Su cuenta de WhatsApp puede ser robada por completo, siempre que el atacante conozca su número y pueda echar un vistazo rápido a la pantalla de su teléfono.

Su teléfono no necesita estar desbloqueado, no necesitan su contraseña o dirección de correo electrónico de WhatsApp, y es probable que obtengan un archivo de todos los chats y registros de llamadas de WhatsApp tan pronto como se apropien de su cuenta.

Este ataque funcionaría fácilmente contra compañeros de trabajo, compañeros de habitación, cónyuges, compañeros de clase, etc. Incluso podría funcionar en contra de alguien con quien almorzar o tomar un café, o en contra de su jefe.

Todo tu objetivo es que dejes el teléfono solo durante unos segundos, como cuando vas al baño.

El investigador de seguridad de ESET, Jake Moore, nos guió a través de este proceso y, sinceramente, parecía demasiado bueno para ser verdad. Pero lo probamos nosotros mismos, y para nuestro horror, funcionó totalmente.

En este punto, normalmente le aconsejamos que se proteja con uno de los mejores administradores de contraseñas o con uno de los mejores programas antivirus. Pero esta ridícula violación de seguridad no involucra contraseñas o malware.

Afortunadamente, existe una manera fácil de prevenir este tipo de ataque: debe habilitar un PIN en su cuenta de WhatsApp, que deberá ingresar cuando transfiera su cuenta a un nuevo teléfono. También puede desactivar las vistas previas de los mensajes de texto, aunque sabemos que esto es totalmente inconveniente.

Como funciona este ataque

El método de Moore es ridículamente fácil. Estos son los pasos que alguien debe seguir para robar su cuenta de WhatsApp.

  1. Instale WhatsApp en un teléfono donde aún no esté instalado.
  2. Espere a que su objetivo se aleje de su propio teléfono.
  3. Cuando WhatsApp le solicite su número de teléfono, ingrese el número de su objetivo.
  4. WhatsApp enviará un mensaje de texto con un código de confirmación único de seis dígitos al teléfono de su objetivo.
  5. Si el teléfono de su objetivo tiene habilitadas las vistas previas de mensajes de texto, y casi todos los teléfonos, iOS o Android, las tienen, entonces el código de confirmación aparecerá como una vista previa en la pantalla del teléfono.
  6.  Ingrese el código de confirmación en el WhatsApp de su teléfono.
Nos tomó 10 segundos hacer esto en dos teléfonos que poseemos. No necesitamos desbloquear el primer dispositivo para ver el código de verificación, porque apareció en la pantalla de bloqueo. La parte más complicada fue memorizarlo, porque solo estuvo en pantalla unos segundos.

Dado que una cuenta de WhatsApp solo se puede ejecutar en un solo teléfono, la cuenta se transfirió de uno a otro. Si estuviera haciendo esto con otra persona, esa persona perdería el acceso a su propia cuenta.

Después de la transferencia, se nos pidió que exportáramos todos los datos que WhatsApp había respaldado a Google Drive (o iCloud) al nuevo teléfono. Como queremos volver a mover la cuenta al primer teléfono, no lo hicimos.

Pero el investigador lo hizo, y pudo ver todos los chats archivados de un compañero de trabajo cuya cuenta robó usando este mensaje. (Tenía su consentimiento para hacerlo y restauró su cuenta en su teléfono tan pronto como se completó su experimento).

Cómo proteger su cuenta de WhatsApp

No hace falta decir que no quieres que nadie más robe tu cuenta de WhatsApp. La mejor forma de evitarlo es agregar un PIN a su cuenta.

WhatsApp llama a esto verificación de dos pasos, lo cual es cierto, pero esto no debe confundirse con la autenticación de dos factores (2FA). La implementación algo débil de 2FA de WhatsApp es lo que nos metió en problemas aquí en primer lugar.

De cualquier manera, solo necesita acceder a la configuración de WhatsApp, tocar Cuenta y luego Verificación en 2 pasos. Se le pedirá que cree un PIN de seis dígitos que deberá ingresar nuevamente la próxima vez que transfiera su cuenta de WhatsApp a un nuevo teléfono.

Probablemente también desee ingresar una dirección de correo electrónico que actuará como un sistema de seguridad si olvida su PIN.

Moore sugiere apagar los mensajes SMS en la pantalla de bloqueo, lo que probablemente sea una buena idea en teoría. Pero eso hará que usar el teléfono sea mucho menos conveniente.

Sin embargo, estamos de acuerdo en que nunca debe dejar su teléfono desatendido cuando esté fuera de casa, o incluso en interiores, si no confía en sus compañeros de cuarto.