Un amigo te pide que 'votes por su amiga' en WhatsApp, y en silencio te roba la cuenta
Llega un mensaje de un contacto en el que confías. ¿Podrías votar por su sobrina en un concurso de baile, o por su perro en un concurso de mascotas monas? Hay un enlace. Parece inofensivo, y viene de un amigo de verdad, que es precisamente por lo que funciona.
Malwarebytes y Forbes señalaron esta campaña esta semana. Así funciona: la cuenta de tu amigo ya había sido tomada, así que la súplica de 'vota por mi amiga' en realidad viene de un desconocido que usa su nombre. El enlace lleva a una página disfrazada para parecerse a WhatsApp, y en algún momento te pide que abras tu WhatsApp, vayas a Dispositivos vinculados y escribas un código de seis dígitos. Ese código no emite ningún voto. Autoriza el teléfono del estafador como dispositivo vinculado en tu cuenta, sin necesidad de contraseña. Una vez dentro, pueden leer tus chats, escribir a tus contactos haciéndose pasar por ti y enviar el mismo cebo de 'vota por mi amiga' a más gente. Los investigadores lo han visto disfrazado de concursos de ballet, del mejor perro y de premios escolares, y los enlaces a menudo se aprovechan de la dirección genuina wa.me para parecer legítimos.
La única regla que lo desmonta: un código de seis dígitos de WhatsApp es la llave de tu cuenta, y ningún concurso lo necesita jamás. Nunca lo escribas en una web ni se lo des a nadie, aunque la petición parezca venir de alguien conocido. Activa la verificación en dos pasos (Ajustes > Cuenta > Verificación en dos pasos) para que un PIN proteja también la cuenta, y revisa de vez en cuando Ajustes > Dispositivos vinculados para cerrar la sesión de cualquier aparato que no reconozcas.
Como este engaño se basa en la confianza y no en un fallo de software, reconocer el patrón es la verdadera protección, y merece la pena comentarlo con la familia que usa WhatsApp. Si una cuenta secuestrada te obliga a poner orden en otros sitios, la comprobación de Privacidad y cuentas de Tendvane muestra cuáles de tus credenciales han aparecido en filtraciones de datos conocidas, para que sepas por dónde empezar a cambiar contraseñas.