Una petición inocente para ayudar a la hija de unos amigos a ganar un concurso infantil. Este es el gancho de una nueva ciberestafa que se está extendiendo por WhatsApp, y que ya ha llegado también con mucha fuerza a Catalunya, y que puede acabar con el robo de la cuenta de las víctimas. Los delincuentes hacen llegar un mensaje, aparentemente enviado por una persona conocida, en el que piden votar por una niña, de nombre Sophie o Eliska (se han detectado dos versiones, pero puede mutar el mensaje), que participa en un supuesto certamen de ballet y que puede ganar una beca y la oportunidad de subir a un escenario. La petición, sin embargo, esconde un enlace fraudulento que puede permitir a los estafadores acceder a la cuenta de WhatsApp de la persona que cae en la trampa y utilizarlo para seguir enviando el mismo mensaje a otros contactos.
Varias personas han alertado a ElCaso.com de que han recibido estos mensajes fraudulentos, que han empezado a reenviarse con mucha intensidad este martes por la tarde y hoy, miércoles, 21 de octubre, a primera hora. Algunas personas adjuntan también mensajes alertando a sus contactos de que no abran el enlace, después de ser conocedores de que han sido atacados. El mensaje, sin embargo, se ha detectado también en varios puntos del Estado. Cuando un usuario cae en la trampa de estos ciberladrones, la estafa se extiende como una mancha de aceite, y el mensaje se vuelve a reenviar, captando más potenciales víctimas. La trampa llega en castellano y con varias versiones del mismo texto, siempre por WhatsApp. "¡Hola! ¿Te gustaría ayudar con un voto a Sophie, la hija de unos amigos? Está participando en un certamen donde puede conseguir una beca y un lugar para actuar en el escenario". El mensaje va acompañado de un enlace para participar en la supuesta votación. Consultados por ElCaso.com, la Agencia de Ciberseguridad de Catalunya y el Instituto Nacional de Ciberseguridad (INCIBE) del Estado español han confirmado que han detectado esta estafa y que se han activado mecanismos de seguimiento.
Una votación falsa para robar la cuenta de WhatsApp
El sistema que utilizan los ciberdelincuentes se basa en la confianza. El mensaje llega desde el número de teléfono de una persona que la víctima conoce, lo que reduce las sospechas y aumenta las posibilidades de que acabe accediendo al enlace. El problema es que este contacto también puede haber sido víctima de la estafa y que los delincuentes utilicen su cuenta sin que tenga el control.
Cuando la persona entra en la página web, se encuentra con un supuesto concurso infantil en el que puede votar por la niña. Para hacerlo, el portal le pide el número de teléfono y completar un proceso de verificación, que puede incluir un código recibido en el móvil o un código QR. Es en este punto donde los estafadores intentan conseguir el acceso al WhatsApp de la víctima. Si esta facilita un código de verificación o autoriza la vinculación de un dispositivo fraudulento, los delincuentes pueden tomar el control de la cuenta. No es necesario que el usuario descargue ninguna aplicación, los bots controlados por este ejército de ciberdelincuentes toman el control de la cuenta de WhatsApp.
Una vez que consiguen acceder a la cuenta, los estafadores pueden usarla para enviar el mismo mensaje a otras personas de la agenda. De esta manera, el fraude se multiplica y llega a nuevas víctimas con la apariencia de ser una petición enviada por un amigo, un familiar o un compañero de trabajo.
¿Qué hay que hacer si has recibido el mensaje de Sophie?
La Agencia de Ciberseguridad de Catalunya recomienda desconfiar de los mensajes que piden participar en votaciones, concursos o promociones, aunque lleguen desde el número de teléfono de una persona conocida. Antes de hacer nada, hay que verificar que la petición es real contactando con esa persona por otra vía, como una llamada telefónica. La recomendación principal es no acceder al enlace, no facilitar el número de teléfono ni reenviar el mensaje y avisar a la persona que lo ha enviado, ya que podría tener la cuenta de WhatsApp comprometida. En caso de haber abierto el enlace o haber facilitado el número de teléfono, los expertos recomiendan revisar inmediatamente los dispositivos vinculados a la cuenta de WhatsApp y cerrar cualquier sesión desconocida. También es importante activar la verificación en dos pasos, añadir un correo electrónico de recuperación y mantener la aplicación actualizada. Si se detecta actividad sospechosa, hay que avisar a los contactos por otra vía para que ignoren los mensajes fraudulentos que puedan haber recibido en nuestro nombre.
¿Qué ganan robándonos la cuenta de WhatsApp?
El objetivo de los ciberdelincuentes es conseguir el control de una cuenta de WhatsApp para usarla como herramienta para cometer nuevas estafas. Tener acceso a la cuenta de una persona les permite hacerse pasar por ella ante sus contactos, aprovechando la confianza entre familiares, amigos y compañeros de trabajo para seguir esparciendo enlaces fraudulentos o, incluso, pedir dinero con excusas inventadas, como una emergencia o un problema económico urgente. También pueden intentar obtener información personal y datos críticos de las conversaciones a las que consigan acceder, que después pueden utilizar para preparar nuevos engaños. Una cuenta de WhatsApp robada es, para los estafadores, una puerta de entrada a nuevas víctimas, ya que los mensajes enviados desde un número conocido generan menos sospechas que los que llegan de uno desconocido, según detallan expertos en ciberseguridad consultados por ElCaso.com.
¿Cómo podemos activar la verificación en dos pasos?
Para reforzar la seguridad de la cuenta de WhatsApp y evitar que los ciberdelincuentes se apoderen de ella, es recomendable activar la verificación en dos pasos. Para hacerlo, hay que abrir la aplicación, entrar en Configuración, seleccionar Cuenta y acceder a Verificación en dos pasos. Una vez dentro, hay que activar esta función y establecer un código PIN de seis dígitos que WhatsApp pedirá periódicamente y cuando se quiera registrar el número de teléfono en otro dispositivo. También es importante añadir una dirección de correo electrónico de recuperación para poder restablecer el PIN en caso de olvidarlo. Esta medida añade una capa de protección y dificulta que los estafadores puedan robar la cuenta, aunque hayan conseguido el código de verificación enviado por SMS.