Vendedores, empresas gastronómicas, creadores de contenido e incluso la Basílica Santuario de la Virgen de los Milagros de Caacupé informaron que sus números de WhatsApp fueron hackeados por personas inescrupulosas. La operación tiene un factor común: son cuentas de WhatsApp Business o WhatsApp para empresas, una tipo de usuario que en teoría tiene un protocolo de seguridad superior dentro de la aplicación de mensajería instantánea.
Lea más: A semanas del novenario de la Virgen, hackean el WhatsApp de la Basílica de Caacupé
Las denuncias se dieron en distintos puntos del país. Por eso, el oficial Carlos Insfrán, jefe de operaciones de Delitos Económicos de Encarnación, fue quien trató de llevar calma y dio recomendaciones para quienes operen dentro de este formato. “La indicación es acercarse a la comisaría más cercana. Es cierto que es una situación preocupante, pero la solución está en cada uno de los usuarios”, refirió al canal de televisión Más Encarnación.
Según el uniformado, esta situación no se trata de un hackeo sino de un intento de suplantación de la identidad. “Generalmente son personas que caen todavía en esas supuestas promociones de que se ganó algo, que tiene que pasar nomás el código, o que le van a aplicar tal beneficio y demás”, recordó Insfrán.
Lea más: Cómo evitar estafas y el “hackeo” de WhatsApp: una guía de la Policía Nacional
El oficial de la Policía hizo hincapié en la importancia de activar todas las medidas de seguridad disponibles en la aplicación.
“En particular en este caso estamos ante un usuario que no pone en práctica aquellas medidas de seguridad que la herramienta nos brinda. Me estoy refiriendo específicamente a la verificación de dos pasos. Con esa alerta, yo en teoría ya debería darme cuenta de que algo está pasando porque me están pidiendo esto, y a partir de ahí lógicamente no proporcionarla”, refirió Insfrán.
“Si yo tuviera activa la verificación de dos pasos, que es una contraseña extra que WhatsApp constantemente me va pidiendo justamente al efecto de refrescar mi memoria y de tenerlo latente... Si no tengo activo eso, con el primer engaño y que me pidan que les comparta el código, mi WhatsApp ya quedó en poder de estos estafadores”, añadió.
Lea más: Celeste Amarilla denuncia el hackeo de su cuenta de Instagram
Utilizar fotos y datos de terceras personas
El jefe de operaciones recordó que existe otro tipo de estafa que consiste en el robo de fotos publicadas en redes sociales para crear una cuenta con el nombre de la persona del retrato pero que no es realmente ella. “Lo que procede en este caso, en mi acto de buena fe y de responsabilidad social, es ir a denunciar”, solicitó el uniformado.
“Esto podría ser más bien una suplantación de identidad que es un nuevo modus operandi pero no está tipificado en nuestra legislación. Eso es otra cuestión y tarea pendiente ya para los legisladores de sancionar este tipo de acciones, porque realmente genera agravio, daño a la imagen y se usa para intentar estafar”, expresó.
Lea más: OpenAI reporta un hackeo autónomo ejecutado por agentes de IA durante una prueba
Agregó que si se perpetran estafas haciéndose pasar por la víctima de la suplantación, esta debe ser eximida de la culpa. Por eso, es clave denunciar cuando esto ocurre.
“Pero por una cuestión de responsabilidad y de empatía tengo que ponerlo en conocimiento de la autoridad, de la Policía, del Ministerio Público, y esa denuncia difundirla en mi entorno, para que la gente sepa lo que está sucediendo y esté por lo menos más alerta”, detalló el uniformado.
La ingeniería social detrás del golpe
Insfrán destacó que estos grupos criminales por lo general suelen pedir dos cosas a las potenciales víctimas. “Una de ellas es pedirme compartir pantalla. A partir de compartir pantalla, ellos pueden ver cuando llega el SMS con la contraseña por sí mismos. El denunciante muchas veces dice ‘yo no le pasé el código’, pero sí tenía la función de compartir pantalla, termina siendo lo mismo”, remarcó.
Lea más: Hackeo “extremadamente preocupante” a políticos, diplomáticos y periodistas en Alemania
El otro punto muy importante que Carlos Insfrán señaló es que estos grupos realizan toda una ingeniería social antes de atacar. “Hacen un trabajo previo y lo adaptan a su víctima potencial. En este último caso. lo que le hacen es instalar una aplicación, le pasan un enlace a las víctimas y les piden descargar la misma aplicación. Con eso, si el WhatsApp no tenía el factor de autenticación o el código adicional, queda en poder de ellos”, refirió.
A partir de esa “clonación”, se generan todos los casos de estafa, extorsión y otros delitos. “Desde hacerse pasar por mí con mi número porque se hizo con mi WhatsApp, hasta invitar a mis familiares y amigos. Si un amigo me tiene confianza, va a ir hasta un lugar o ingresar al enlace u otros pasos. Por eso, no es solamente una estafa, sino que es algo más grave y los riesgos son reales”, acotó.
Lea más: Modelo de IA de Meta hackeó por error a otra empresa durante unas pruebas de ciberseguridad
La prevención está en el usuarios
Refiriéndose ya a la prevención, Carlos Insfrán señaló que una vez que la cuenta cae en poder de los inescrupulosos, es muy dificil recuperarla de forma rápida. “Ni la Policía ni el Ministerio Público, ni la telefonía pueden hacer mucho, por lo menos no como uno quisiera para que inmediatamente recuperemos la cuenta de WhatsApp”, insistió.
Por eso, lo primero es la pelea contra el reloj, “porque tenemos entre 5 y 10 minutos. Lo primero que el estafador hace con mi cuenta de WhatsApp es hacer fallar el sistema de recuperación de cuenta: ¿cómo? Poniendo mal la contraseña una y otra vez desde otro celular. Entonces, cuando yo intento recuperar mi cuenta, ya el sistema de WhatsApp no lo permite”, indicó.
Lea más: El perro que “hackeó” los corazones de la unidad fiscal de Delitos Informáticos
“Lo primero es tratar de calmarme, incluso antes de hacer la denuncia. Se debe intentar desinstalar la aplicación y volver a instalar. Al suscribir mi número, la aplicación me va a dar la alternativa de recibir nuevamente el código de verificación y hacer la solicitud de este por llamada. Eso es lo primero que hace el estafador para evitar la recuperación, por eso los 5 a 10 minutos son una lucha contra el reloj”, recalcó.
El uniformado detalló también que el Departamento de Cibercrimen de la Policía Nacional tiene disponibles tutoriales online. Además, hay un enlace en que se pueden reportar específicamente los casos de robo de WhatsApp. “Cuando el usuario reporta esto, es el canal más inmediato para la revisión de WhatsApp, más allá del solo reporte de otro usuario. A partir de ahí, la propia plataforma le da la prioridad que corresponde en el universo de casos y va haciendo un análisis del cambio de dispositivo y cosas métricas como esa, para dar alguna salida”, ilustró el oficial.
Lea más: Telegram alerta sobre hackeo de app de verificación de edad que lanzó la UE
El uniformado recomendó no dar de baja la cuenta a no ser que sea un método de recuperación de WhatsApp que yo haya programado. “Esto porque también permite vincular -además de mi número- un correo electrónico de recuperación. Eso es parte de las medidas de seguridad que la aplicación o la herramienta me da para estar más seguro en el ecosistema digital”, insistió.
¿Y si todo eso falla?
Si esto no funciona, el uniformado recordó que hay un contrato de uso de las líneas de telefonía que obligan al usuario a reportar o denunciar los casos en que la cuenta o las aplicaciones vinculadas a las líneas han sido vulneradas. “Eso también aplica en los casos de robos de celular en la vía pública. Hay que tener en cuenta que hoy por hoy ya no importa el modelo de celular, la ganancia no está en robar un teléfono último modelo, sino en la información que está en ese dispositivo”, indicó.
Lea más: No hay sistema: MEC sufre, otra vez, hackeo de su data center
En ese sentido, sugirió no tener contraseñas o credenciales de acceso guardadas o “recordadas” en el mismo teléfono. “A partir de tener todas sus credenciales, usuarios y contraseñas guardadas en ese celular todo puede ser vulnerado. Más allá del valor que pueda tener ese aparato, lo que importa realmente son los datos, principalmente si hablamos de datos bancarios como el usuario y la contraseña guardada. Tenerlos guardados son malas prácticas”, insistió.
“Nunca hay que tener guardado eso (los accesos), por más que sea mi celular y que yo nomás lo use, porque nos podemos encontrar en estas situaciones infortunadas donde el celular se pierde o nos terminan robando toda esa información; incluido el correo electrónico, que es otra ventana donde todos tenemos vinculados las redes sociales o nuestros servicios bancarios”, graficó Insfrán.
Lea más: Hackeo a Santi Peña: esto dice experto en ciberseguridad
El oficial puso foco en el correo electrónico y en no tenerlo abierto en cualquier parte, ya que la mayoría de nuestros accesos sensibles están vinculados a él. “El correo electrónico es lo que estas plataformas me piden para autenticarme. Si yo tengo abierto el correo electrónico, prácticamente estoy regalando todas mis plataformas oficiales”, avisó.