Una nueva modalidad de estafa, conocida como 'ghostpairing', está circulando por WhatsApp a través de mensajes aparentemente inofensivos que solicitan votos para un concurso. Este engaño busca obtener acceso a tu cuenta de WhatsApp, permitiendo a los ciberdelincuentes controlar tus chats y contactos. Es crucial estar alerta y no seguir las instrucciones de estos mensajes para proteger tu información personal.
Si en estos días uno de tus contactos te pide un favor por WhatsApp, es mejor ser cauteloso. Aunque desconfiar de solicitudes de dinero es común, incluso si provienen de alguien que se hace pasar por un familiar, la situación cambia cuando la petición es algo tan simple y aparentemente inofensivo como un voto para un concurso de baile.
En esos momentos, la idea de que “no cuesta nada” puede llevarnos a dedicar un minuto a votar. Sin embargo, no todos son tan reacios, especialmente porque el mensaje llega desde un contacto de confianza, como un amigo cercano. Además de la promesa de hacer feliz a una persona y su progenitor, se ofrece una clase de baile gratuita, lo que puede incentivar a las víctimas a participar.
El problema radica en que el enlace proporcionado no es lo que parece. Este enlace dirige a una página web que simula una votación, solicita el número de teléfono y muestra un código con instrucciones para introducirlo en WhatsApp. Esta información es precisamente la que se necesita para vincular un dispositivo externo a una cuenta. Como explica el INCIBE, esto permitiría a los atacantes escribir a tus contactos sin autorización y reenviar el mismo mensaje, ampliando la red de posibles víctimas.
Estamos frente a un fraude por 'ghostpairing' (emparejamiento fantasma), que funciona de manera similar a cuando utilizas WhatsApp Web en tu ordenador. De hecho, es exactamente eso lo que los estafadores logran: acceso a tus chats, contactos y todo lo que compartes y te comparten.
Ni siquiera por evitar un desplante a tu contacto o por el deseo de aprender a bailar, debes votar por Eliska. Este es solo el comienzo. En esta estafa no hay 'malware', pero sí se obtiene acceso a una gran cantidad de datos sensibles y privados, y se usurpa tu cuenta. Los ciberdelincuentes pueden usarla para seguir difundiendo mensajes fraudulentos y solicitudes de dinero. Por ejemplo, una petición de dinero por una emergencia (como una visita al dentista inesperadamente cara) suena mucho más creíble si proviene de un contacto conocido que de un número desconocido, especialmente si se hace pasar por un hijo o hija.
De hecho, el INCIBE alertó recientemente sobre el uso de cuentas de contactos para pedir dinero a sus conocidos ante supuestas urgencias, facilitando un número de cuenta. Y esto está funcionando: según Bitdefender, se han identificado 177 dominios fraudulentos y 554 URL únicas vinculadas a esta campaña de ingeniería social.
Qué hacer si recibes este mensaje. Lo mejor es no abrir el enlace y, si lo haces, no facilites tu número ni sigas las instrucciones. El Instituto Nacional de Ciberseguridad recomienda reportar el mensaje con una captura de pantalla y eliminar el chat. Para prevenir riesgos de suplantación, es fundamental activar la verificación en dos pasos de WhatsApp (accede a tus ajustes, luego a 'Cuenta' > 'Verificación en dos pasos' y activa la opción).
Si ya has votado y, por lo tanto, has introducido tu número, dirígete nuevamente a 'Ajustes' > 'Dispositivos vinculados' y cierra todas las sesiones que no reconozcas, además de informar de lo sucedido al INCIBE y a las autoridades. Y si algún conocido te pide dinero por chat, lo más sensato es verificar la solicitud por otro canal, incluso simplemente llamando por teléfono.
