Suplantación de identidad en WhatsApp: cuando tu número deja de ser tuyo

Imagine que alguien cambia la cerradura de su casa mientras usted está dentro y luego comienza a invitar a personas en su nombre, a pedir préstamos a sus vecinos en su nombre y a susurrar secretos personales a sus mejores amigos, todo mientras ellos están completamente convencidos de que es usted. En el espacio digital del siglo XXI, nuestra cuenta de WhatsApp es mucho más que una aplicación de mensajería; es el vestíbulo principal de nuestra vida social, profesional y personal. Cuando nos la arrebatan, no solo perdemos una herramienta de comunicación, perdemos nuestra identidad ante quienes nos rodean.

Este capítulo trata sobre uno de los fraudes más comunes y dolorosos: el "secuestro" de la cuenta de WhatsApp. A diferencia de las complejas intrusiones en servidores bancarios, aquí el arma principal no es un código de software sofisticado, sino una comprensión profunda de la psicología humana. Esta es una historia sobre la confianza mal utilizada, sobre un momento de falta de atención y sobre la batalla legal y técnica para revertir la situación.

El siguiente escenario es un ejemplo pedagógico basado en patrones de fraude comunes. Los personajes y eventos tienen fines ilustrativos solamente.

La historia de Eyal: un código de más

Eyal, un contratista de reformas muy respetado, estaba sentado una noche en el salón de su casa. Su teléfono vibró. Un mensaje de Yossi, un amigo cercano del servicio militar: "Eyal, hermano, por error se te envió un código de verificación de WhatsApp que era para mí. ¿Podrías enviármelo rápido? Estoy atrapado afuera sin acceso al correo electrónico". Eyal, sin pensarlo dos veces, vio que justo en ese momento le llegó un SMS con un código de seis dígitos. "Claro Yossi, aquí tienes el código: 482-193", escribió y envió.

Segundos después, la pantalla de WhatsApp de Eyal se oscureció. Un mensaje blanco apareció en el centro: "Tu número de teléfono ya no está registrado en este dispositivo". Eyal intentó entrar de nuevo, pero la aplicación solicitaba un código de verificación. Esperó el SMS, pero este nunca llegó. Intentó llamar a Yossi, pero la línea estaba ocupada. No sabía que en ese mismo momento, el "Yossi" que le envió el mensaje era, de hecho, un hacker que había tomado el control de la cuenta de Yossi poco antes, mediante exactamente el mismo método.

En las horas siguientes, el mundo de Eyal comenzó a desmoronarse. Sus clientes empezaron a recibir mensajes urgentes: "Hola, estoy atrapado sin efectivo en la tienda de materiales de construcción, ¿puedes transferirme 2.000 ILS por Bit? Te lo devolveré mañana por la mañana cuando llegue a la obra". Algunos clientes, que conocían a Eyal como una persona honesta y fiable, se apresuraron a ayudar. Una de ellas, una mujer mayor cuya casa él había reformado hace poco, transfirió el dinero sin dudarlo. Cuando Eyal logró entender finalmente lo que estaba sucediendo, el daño ya estaba hecho. No solo se perdió el dinero de sus clientes, sino también la reputación que construyó con tanto esfuerzo durante años. Se sintió ultrajado, expuesto y, sobre todo, impotente frente al sistema digital que le cerró sus puertas.

Anatomía de una estafa: ¿cómo ocurre en la práctica?

La suplantación de identidad en WhatsApp es a menudo el resultado de la "ingeniería social". El atacante no hackea los sistemas de Meta (la empresa matriz de WhatsApp), sino que convence a la víctima, o a un tercero, para que le proporcione la "llave de acceso". Esta llave es el código de verificación de seis dígitos que WhatsApp envía por SMS cuando alguien intenta configurar la cuenta en un nuevo dispositivo.

Otro método común es la toma de control a través del buzón de voz. Muchos atacantes actúan a altas horas de la noche. Ingresan el número de teléfono de la víctima en su propio dispositivo y solicitan recibir el código de verificación mediante "llamada de voz". Dado que la víctima está durmiendo o no responde, la llamada se desvía al buzón de voz. El atacante, que utiliza servicios simples para hackear buzones de voz (a menudo protegidos por contraseñas predeterminadas), escucha el mensaje grabado, extrae el código y toma el control de la cuenta.

En cuanto el atacante entra en la cuenta, su primer paso es configurar la "verificación en dos pasos" (Two-Step Verification). Define un código PIN personal y una dirección de correo electrónico de recuperación que le pertenece. A partir de ese momento, incluso si la víctima intenta registrarse de nuevo con su SMS, el sistema solicitará el código PIN que el atacante definió. La víctima queda bloqueada fuera de su propia cuenta durante al menos siete días; una eternidad en términos de fraude digital.

El aspecto legal: responsabilidad, negligencia y protección de la privacidad

Cuando un caso como este se examina desde una perspectiva legal, la primera pregunta siempre es: "¿Quién debe asumir la responsabilidad por el daño?". La respuesta es compleja y se entrelaza con la Ley de Protección de la Privacidad de 1981 y la Ley de Ordenadores de 1995. En Israel, la responsabilidad legal en caso de fraude digital se examina bajo varios parámetros, siendo el más central la cuestión de la negligencia.

La Ley de Protección de la Privacidad establece que una violación de la privacidad es, entre otras cosas, el uso del nombre, la imagen o la voz de una persona para fines de lucro. En el caso de la suplantación de identidad en WhatsApp, el atacante comete un delito penal grave y también un agravio civil. Pero dado que el atacante es a menudo anónimo o actúa desde un país extranjero, en ocasiones se examina la responsabilidad de las entidades institucionales: la compañía telefónica, la entidad financiera o las aplicaciones a través de las cuales se transfirieron los fondos.

Aquí es donde entra la cuestión de la "negligencia contributiva". En un análisis legal general de las opciones jurídicas, se puede examinar si el titular de la cuenta actuó de manera razonable. ¿Puede considerarse negligencia la transferencia de un código de verificación a un extraño (o incluso a un amigo, sin verificar su identidad)? La Ley de Servicios de Pago de 2019 regula gran parte de estos casos. La ley establece que en caso de "uso indebido" de un medio de pago, la responsabilidad del cliente puede ser limitada, a menos que se demuestre que el cliente actuó con intención de fraude o entregó los datos de verificación en circunstancias en las que debería haber sospechado.

Es importante entender: a diferencia de las tarjetas de crédito, donde es más fácil definir un "uso indebido", en WhatsApp el daño es a menudo indirecto: fondos que amigos o clientes transfirieron al atacante bajo la creencia de que estaban ayudando al titular. En tales casos, se puede examinar la responsabilidad del banco si este no detectó un patrón de transferencias inusual, pero la carga de la prueba requerida es significativa. Deben evaluarse las circunstancias específicas de cada caso, la rapidez del informe y las medidas que tomó el titular de la cuenta para su protección.

La crisis: más allá de la pérdida económica

El aspecto legal es solo una parte de la imagen. El daño psicológico y social es a veces más significativo. En un escenario pedagógico basado en casos conocidos, puede darse una situación en la que un atacante tome el control de una cuenta y comience a enviar información personal y sensible a los contactos exigiendo un rescate. Se trata de una extorsión en toda regla y demuestra hasta qué punto la información que está, en teoría, cifrada en nuestras conversaciones, puede convertirse en un arma en cuanto la cuenta es hackeada.

En tales casos, la policía (unidad cibernética) entra en juego. Presentar una denuncia es crítico, no solo para abrir una investigación, sino que puede servir como base para sustentar el argumento legal ante diversas entidades de que la cuenta efectivamente no estaba bajo su control. Sin la confirmación de la denuncia, será más difícil impugnar cargos en la tarjeta de crédito o transferencias financieras realizadas en su nombre.

Modo de actuación: ¿qué hacer cuando secuestran la cuenta?

Si descubre que su cuenta no está disponible, se recomienda actuar rápidamente. Cada minuto que el atacante está dentro es un minuto en el que podría estafar a otras personas o extraer información sensible.

1. Intento de registro nuevamente

Puede intentar entrar en WhatsApp y registrarse de nuevo con el número de teléfono. Si el atacante aún no ha configurado la verificación en dos pasos, el código SMS que reciba podría desconectarlo de su dispositivo. Si el atacante ya configuró un código PIN, el sistema podría requerir una espera de varios días.

2. Aviso a los contactos (Vacunación social)

Este es un paso importante para prevenir daños a terceros. Publique en todas las plataformas posibles (redes sociales, SMS o llamadas telefónicas) que su WhatsApp ha sido hackeado. Pida a las personas que no respondan mensajes en su nombre y que no transfieran dinero bajo ninguna circunstancia.

3. Contacto con el soporte de WhatsApp

Se puede enviar un correo electrónico a support@whatsapp.com. Se recomienda que el asunto sea: "Lost/Stolen: Please deactivate my account" (Perdido/Robado: Por favor, desactiven mi cuenta). En el cuerpo del correo se debe especificar el número de teléfono en formato internacional completo. La desactivación de la cuenta puede impedir que el atacante continúe utilizándola.

4. Desconexión de WhatsApp Web

Si aún tiene acceso parcial, se recomienda entrar en Configuración -> Dispositivos vinculados -> y cerrar todas las sesiones de dispositivos que no reconozca.

Prevención: el muro de protección digital

A lo largo de mis años de trabajo profesional, he comprobado que no activar la verificación en dos pasos es una vulnerabilidad de seguridad significativa. Es un paso sencillo que puede evitar la gran mayoría de los casos de suplantación de identidad.

Al configurar la verificación en dos pasos (Two-Step Verification), se crea un código PIN personal. Incluso si el atacante obtuvo el código SMS (por fraude o de otra manera), no podrá entrar en la cuenta sin el PIN personal. Además, es importante actualizar un correo electrónico de recuperación y asegurarse de que el propio correo también esté bien protegido.

Señales de advertencia: ¿cuándo sospechar?

• Solicitud de código de un amigo: Un amigo o familiar le pide que le envíe un código que le llegó por SMS "por error". Recuerde: el código de verificación es personal y nunca debe compartirse con nadie.
• Mensajes extraños: Recibir un mensaje de una persona conocida, pero con un estilo de escritura que no es característico de ella.
• Exigencia de dinero rápida: Una solicitud de transferencia de fondos urgente alegando una emergencia.
• Llamadas telefónicas en horas extrañas: Llamadas de números desconocidos del extranjero que cuelgan inmediatamente; a veces es un intento de probar la disponibilidad de la línea para una llamada de código de voz.

¿Qué hacer inmediatamente tras descubrir el hackeo?

• Denuncie a la policía: Puede presentar una denuncia online en el sitio web de la policía. Es una herramienta importante para documentar el evento.
• Actualice al banco y a las empresas de tarjetas de crédito: Si existe temor de que los datos de pago estuvieran expuestos, se recomienda evaluar la necesidad de cancelarlos.
• Correo electrónico al soporte: Envío de un correo electrónico para desactivar la cuenta como se explicó anteriormente.
• Revisión de otras cuentas: Se recomienda revisar las cuentas de redes sociales y el correo electrónico para asegurarse de que no hayan sido hackeadas también.

Aspecto legal y conclusión

El ámbito legal en el sector de la ciberseguridad en Israel se encuentra en constante evolución. Hoy en día, se puede observar una tendencia a reconocer el valor económico y emocional de los "activos digitales". El secuestro de una cuenta de WhatsApp puede considerarse una violación a la propiedad y a la privacidad. En ciertos casos, es posible que se pueda examinar una causa para demandar a proveedores de servicios si se demuestra que fueron negligentes en la seguridad de la información.

No obstante, debemos recordar que la mejor defensa es la conciencia y la precaución preventiva. En casos de perjuicio, se pueden examinar varias opciones legales, y la posibilidad de alcanzar un resultado óptimo depende de las circunstancias específicas del caso. La documentación, la rapidez en el informe y el asesoramiento profesional son herramientas fundamentales para afrontar este tipo de eventos.

En el siguiente capítulo examinaremos el método del "intercambio de tarjeta SIM" (SIM Swapping), un escenario de fraude en el que el control de la línea telefónica misma se arrebata a su propietario.