5 a 50 metros.
Debido al cifrado y a otros mecanismos de seguridad, en líneas generales, Bluetooth es relativamente seguro.
Sin embargo, incluso sus versiones más nuevas son susceptibles de tener vulnerabilidades no parcheadas, y, por lo tanto, de sufrir ataques.
La mayoría de tentativas de acceso a Bluetooth se producen durante la fase de emparejamiento, que es cuando los villanos tratan de hacerse con el PIN de verificación, para poder interceptar y manipular corrientes de datos.
Hay muchos programas que afirman poder eludir la seguridad de los teléfonos inteligentes a través de Bluetooth.
Pero gracias al fuerte cifrado de extremo a extremo de WhatsApp, quizás podrán interceptar los mensajes, pero no les será posible descifrarlos.
Solo verán conjuntos de caracteres ilegibles por un ser humano.
Por lo tanto, si alguien te pide dinero por descargar un programa que supuestamente te permitirá leer los mensajes de WhatsApp, no te lo creas. Desde 2017 ya no es posible.
En cualquier caso, la supuesta solución más poderosa es un programa llamado WhatsApp: BlueMesCrack 2.0.
El proceso de piratería constaría de 5 pasos:
- Detección
- Escaneo
- Pruebas de vulnerabilidad
- Piratería
- Obtención de datos.
Pero tiene dos pequeñas pegas: su precio es de 300 o 400 euros por año y parece ser que es totalmente inútil para estos menesteres.
Piratear WhatsApp mediante POCWAPP
PullOutCorrWhatsApp (también conocido como POCWAPP o POC WhatsApp) fue desarrollado por el hacker chino «liuhong01».
Con este programa, supuestamente se pueden piratear varias cuentas de WhatsApp (hasta 15) de forma remota.
Para utilizar este software, el pirata necesita saber el número de teléfono al que está vinculada la cuenta de WhatsApp.
Una vez introducido, el programa encuentra el número de identificación del usuario en el servidor de WhatsApp, sin pasar por el dispositivo ni por el almacenamiento en la nube de la compañía.
Analiza el historial de chats (con todos los archivos multimedia), pero no el contenido de las llamadas de voz.
Sin embargo, a día de hoy la mayoría de las puertas traseras que emplea la aplicación probablemente ya estén cerradas por los desarrolladores de WhatsApp, y es muy probable que ya no funcione.
Solo es compatible con dispositivos con Android, la aplicación es de pago y se puede encontrar en la DarkNet.
Para usarlo, hay que pagar por una clave de activación.
El precio lo desconocemos, ya que los datos no son del dominio público, pero no tiene la pinta de ser barato.
Aprovechando vulnerabilidades de día cero
Los piratas informáticos con conocimientos avanzados pueden crear sus propios scripts y exploits para aprovechar los fallos de seguridad graves y las vulnerabilidades no parcheadas.
Esta gente siempre anda buscando estas cosas, e intentan encontrarlas antes que lo haga el propio desarrollador.
Con un poco de suerte, puede que quien encuentre primero la vulnerabilidad sea un investigador de una empresa de seguridad, quien la reportará de inmediato al fabricante (para que le ponga remedio) y a toda la comunidad.
Sin embargo, en peor de los casos el primero en descubrir el bug puede ser un pirata informático que lo mantendrá en secreto durante el mayor tiempo posible para explotar el fallo en beneficio propio.
Por lo tanto, si por el motivo que sea hace mucho tiempo que no has actualizado tu aplicación de WhatsApp, o la versión del software de tu teléfono móvil, deberías plantearte muy seriamente hacerlo ahora mismo.
Consejos de seguridad
Como hemos dicho antes, a menos que tengas una profesión de alto riesgo, o seas una «persona de interés» para alguno de los servicios de inteligencia, puedes estar bastante tranquilo.
Pero nunca está de más tomar ciertas precauciones.
- Nunca compartas tu código de registro o PIN de verificación en dos pasos con otras personas.
- Jamás escanees códigos QR de procedencia dudosa.
- Habilita la verificación en dos pasos y proporciona una dirección de correo electrónico en caso de que olvides el PIN.
- Establece un código de seguridad para desbloquear tu dispositivo, o habilita la identificación mediante huella dactilar.
- Sé muy cuidadoso con quién tiene acceso físico a tu teléfono, ya que podría instalar un troyano. Llévalo a reparar a un sitio de confianza.
- Ten el dispositivo siempre a la vista.
- Si alguien tiene acceso físico al teléfono, también podría usar tu cuenta de WhatsApp sin tu permiso, espiar WhatsApp a través de WhatsApp Web o exportar el historial de los chats a un correo electrónico.
- Ten mucho cuidado en pulsar sobre los enlaces que te lleguen a través de la aplicación.
- Si tienes un iPhone puedes utilizar las características de Touch ID o Face ID para entrar en WhatsApp.
- Elimina todos los chats inactivos.
- Al reciclar o vender el teléfono móvil, asegúrate de eliminar todo el contenido de la memoria.
Si recibes un correo para restablecer el PIN de verificación en dos pasos de WhatsApp, o el código de registro, pero tú no lo solicitaste, no hagas clic en el enlace.
