Los autores de este tipo de delito emplean una técnica similar a la del phishing en el correo electrónico, que consiste en supuestos mensajes de un banco o servicio que reclama a un cliente que se identifique mediante sus claves con la excusa de que se va a eliminar su cuenta o de que ha habido demasiados intentos de acceso no autorizado. En el caso de la app de mensajería que ha afectado a Rivera, el atacante solo necesita el número de teléfono de la víctima para lanzar su cebo.
Lo primero que hace el hacker es hacerse pasar por WhatsApp y enviar un mensaje al usuario en el que le advierte que han detectado un intento de intrusión y que le enviarán un código para verificar su identidad.
Después, el atacante envía a la propia WhatsApp una denuncia de intento de intrusión en la cuenta. La compañía de mensajería responde a este tipo de situaciones con el envío de un mensaje SMS al usuario para que incorpore un código en la app como forma de autentificarse.
Desde el punto de vista de la víctima todo parece razonable y legítimo, ya que acaba de llegarle un código oficial de WhatsApp, así que lo transmite y deja de preocuparse, sin ser consciente del error que acaba de cometer. El atacante ya dispone del acceso a la cuenta, que pasa a controlar. Rivera denunció el robo el sábado, un día después, cuando alguna cuenta de Twitter ya le había hecho alusión a alguno de los chats privados que guardaba.
Eusebio Nieva, director técnico para Iberia de la compañía de software de seguridad Check Point, apunta que el ataque a Rivera “no ha sido nada complicado”. “En el ataque más común, el componente tecnológico es muy bajo. La inmensa mayoría de los que estamos viendo, incluso en compañías importantes, son ataques de phishing”, explica.
El phishing, es un tipo de ataque de ingeniería social. Según observa Nieva, “intentan vulnerar la parte más débil de cualquier organización, que son las personas, con mensajes que generan urgencia y miedo, de forma que no se paren a pensar. La historia parece legítima”.
Para evitar robos como el que ha sufrido Rivera, la primera regla es no responder con códigos ni contraseñas a mensajes repentinos que se reciben, ya sean wasaps, SMSs o correos electrónicos. Ninguna de las compañías con las que tenemos cuentas actúa de esa manera. Nadie reclama de forma súbita que se introduzca una clave que desbloquea nuestra cuenta. En caso de duda, más vale consultar a la entidad para verificar esa petición. Una posibilidad adicional es utilizar software de seguridad que evite descargas de software malicioso o acceso a direcciones de internet que son peligrosas.