Tal vez una de las preguntas más irritantes que recibimos los especialistas de seguridad, especialmente cuando una persona no tan técnica sabe de nuestra profesión, es si podemos “hackear” cuentas de Facebook y otras redes sociales, correos electrónicos o conversaciones de WhastApp. Y aunque ya sabemos qué cosas hacen de una persona un hacker y qué otras no lo hacen, la diferencia no siempre queda tan clara.

A lo largo de este post te mostraremos una técnica de Ingeniería Social que tiene como principal objetivo atraer personas muy crédulas que, sin ningún tipo de conocimiento, quieran “hackear WhatsApp” para acceder a cuentas ajenas y leer sus conversaciones. Claro que desde que la plataforma implementó el cifrado de punto a punto interceptar la comunicación es técnicamente muy difícil, pero de seguro los que caen en este engaño no reparan en ello.

Hace pocos días observé el siguiente tuit que comenzó a viralizarse, en el cual se prometía que visitando un sitio se podrían leer las conversaciones de otras personas en la famosa aplicación:

Solo un usuario cegado por las ganas de meterse en la intimidad de otro podría pasar por alto que el sitio es “whasttap” y no “whatsapp” y que el usuario que hizo la publicación es “@BioNacion” y no la cuenta oficial de la compañía. Pero sigamos el proceso del engaño para ver cómo funciona.

Al ingresar a la página se visualiza una interfaz muy similar a la de la aplicación verdadera, en donde las víctimas deberán ingresar el número telefónico de su supuesto objetivo:

Además, dentro de las opciones a parametrizar, es posible elegir a qué información supuestamente se tendría acceso, como podremos ver en el siguiente menú:

Si todo eso aún no es suficiente, quizá sea interesante poder curiosear en el historial de las páginas visitadas de la supuesta víctima del “hackeo”:

Para hacerlo más creíble (¿tiene algo de credibilidad hasta ahora?) los autores generaron un marco de Facebook, en donde distintos perfiles falsos cuentan cuán maravillosamente les ha funcionado. Por supuesto estos comentarios también son un engaño muy similar al que hace unos días reportamos en los scams de aerolíneas.

Al terminar de completar los datos, el portal te advierte que “hackeaste” correctamente la cuenta objetivo de WhatsApp y que tienes que descargar los registros.

En este punto, al intentar descargar los datos, comienzan múltiples redirecciones cuyos sitios de destino varían dependiendo del tipo de navegador y la ubicación geográfica. Es aquí donde comienzan a aparecer los famosos complementos maliciosos, la suscripción a números Premium y diversos anuncios publicitarios, de los cuales los ciberdelincuentes se benefician para obtener dinero.

Es curioso que dentro de la página, los estafadores intenten tentar a sus visitas con las siguientes (pobremente redactadas) líneas:

“El Hackear Whatsapp gratis está hecho para aquellas personas que quieren mantener sus cosas bajo control o para los que quieran proteger a alguien del peligro exterior. Por ejemplo un padre quiere saber lo que su hijo está haciendo cuando él / ella sale, con quien habla, etc. Hoy en día hay una gran cantidad de delincuentes en línea extendido por todas las redes sociales, WhatsApp y otros mensajeros, correos electrónicos y otras plataformas. Así que esta es una gran razón por la que es más sospechoso entre las personas”.

Veamos… este no es el modo de monitorear a los menores. Existe software de control parental que funciona en computadoras y dispositivos como tablets o smartphones, cuyas funcionalidades buscan monitorear y no espiar; pero por supuesto además de usar tecnologías es importante tomar un tiempo para la concientización y el buen diálogo.

La historia sin fin

Internet, IoT y la globalización digital siguen avanzando día a día y debemos afrontar la idea de que diariamente, del mismo modo, los ciberdelincuentes avanzan usando nuevas herramientas para sus engaños. Aunque solo implique un nombre y una oferta atractiva como la de “hackear WhatsApp”.

Luego de reportar el sitio whasttap.com como fraudulento, finalmente no responde y al menos, por esta campaña, no caerán nuevas víctimas:

Sin embargo, además de este que ya se encuentra caído, hemos detectado al menos dos sitios más que realizan exactamente la misma estafa. Observa las diferencias en la URL:

Podemos concluir que la erradicación de este tipo de estafa no se basa simplemente en dar de baja los sitios que las alojan, sino que la principal barrera es la educación y concientización de los usuarios. Si lees sobre estos casos y sabes identificar un engaño estarás a salvo.

No seas incrédulo, no infectes tus dispositivos y no te conviertas en la víctima de una campaña cuyo único propósito será generar dinero para los verdaderos delincuentes.