Los usuarios de WhatsApp están siendo blanco de una técnica de ingeniería social denominada GhostPairing. Este método permite que los estafadores accedan a cuentas sin necesidad de contraseñas o códigos de verificación. En lugar de vulnerar el servicio directamente, el ataque abusa de la función legítima de vinculación de dispositivos de WhatsApp, engañando a la víctima para que apruebe la conexión de un nuevo dispositivo controlado por el atacante.

Los usuarios de WhatsApp están siendo blanco de una técnica de ingeniería social llamada GhostPairing, que puede dar a los estafadores acceso a una cuenta sin requerir una contraseña ni un código de verificación único.

En lugar de irrumpir en el servicio directamente, la estafa abusa de la función legítima de vinculación de dispositivos de WhatsApp y se basa en que la víctima sea persuadida para aprobar un nuevo dispositivo conectado.

El riesgo es grave porque un dispositivo vinculado puede permitir que un atacante lea mensajes, monitoree conversaciones, suplante la identidad del propietario de la cuenta y se acerque a los contactos con solicitudes urgentes.

Esto crea un camino familiar hacia el fraude de pagos y un abuso de identidad más amplio, particularmente cuando los criminales explotan la confianza asociada a una cuenta de WhatsApp conocida.

Casos recientes de secuestro de sesiones de WhatsApp Web muestran cómo una sesión de mensajería comprometida puede usarse rápidamente para fraudes enfocados en negocios.

Analistas de GenDigital identificaron GhostPairing como parte de un cambio más amplio en el que los criminales están trasladando su actividad a espacios digitales de confianza, en lugar de depender únicamente de archivos maliciosos obvios o páginas de inicio de sesión falsas.

GenDigital dijo en un informe que la técnica convierte una función normal de gestión de cuentas en un punto de entrada para la toma de control de la cuenta.

La campaña también refleja por qué la seguridad de la contraseña por sí sola no puede detener cada compromiso de cuenta. Puedes mantener tu contraseña en privado y aun así perder el control si eres manipulado para vincular un dispositivo controlado por un atacante, lo que hace que la verificación cuidadosa y las revisiones regulares de la cuenta sean esenciales.

GhostPairing de WhatsApp permite a los estafadores secuestrar cuentas

GhostPairing comienza con el engaño en lugar de un exploit técnico. Los estafadores contactan a los objetivos a través de mensajes, publicaciones en redes sociales, solicitudes de soporte falsas u otros pretextos convincentes, y luego los guían hacia un código QR o una solicitud de vinculación que parece inofensiva.

El objetivo es lograr que la víctima utilice el flujo de trabajo de dispositivos complementarios de WhatsApp en nombre del atacante.

Una vez que el nuevo dispositivo es aprobado, el criminal obtiene una ventana persistente a los chats de la víctima sin necesidad de conocer la contraseña de la cuenta.

Esto hace que el método sea especialmente peligroso porque es posible que no notes inmediatamente el compromiso, mientras que los atacantes pueden estudiar silenciosamente las conversaciones antes de intentar el fraude.

Una estafa previa de vinculación de dispositivos de WhatsApp mostró similarmente cómo la ingeniería social puede convertir el proceso de vinculación en un acceso total a la cuenta.

El atacante puede entonces suplantar a la víctima, solicitar dinero a amigos o colegas, recopilar detalles confidenciales de los chats o utilizar conversaciones recuperadas para que los mensajes posteriores parezcan más creíbles.

Para las organizaciones, una cuenta de empleado secuestrada también puede respaldar estafas de facturas, suplantación de ejecutivos y phishing dirigido contra socios.

Revisar los dispositivos vinculados es fundamental

Debes tratar los códigos QR inesperados, las solicitudes para escanear un código y las instrucciones para “verificar” o “asegurar” una cuenta como señales de advertencia.

WhatsApp no necesita que vincules un dispositivo desconocido para mantener una cuenta activa, y cualquier solicitud que cree urgencia debe ser verificada a través de un canal separado y confiable.

El paso defensivo más importante es revisar la sección de Dispositivos Vinculados en la configuración de WhatsApp y eliminar inmediatamente cualquier sesión que no reconozcas.

También deberías activar la verificación en dos pasos, proteger tu teléfono con un bloqueo de pantalla y evitar compartir códigos de verificación o acceso a la pantalla con cualquier persona que afirme brindar soporte.

La guía sobre ataques de códigos de verificación de WhatsApp refuerza que dichos códigos deben tratarse como credenciales confidenciales de la cuenta.

Si sospechas de una toma de control de tu cuenta, debes desconectar los dispositivos desconocidos, alertar a tus contactos que podrían llegar mensajes sospechosos desde tu cuenta y reportar el incidente a través de las opciones de soporte oficial de WhatsApp.

Las organizaciones deberían exigir que el personal confirme solicitudes inusuales de pago o datos por teléfono o mediante otro método independiente, en lugar de confiar en un mensaje solo porque provenga de una cuenta familiar.

Las nuevas herramientas de seguridad anti-estafas de WhatsApp pueden añadir advertencias útiles, pero tu precaución sigue siendo la defensa más fuerte contra la manipulación al estilo de GhostPairing.

Fuentes:
https://cybersecuritynews.com/whatsapp-ghostpairing-hijack-accounts/