Una campaña reciente consigue tomar el control de las cuentas de WhatApp mediante un ataque denominado ‘GhostPairing’, en el que el propio usuario lleva a cabo la vinculación fraudulenta con un navegador bajo control del ciberdelincuente.
‘GhostPairing’ se inicia con un mensaje que la víctima recibe de uno de sus contactos, donde se le notifica que han encontrado una fotografía en la que aparece y se le proporciona un enlace para que pueda verificarlo.
Dicho enlace dirige a una página de inicio de sesión que imita la de Facebook, solicitando que ingrese su número de teléfono para luego pedirle que escanee un código QR con la aplicación WhatsApp o introduzca un código numérico para confirmar el registro, siendo esta última opción más común.
Estos pasos están diseñados para guiar a la víctima a través del proceso de vinculación de dispositivos de la aplicación de mensajería, la cual legítimamente permite conectar la cuenta principal a un máximo de cuatro dispositivos y acceder sin requerir el uso del ‘smartphone’ principal.
Exactamente, la vinculación por número telefónico está habilitada para el cliente de WhatsApp en Windows o WhatsApp Web. En esta campaña, un ciberdelincuente explota esta herramienta legítima para apoderarse de la cuenta del usuario en el navegador.
De este modo, el ciberdelincuente puede abrir WhatsApp Web en su propio navegador, mientras que para WhatsApp parece que la víctima fue quien vinculó un dispositivo nuevo, sin que esta lo advierta. Por eso, los investigadores de Gen Digital denominan este ataque como ‘GhostPairing’ o emparejamiento fantasma.
Al disponer del acceso, el atacante puede usar las mismas funciones que un usuario en WhatsApp Web: consultar el historial de conversaciones, recibir mensajes en tiempo real, descargar documentos y archivos multimedia, entre otros.
También le es posible enviar mensajes haciendo uso de la agenda de contactos de la víctima. De esta forma, el ciberdelincuente inicialmente contactó con la víctima mediante el mensaje sobre la fotografía. Todo esto sucede sin sustraer las credenciales ni duplicar fraudulentamente la tarjeta SIM.