El asunto plantea algunas cuestiones interesantes. ¿Cómo puede alguien robar la cuenta de WhatsApp de un líder político a nivel nacional? Lo cierto es que sí. Este ha sido el método.
Lo que le ha pasado al líder de Ciudadanos en realidad es un 'phishing', es decir, una suplantación de la personalidad. Este robo se dio en tres fases bien diferenciadas:
1.- "Me han robado la cuenta".
Para que todo se entienda mejor, imaginemos que el número de teléfono de Albert Rivera es el 676a42k8h. El ciberdelincuente quiso identificarse en WhatsApp con ese número de teléfono, así que entró en WhatsApp y denunció que la cuenta de su número, el 676a42k8h, había sido robada. En esos casos, lo que hace WhatsApp para identificar al propietario legítimo es enviarle un código de verificación vía SMS.
2.- Suplantación de WhatsApp.
De manera paralela, el ciberdelincuente, haciéndose pasar por un servicio legítimo de WhatsApp, envió un mensaje a Albert Rivera diciéndole que su cuenta había sido robada. Además, le pidió que, en ese mismo chat, pusiese el código de verificación que había recibido mediante SMS. Rivera picó y envió dicho código.
3.- Robo de cuenta.
Una vez tuvo el código de verificación, el ciberdelicuente pudo identificarse como legítimo dueño del número 676a42k8h y, por tanto, de la cuenta de Rivera. Fue entonces cuando, según la información adelantada por 'El Mundo', tuvo acceso a su historial de chats y a su agenda de contactos.
La suplantación de identidad 'online' es algo frecuente entre ciberdelincuentes, aunque con algunos matices distintos a los de este caso. La mayoría de veces este 'phishing' se suele hacer vía 'e-mail', alertando al futuro engañado de que alguien le ha robado la cuenta de WhatsApp, del banco, de su correo electrónico, etc.
Además, cuando se solicita un código de verificación, una contraseña o algo similar, no se suele pedir en una conversación a través de WhatsApp, como ha pasado con Rivera, sino proporcionando un 'link' en el que la víctima deberá pinchar para meter sus datos.
Y en el caso de Albert Rivera, ¿qué le pasará al ladrón? Poco se sabe de él, aunque seguramente no sea fácil de coger: "Las posibilidades de pillar al delincuente dependerán del caso. Imagino que no ha utilizado un teléfono suyo, dado que podría facilitar su identificación", asegura a este diario el abogado Sergio Carrasco.
Más allá del robo en sí, lo que a Carrasco le sorprende es que el líder de Ciudadanos haya picado: "Es importante que personas de interés, como es el caso de Rivera, no solo reciban una formación inicial en materia de ciberseguridad, sino que además cuenten con gente capacitada realmente para una formación continua y un seguimiento. Una vulnerabilidad de este tipo habría aparecido ante una auditoría con actuaciones de 'redteam' [grupos que se dedican a atacar a empresas precisamente para alertarlas de sus fallos de seguridad] y podrían haberse adoptado medidas para evitarlo".
No hay comentarios:
Publicar un comentario