Una nueva modalidad de estafa digital comenzó a registrarse en Rosario y pone el foco en una herramienta que muchos usuarios ya casi no utilizan: el buzón de voz del teléfono. Según advirtieron desde la División Cibercrimen Zona Sur de la Policía de Investigaciones (PDI), los delincuentes aprovechan vulnerabilidades de estos sistemas para obtener el código de verificación de WhatsApp y tomar el control de las cuentas.
La maniobra tiene una particularidad: la víctima puede no haber hecho clic en ningún enlace, respondido mensajes sospechosos ni entregado voluntariamente información. Incluso puede estar durmiendo cuando se concreta el robo de la cuenta.
El jefe de la División Cibercrimen Zona Sur de la PDI, Pablo Bruno, explicó que esta metodología comenzó a observarse en Rosario hace aproximadamente un año y que su utilización viene creciendo.
Cómo funciona el robo de WhatsApp
El procedimiento comienza cuando los estafadores intentan registrar el número telefónico de la víctima en otro dispositivo. Para completar el proceso, WhatsApp envía un código de verificación de seis dígitos, que puede recibirse mediante SMS o una llamada automática.
Los delincuentes suelen realizar el intento durante la noche. Si la víctima no atiende, la llamada puede derivarse al buzón de voz y allí quedar registrado el mensaje con el código.
El siguiente paso consiste en ingresar de manera remota al buzón. Según explicó Bruno, muchos usuarios mantienen las claves predeterminadas de estos servicios, que suelen ser débiles y pueden resultar vulnerables.
Una vez dentro, los atacantes escuchan el mensaje automático, obtienen el código de WhatsApp y completan el registro de la cuenta en otro teléfono. El usuario original puede descubrir la maniobra recién al despertarse y comprobar que perdió el acceso a la aplicación.
El objetivo: pedir dinero a los contactos
Una vez que toman el control de la cuenta, los delincuentes buscan aprovechar la confianza de los contactos de la víctima.
Pueden enviar mensajes a familiares, amigos o compañeros de trabajo, o publicar estados en los que ofrecen dólares o solicitan transferencias de dinero bajo alguna supuesta urgencia.
La diferencia con otras estafas es que el pedido sale desde el número auténtico de una persona conocida, lo que aumenta las posibilidades de que alguien caiga en la maniobra.
El dinero suele terminar en las denominadas “cuentas mula”, utilizadas para recibir y transferir rápidamente los fondos. Según la PDI, detrás de estas cuentas puede haber personas que también fueron víctimas de delitos, identidades obtenidas de manera fraudulenta o individuos que prestan sus datos a cambio de dinero.
El acceso a la cuenta tampoco significa necesariamente que los delincuentes puedan recuperar automáticamente todas las conversaciones anteriores. Sin embargo, sí pueden acceder a los grupos y contactos asociados a la cuenta y utilizarlos para intentar nuevas estafas.
La verificación en dos pasos, una barrera clave
Una de las principales herramientas para evitar este tipo de ataques es la verificación en dos pasos de WhatsApp.
Esta función permite establecer un PIN personal de seis dígitos que se solicita cuando alguien intenta volver a registrar la cuenta. De esta manera, aunque el delincuente consiga el código temporal enviado por WhatsApp, todavía necesitará conocer el segundo PIN.
Si el usuario no tiene activada esta protección, el atacante puede tomar el control de la cuenta y configurar su propia verificación en dos pasos, lo que puede dificultar aún más la recuperación.
También se recomienda asociar y verificar un correo electrónico seguro para contar con una alternativa de recuperación.
Cómo protegerse
Desde la División Cibercrimen recomiendan tomar tres medidas principales:
- Desactivar el buzón de voz si no se utiliza o cambiar su contraseña predeterminada por una clave robusta.
- Activar la verificación en dos pasos de WhatsApp desde Configuración > Cuenta > Verificación en dos pasos.
- Asociar un correo electrónico de recuperación seguro a la cuenta.
También es conveniente consultar con la compañía telefónica para confirmar que el buzón de voz quedó efectivamente deshabilitado, ya que los procedimientos pueden variar según el operador y el dispositivo.
Una modalidad que evoluciona
Para los investigadores, el crecimiento de estas maniobras responde a que permiten atacar numerosas líneas en poco tiempo y con una infraestructura relativamente reducida.
Bruno señaló que algunas investigaciones incluso conducen hacia organizaciones que operan desde otras jurisdicciones y, en determinados casos, desde establecimientos penitenciarios.
La PDI también detectó otras variantes en las que los estafadores se hacen pasar por representantes de empresas o servicios y convencen a la víctima de realizar una videollamada y compartir la pantalla del teléfono. De esa manera pueden observar códigos, contraseñas y otras operaciones realizadas en el dispositivo.
La recomendación central es no compartir códigos de verificación y reforzar las medidas de seguridad de la cuenta. En el caso de esta nueva modalidad, además, revisar un servicio que muchos usuarios mantienen activo sin siquiera recordar cuál es su contraseña puede ser determinante para evitar el robo de WhatsApp.
