Fallo en Whatsapp permite bloqueo de cuentas

Un fallo en la plataforma de Whatsapp puede convertirse en un dolor de cabeza para los usuarios. Esta puede ser una puerta para los ciberdelincuentes, según informa la empresa de ciberseguridad ESET.

Los ciberdelincuentes pueden aprovechar esta vulnerabilidad para atacar a los usuarios y suspender las cuentas sólo usando el número de teléfono.

¿Qué es lo que sucede? Cuando se configura Whatsapp en un teléfono nuevo se solicita el número de teléfono y se envía un código de verificación. Luego del envío del código se pide la clave del doble factor de autenticación. Aquí es donde el delincuente saca ventaja en la seguridad de dos procesos independientes de Whatsapp.

La información compartida por ESET indica que: “No hay forma de evitar que alguien use cualquier número en el proceso de verificación. Si un atacante hiciera eso, el usuario recibiría llamadas y mensajes de WhatsApp con un código de verificación, junto con una notificación en la que lo insta a no compartir el código de registro con nadie. El ciberdelincuente podría hacer esto de forma reiterada, y el usuario quizás no le daría importancia a los mensajes considerando que se trata de un error.”

Lo que sucede al final, es que Whatsapp tiene un límite de veces para el envío de los códigos, al llegar al límite el envío de los códigos se bloquea durante 12 horas. En ese periodo la persona no puede ingresar a la cuenta de Whatsapp si cerró la sesión, si no la cerró podrá seguir usándola.

El comunicado de ESET afirma que: “A continuación, el atacante podría crear una nueva dirección de correo electrónico y enviar un correo al equipo de soporte de WhatsApp con el asunto “teléfono perdido/robado” solicitando que desactiven el número del usuario. La plataforma, al parecer, verificará la “identidad” solamente mediante el envío de un correo electrónico automático que solicita el número de teléfono del usuario, por lo que el atacante suplanta así la identidad del usuario legítimo.”

Al hacer esto, Whatsapp desactiva la cuenta y el usuario no podrá iniciar sesión hasta que pasen las 12 horas pues había recibido el límite de códigos de verificación.

El mayor problema es que si el atacante repite el proceso de bloqueo de códigos tres veces, Whatsapp fallaría y mostraría un mensaje de: “intente nuevamente después de -1 segundo”. En este punto, según los investigadores de ESET, solo se puede recuperar la cuenta si alguien en Whatsapp está dispuesto a ayudar.

Luis Ortiz Chaves

Comentarios

Comentarios