Una petició innocent per ajudar la filla d'uns amics a guanyar un concurs infantil. Aquest és el ganxo d'una nova ciberestafa que s'està escampant per WhatsApp, i que ja ha arribat també amb molta força a Catalunya, i que pot acabar amb el robatori del compte de les víctimes. Els delinqüents fan arribar un missatge, aparentment enviat per una persona coneguda, en què demanen votar per una nena, de nom Sophie o Eliska (se n'han detectat dues versions, però pot mutar el missatge), que participa en un suposat certamen de ballet i que pot guanyar una beca i l'oportunitat de pujar a un escenari. La petició, però, amaga un enllaç fraudulent que pot permetre als estafadors accedir al compte de WhatsApp de la persona que hi cau i utilitzar-lo per continuar enviant el mateix missatge a altres contactes.
Diverses persones han alertat a ElCaso.cat que han rebut aquests missatges fraudulents, que han començat a reenviar-se amb molta intensitat aquest dimarts al vespre i avui, dimecres, 21 d'octubre, a primera hora. Algunes persones adjunten també missatges alertant als seus contactes que no obrin l'enllaç, després de ser coneixedors que han estat atacats. El missatge, però, s'ha detectat també en diversos punts de l'Estat. Quan un usuari cau a la trampa d'aquests ciberlladres, l'estafa s'escampa com una taca d'oli, i el missatge es torna a reenviar, captant més potencials víctimes. La trampa arriba en castellà i amb diverses versions del mateix text, sempre per WhatsApp. «¡Hola! ¿Te gustaría ayudar con un voto a Sophie, la hija de unos amigos? Está participando en un certamen donde puede conseguir una beca y un lugar para actuar en el escenario». El missatge va acompanyat d'un enllaç per participar en la suposada votació. Consultats per ElCaso.cat, l'Agència de Ciberseguretat de Catalunya i l'Instituto Nacional de Ciberseguridad es ciberseguridad (INCIBE) de l'Estat espanyol han confirmat que han detectat aquesta estafa i que s'han activat mecanismes de seguiment.
Una votació falsa per robar el compte de WhatsApp
El sistema que fan servir els ciberdelinqüents es basa en la confiança. El missatge arriba des del número de telèfon d'una persona que la víctima coneix, fet que redueix les sospites i augmenta les possibilitats que acabi accedint a l'enllaç. El problema és que aquest contacte també pot haver estat víctima de l'estafa i que els delinqüents utilitzin el seu compte sense que en tingui el control.
Quan la persona entra a la pàgina web, es troba amb un suposat concurs infantil en què pot votar per la nena. Per fer-ho, el portal li demana el número de telèfon i completar un procés de verificació, que pot incloure un codi rebut al mòbil o un codi QR. És en aquest punt on els estafadors intenten aconseguir l'accés al WhatsApp de la víctima. Si aquesta facilita un codi de verificació o autoritza la vinculació d'un dispositiu fraudulent, els delinqüents poden prendre el control del compte. No és necessari que l'usuari descarregui cap aplicació, els bots controlats per aquest exèrcit de ciberdelinqüents agafa el control del compte de WhatsApp.
Un cop aconsegueixen accedir al compte, els estafadors poden fer-lo servir per enviar el mateix missatge a altres persones de l'agenda. D'aquesta manera, el frau es multiplica i arriba a noves víctimes amb l'aparença de ser una petició enviada per un amic, un familiar o un company de feina.
Què cal fer si has rebut el missatge de la Sophie?
L'Agència de Ciberseguretat de Catalunya recomana desconfiar dels missatges que demanen participar en votacions, concursos o promocions, encara que arribin des del número de telèfon d'una persona coneguda. Abans de fer res, cal verificar que la petició és real contactant amb aquella persona per una altra via, com una trucada telefònica. La recomanació principal és no accedir a l'enllaç, no facilitar el número de telèfon ni reenviar el missatge i avisar la persona que l'ha enviat, ja que podria tenir el compte de WhatsApp compromès. En cas d'haver obert l'enllaç o haver facilitat el número de telèfon, els experts recomanen revisar immediatament els dispositius vinculats al compte de WhatsApp i tancar qualsevol sessió desconeguda. També és important activar la verificació en dos passos, afegir un correu electrònic de recuperació i mantenir l'aplicació actualitzada. Si es detecta activitat sospitosa, cal avisar els contactes per una altra via perquè ignorin els missatges fraudulents que puguin haver rebut en nom nostre.
Què hi guanyen robant-nos el compte de WhatsApp?
L'objectiu dels ciberdelinqüents és aconseguir el control d'un compte de WhatsApp per fer-lo servir com a eina per cometre noves estafes. Tenir accés al compte d'una persona els permet fer-se passar per ella davant dels seus contactes, aprofitant la confiança entre familiars, amics i companys de feina per continuar escampant enllaços fraudulents o, fins i tot, demanar diners amb excuses inventades, com una emergència o un problema econòmic urgent. També poden intentar obtenir informació personal i dades crítiques de les converses a les quals aconsegueixin accedir, que després poden utilitzar per preparar nous enganys. Un compte de WhatsApp robat és, per als estafadors, una porta d'entrada a noves víctimes, ja que els missatges enviats des d'un número conegut generen menys sospites que els que arriben d'un desconegut, segons detallen experts en ciberseguretat consultats per ElCaso.cat.
Com podem activar la verificació en dos passos?
Per reforçar la seguretat del compte de WhatsApp i evitar que els ciberdelinqüents se n'apoderin, és recomanable activar la verificació en dos passos. Per fer-ho, cal obrir l'aplicació, entrar a Configuració, seleccionar Compte i accedir a Verificació en dos passos. Un cop dins, cal activar aquesta funció i establir un codi PIN de sis dígits que WhatsApp demanarà periòdicament i quan es vulgui registrar el número de telèfon en un altre dispositiu. També és important afegir una adreça de correu electrònic de recuperació per poder restablir el PIN en cas d'oblidar-lo. Aquesta mesura afegeix una capa de protecció i dificulta que els estafadors puguin robar el compte, encara que hagin aconseguit el codi de verificació enviat per SMS.