Una nueva modalidad de fraude digital está permitiendo a ciberdelincuentes tomar el control de cuentas de WhatsApp sin necesidad de robar contraseñas ni duplicar la tarjeta SIM. El método, conocido como GhostPairing o emparejamiento fantasma, se basa en el engaño al propio usuario, que acaba autorizando sin saberlo el acceso a su cuenta desde un dispositivo ajeno.
Según han advertido expertos en ciberseguridad, el ataque comienza con un mensaje aparentemente inofensivo que la víctima recibe desde un contacto conocido. En él, se le avisa de la supuesta aparición de una fotografía en la que sale y se le invita a comprobarla a través de un enlace. Ese primer contacto resulta clave para generar confianza y activar la curiosidad.
Al pulsar el enlace, el usuario es redirigido a una página que imita un proceso de inicio de sesión legítimo. En ella se solicita el número de teléfono y, a continuación, se pide confirmar el acceso escaneando un código QR o introduciendo un código numérico. Este último paso es el más habitual en esta campaña y es donde se produce el fraude.
Lo que realmente ocurre es que la víctima está completando, sin saberlo, el proceso de vinculación de dispositivos que ofrece de forma oficial WhatsApp. Esta función permite usar la misma cuenta en varios dispositivos —hasta cuatro— sin necesidad de tener el móvil principal conectado en todo momento. Los atacantes se aprovechan de esta herramienta legítima para enlazar la cuenta a un navegador bajo su control.
De este modo, el ciberdelincuente consigue acceso a WhatsApp Web como si fuera un dispositivo autorizado por el propio usuario. Desde ese momento, puede leer conversaciones, recibir mensajes en tiempo real, descargar archivos y documentos, e incluso escribir a los contactos de la víctima, extendiendo así el fraude a nuevas personas del entorno.
Los investigadores de Gen Digital explican que el nombre GhostPairing hace referencia precisamente a ese acceso “fantasma”: para la plataforma, todo parece normal, ya que no se ha vulnerado el sistema ni se han robado credenciales. La cuenta no ha sido hackeada en sentido técnico, sino comprometida mediante ingeniería social.
Los especialistas recuerdan que este tipo de ataques no rompe el cifrado de extremo a extremo de WhatsApp, pero sí permite a terceros ver y gestionar los mensajes porque el dispositivo ha sido autorizado de forma involuntaria. Por ello, recomiendan desconfiar de enlaces inesperados, incluso si proceden de contactos conocidos, y revisar periódicamente los dispositivos vinculados desde la configuración de la aplicación para detectar accesos no autorizados.
Esta campaña vuelve a poner el foco en la importancia de la precaución digital y en cómo los fraudes actuales se apoyan más en el engaño al usuario que en fallos técnicos de las plataformas.
Hemeroteca
Publicidad
Esquelas