Un nuevo ataque de toma de control de cuentas dirigido a usuarios de WhatsApp demuestra cómo los atacantes pueden comprometer cuentas de mensajería sin robar contraseñas ni explotar vulnerabilidades técnicas. La amenaza, identificada como el ataque GhostPairing, utiliza la ingeniería social y la función legítima de vinculación de dispositivos de WhatsApp para otorgar a los atacantes acceso completo a las cuentas de las víctimas.

Una nueva campaña de toma de control de cuentas dirigida a usuarios de WhatsApp demuestra cómo los atacantes pueden comprometer cuentas de mensajería sin robar contraseñas ni explotar vulnerabilidades técnicas.

La amenaza, identificada como el Ataque GhostPairing, utiliza la ingeniería social y la función legítima de vinculación de dispositivos de WhatsApp para otorgar a los atacantes acceso completo a las cuentas de las víctimas.

La campaña surgió inicialmente en la República Checa, pero no muestra limitaciones geográficas, con los atacantes utilizando kits reutilizables para ampliar sus operaciones a múltiples países e idiomas.

El ataque comienza cuando las víctimas reciben mensajes de contactos conocidos, típicamente sugiriendo que han encontrado una foto. El mensaje incluye un enlace diseñado para parecer un visor de contenido de Facebook.

Cuando los usuarios hacen clic en el enlace, se encuentran con una página falsa con temática de Facebook que solicita verificación antes de acceder al contenido.

Esta interfaz familiar crea una falsa sensación de legitimidad que anima a los usuarios a completar el proceso de verificación sin cuestionar su autenticidad.

Los analistas e investigadores de Gen Digital descubrieron que el ataque explota la función de vinculación de dispositivos de WhatsApp, que permite a los usuarios vincular dispositivos adicionales, como navegadores web y aplicaciones de escritorio, a sus cuentas.

En lugar de depender de exploits técnicos o robo de credenciales, los atacantes engañan a los usuarios para que aprueben voluntariamente una conexión de dispositivo no autorizada.

Mecanismo de infección

El mecanismo de infección se basa en el flujo de número de teléfono y código de emparejamiento numérico de WhatsApp, lo que hace que este ataque sea particularmente efectivo.

Cuando los usuarios ingresan su número de teléfono en la página falsa, la infraestructura del atacante intercepta la solicitud y la reenvía al punto final legítimo de vinculación de dispositivos de WhatsApp.

WhatsApp genera un código de emparejamiento destinado únicamente al propietario de la cuenta, pero el sitio web del atacante muestra este código a la víctima junto con instrucciones para ingresarlo en WhatsApp para completar la verificación de inicio de sesión.

Desde la perspectiva de la víctima, esto parece idéntico a la autenticación de dos factores estándar. Una vez que la víctima ingresa el código en su aplicación WhatsApp real, aprueba sin darse cuenta el navegador del atacante como un dispositivo vinculado.

El atacante ahora tiene acceso persistente a todas las conversaciones históricas, los mensajes entrantes, las fotos, los videos y la información confidencial compartida en la cuenta, permaneciendo completamente invisible para el titular de la cuenta.

La naturaleza persistente de este acceso hace que el ataque sea particularmente peligroso. A diferencia del secuestro de cuentas tradicional que bloquea a los usuarios legítimos, GhostPairing permite a los atacantes observar conversaciones y recopilar inteligencia indefinidamente.

Las cuentas comprometidas se convierten en vectores de propagación, lo que permite a los atacantes enviar los mismos mensajes de cebo a los contactos de la víctima, creando un efecto bola de nieve que multiplica el alcance del ataque.

Puedes protegerte comprobando regularmente tus dispositivos vinculados en la configuración de WhatsApp y eliminando sesiones desconocidas, tratando cualquier solicitud externa para escanear códigos QR o ingresar códigos de emparejamiento como inmediatamente sospechosas y habilitando la Verificación en dos pasos para mayor seguridad de la cuenta.