Esta joven valenciana hizo clic donde no debía y terminó pidiendo dinero a todos sus contactos de WhatsApp (sin saberlo)

Lo que comenzó como un inocente aspaviento de apoyo a una pupila en un supuesto concurso de ballet, ha terminado convirtiéndose en un gran dolor de habitante para Elena, una tierno valenciana de 23 abriles.

Todo comenzó a mediados de la semana pasada, cuando recibió un mensaje aparentemente inofensivo a su WhatsApp. Provenía de un compañero de trabajo que pedía el representativo apoyo a una candidata en un concurso:

"Hola. ¿Puedes elegir a mi prima? Es muy claro. Sólo te llevará un momento...".

Ausencia parecía sospechoso: la petición venía de cualquiera conocido. De modo que Elena accedió al enlace, que la condujo a una web admisiblemente diseñada, aparentemente dedicada a un concurso inmaduro de ballet.

Allí aparecía la fotografía de una pupila indicación María y otra participante. El diseño era convincente, y nuestra protagonista votó por la pequeña María... dando así el primero de una serie de pasos cuidadosamente orquestados por los ciberestafadores.

El encanto final: la demostración telefónica

Adaptado luego de emitir su voto, el sitio web solicitó una demostración de número de teléfono "para evitar duplicidades". Sin pensar en ello dos veces, Elena introdujo su número. Recibió un SMS que, al verificarlo, otorgó a los delincuentes el control de su cuenta de WhatsApp.

¿Cómo es eso posible?

Es un caso del 'timo de los seis dígitos'. Cuando instalas WhatsApp en un nuevo dispositivo, la app te pide tu número de teléfono y te envía un código de demostración por SMS para confirmar que eres el dueño de ese número. Ese código es lo que valida el inicio de sesión. Así:

1. La víctima cita una web falsa (en este caso, un concurso ficticio), donde introduce su número de teléfono.
2. WhatsApp entonces envía un SMS con el código de demostración al teléfono de la víctima, como lo haría si ella misma quisiera iniciar sesión en otro móvil.
3. La web le pide "repasar el número" y le dice que ingrese el código que acaba de tomar.
4. Elena, sin sospechar, introduce el código recibido (de WhatsApp) en esa web (en verdad, lo entrega a los delincuentes).
5. Con ese código, los estafadores completan la demostración en su propio dispositivo, y se apoderan de su cuenta de WhatsApp.

Una vez verificada la cuenta en su móvil, la cuenta de WhatsApp se desactiva en el móvil diferente (como medida de seguridad de la propia aplicación), y pasa a estar activa sólo en el dispositivo de los criminales.

El ataque: 500 contactos, 500 peticiones

Y así quedó todo preparado para que, el pasado viernes por la mañana, estallase el caos: más de 500 personas de su memorándum de contactos comenzaron a tomar mensajes alarmantes, aparentemente enviados por ella:

«Hola».

«¿Qué tal?».

«¿Crees que podrías mandarme 300 euros por Bizum? Mañana te lo devuelvo».

«Tengo que satisfacer una cargo urgente».

Lo más desconcertante para Elena fue no darse cuenta de inmediato: ya no podía ver los mensajes que estaban enviando los estafadores en su nombre, ni las respuestas que les llegaban mediante mensajes de WhatsApp. Solo comenzó a sospechar cuando su teléfono empezó a sonar con decenas de llamadas de familiares y amigos preocupados: "¿Qué te pasa?", preguntaban. "¿Estás admisiblemente?, ¿por qué necesitas metálico?".

Fue entonces cuando comprendió que había sido víctima de un timo.

El método de la estafa

El farsa no terminaba con el mensaje. Si algún contacto accedía a hacer el ingreso por Bizum, los estafadores redirigían el cuota a un número de teléfono diferente: "Envíaselo a mi amigo", decían, inventando excusas para alegar el desvío.

Este procedimiento permite a los delincuentes recoger transferencias desde distintos remitentes, sin empinar sospechas de inmediato: la velocidad con la que operan y la confianza generada al suplantar la identidad de una persona conocida hace que muchos no duden en ayudar.

El calvario de 'recuperar' la cuenta

Recuperar el control de su cuenta fue, para Elena, otro dolor de habitante: intentó contactar con el soporte técnico de WhatsApp, pero solo encontró una interfaz automatizada mediante IA que no lograba dar respuesta su problema.

Sin atención humana y con los delincuentes manipulando a sus contactos, decidió centrarse en denunciar el incidente frente a la Policía Doméstico y crear una nueva cuenta (al fin y al extremo, la antigua ya no estaba vinculada a su número de teléfono).

A las 18:44 horas, por fin, pudo remitir un mensaje verdadero desde su nueva cuenta:

"Me han hackeado WhatsApp. En principio ya he recuperado completamente mi cuenta, pero si recibes mensajes extraños o sospechosos de mi número no los respondas ni sigas instrucciones. Estaban pidiendo 300 euros a todos los contactos de mi memorándum. Disculpa por cualquier inconveniente".

(En verdad, Elena no había "recuperado" su antigua cuenta: sus conocidos ahora tenían dos 'Elenas' en su inventario de contactos de WhatsApp).

Lo que le ocurrió a Elena no es un caso ocasional. Las estafas digitales han aumentado significativamente en los últimos abriles, y las técnicas de ingeniería social utilizadas por los ciberdelincuentes son cada vez más trabajadas.

¿Qué hacer para defenderse?

Las autoridades y expertos en ciberseguridad recomiendan una serie de medidas para evitar caer en este tipo de trampas:

• Desconfía de enlaces, incluso si vienen de contactos conocidos: verifica por otro canal si el mensaje es auténtico. Y, aunque lo verifiques, ten en cuenta que el remitente además puede acontecer sido manipulado para usar un servicio ladino.
• No introduzcas números de teléfono ni códigos en webs no oficiales.
• Activa la demostración en dos pasos en WhatsApp: añade una capa extra de seguridad a tu cuenta.
• Evita realizar transferencias sin confirmar previamente la identidad del solicitante con una indicación (o conversación presencial, si es posible).
• Denuncia cualquier intento de estafa a las autoridades.

Vía | Las Provincias

Imagen | Marcos Merino mediante IA

En Genbeta | Cómo denunciar fraudes en Internet y ciberestafas