¿Es posible hackear una cuenta de WhatsApp? Lo que ha pasado con Albert Rivera

El político Albert Rivera ha denunciado ante la Guardia Civil que su cuenta de WhatsApp ha sido hackeada. ¿Es esto posible? ¿Significa que el resto de usuarios de la aplicación de mensajería instantánea tienen riesgo de que su información personal sea también difundida?

La seguridad de WhatsApp no ha sido vulnerada, sino que se trata de un ataque de phishing

En realidad, WhatsApp no está sufriendo ningún problema de seguridad, no se ha detectado ninguna vulnerabilidad y la aplicación no ha experimentado ningún ataque externo que ponga en riesgo el servicio. Al parecer, ha sido un caso de phishing en el que el propio Rivera ha colaborado de algún modo proporcionando el acceso a su cuenta, de forma consciente o inconsciente.

Ese es el modus operandi de los ciberdelincuentes que lanzan ataques de phishing. Básicamente, buscan engañar al usuario para que sea él mismo el que proporcione la información sensible que da acceso a su perfil y su información personal. Es una práctica muy habitual en el correo electrónico, donde se puede recibir un email que se hace pasar por una entidad bancaria que solicita el PIN o las claves de acceso a la banca online a sus usuarios y, en muchos casos, incluso a personas que no son sus usuarios. Pero más de uno picará y accederá a proporcionar esa información en una web que, por ejemplo, imita a la original de la entidad, pero cuya URL cambia en alguna letra. No se da cuenta y proporciona su información personal, abriéndole la puerta al cibercriminal.

En otras palabras, el usuario es engañado. Esto es más fácil para los ciberdelincuentes que hacker todo el servicio. Van a por el eslabón más fácil de la cadena: el usuario.

En el caso de WhatsApp, engañar al usuario para que proporcione sus credenciales de uso es más «difícil» que enviar un correo electrónico y solicitar las claves, algo que se puede hacer de forma masiva. En este caso, hay que dirigir el mensaje al usuario de un número de teléfono específico, lo que dificulta la tarea a los ciberdelincuentes, pero como vemos, no es algo imposible.

¿Cómo funciona la estafa? El delincuente ha de saber el número de teléfono de la víctima y, empleando el servicio de ayuda de WhatsApp, solicitar una clave de acceso al servicio, como si la hubiera perdido, o como si estuviera realizando una nueva instalación del servicio. WhatsApp enviará al usuario, a su número de teléfono, un código de activación.

¿Cómo accede el delincuente a ese código? Engañando al usuario para que se lo proporcione. Un método común es enviarle un nuevo SMS o email en el que, haciéndose pasar por WhatsApp (simulando su dirección de correo, a través de una web que imita a la oficial…), se le solicita esa clave. El usuario la proporciona pensando que es la compañía la que la necesita y, en realidad, se la está ofreciendo en bandeja al cibercriminal, quien tiene vía libre para acceder a la cuenta y operar con ella, como ha ocurrido con Albert Rivera, desde cuya cuenta se empezó a publicar todo tipo de contenido en distintos grupos de WhatsApp.

¿Qué se puede hacer en estos casos? Al darse cuenta de que la seguridad de la cuenta ha quedado comprometida, es necesario cortar el acceso al ciberdelincuente de inmediato, restableciendo la aplicación solicitando un nuevo código de acceso. Una manera de protegerse es activar la doble verificación, que obliga a WhatsApp a enviar un código de acceso al usuario cada vez que quiera acceder a su cuenta. Este tendrá que confirmar el código para asegurar su identidad.

Además, es conveniente denunciar el engaño ante la unidad de delitos telemáticos de Policia o Guardia Civil, aportando datos y pruebas de cómo se ha producido la estafa, para que se pueda combatir el modus operandi y avisar al resto de usuarios que no piquen en el mismo engaño. Asimismo, para tratar de cazar al ciberdelincuente y que tenga que rendir cuentas ante la justicia.