El nuevo fallo de WhatsApp se aprovecha de dos vulnerabilidades para bloquear la cuenta de los usuarios, usando solo el número de teléfono.
Temas cubiertos
WhatsApp ha registrado un nuevo fallo en su seguridad, el cual permite que los cibercriminales puedan bloquear la cuenta de cualquier persona con tan solo tener su número de teléfono asociado. El proceso conlleva unas doce horas.
El fallo de WhatsApp
Han sido Luis Márquez Carpintero y Ernesto Canales Pereña, los investigadores de ciberseguridad que han alertado del problema de la App. Han informado de que esta vulnerabilidad puede afectar también a las personas que tengan activado el sistema de autenticación de doble factor.
El cual se activa para incorporar una capa adicional de seguridad a la cuenta.
El fallo se lleva a cabo mediante dos técnicas independientes en WhatsApp, que al ser llevados a cabo por un cibercriminal le permiten bloquear una cuenta y evitar que el propietario de esta pueda volver a entrar en ella.
Primera parte
Consiste en que cualquier persona puede meter el número de teléfono de un usuario de la App, entonces la víctima recibe un código de verificación de seis dígitos por SMS o una notificación que le recuerda que no tiene que compartirlo con nadie.
Cuando se introduce el código erróneo recibido por SMS, que el usuario no ha solicitado ni puede introducir, los cibercriminales pueden seleccionar la opción que da la aplicación de enviar un código nuevo dentro de doce horas, que bloquea la introducción de códigos de seguridad.
Segunda parte
Los cibercriminales envían un correo electrónico al soporte de WhatsApp, diciendo que les han robado el móvil y solicitan que su cuenta le sea suspendida, para esto solo se necesita confirmar el número de teléfono asociado.
Entonces WhatsApp desactiva la cuenta de la persona y la víctima recibe una notificación de que su número ya no está asociado a la cuenta. Al intentar reestablecerla, se mete el número y WhatsApp le avisa de que necesita que pasen 12 horas para poder mandarle otro nuevo código. Trascurridas estas, no se le envía ningún nuevo código y WhatsApp le avisa de que le queda un segundo para generar una nueva clave vía SMS.
El mensaje da error y le llega tanto al usuario atacado como al atacante que lo está realizando. Así la cuenta queda totalmente bloqueada de manera permanente.
