En un anuncio de interés público, el FBI (Oficina Federal de Investigación) y la CISA (Agencia de Ciberseguridad y Seguridad de las Infraestructuras) advierten a la población sobre las campañas de phishing en curso vinculadas a Rusia, cuyo objetivo es obtener acceso a cuentas de mensajería.
A principios de este mes informamos sobre una campaña de phishing a gran escala destinada a secuestrar cuentas de Signal y WhatsApp pertenecientes a altos cargos, personal militar, funcionarios públicos y periodistas.
Ahora, el FBI y la CISA se han sumado a los servicios de inteligencia europeos para advertir de que se están utilizando las mismas tácticas en una campaña más amplia dirigida contra estas aplicaciones de mensajería comercial. El objetivo no es romper el cifrado de extremo a extremo, sino eludirlo directamente robando el acceso a cuentas individuales.
En nuestro artículo anterior, nos centramos en las advertencias de los servicios de inteligencia neerlandeses AIVD y MIVD, que describían cómo actores respaldados por el Estado ruso se ponían en contacto con objetivos de alto valor a través de Signal y WhatsApp, haciéndose pasar por «Signal Support», «Signal Security Bot» o nombres similares. El PSA muestra cómo esos mismos grupos están llevando a cabo ahora campañas de phishing a escala mundial contra cuentas de aplicaciones de mensajería, y hay indicios de que miles de cuentas han sido comprometidas en todo el mundo.
Es importante reiterar que los atacantes no han logrado romper el cifrado de extremo a extremo de las aplicaciones. En cambio, recurren a la ingeniería social para que se añada un dispositivo y así poder espiar las cuentas.
Los objetivos actuales incluyen a funcionarios actuales y antiguos del Gobierno de EE. UU., personal militar, figuras políticas y periodistas, pero nada impide que esas mismas técnicas se vuelvan a utilizar contra empresas y usuarios comunes.
Así pues, aunque resulte tentador descartar esto como un problema exclusivo de diplomáticos y generales (y las agencias que emiten estas alertas mencionan en primer lugar a objetivos de alto perfil), estas técnicas se pueden adaptar con gran facilidad. Una vez que se hacen públicos manuales como estos, los ciberdelincuentes que buscan nuevas formas de robar dinero o cuentas tienden a copiarlos.
Cómo proteger tus cuentas
Tal y como dice el anuncio de servicio público:
«El phishing sigue siendo uno de los métodos de ataque cibernético más rudimentarios, pero a la vez más eficaces, y a menudo hace que otras medidas de protección resulten inútiles».
Esta convocatoria exige el cumplimiento de unas medidas de seguridad básicas:
- Considera sospechosos, por defecto, los mensajes no solicitados que recibas del «Servicio de asistencia» dentro de las aplicaciones. El servicio de asistencia legítimo de aplicaciones como Signal y WhatsApp nunca te pedirá, en un mensaje de chat, que reenvíes códigos de verificación, PIN o contraseñas. Si recibes una advertencia sobre problemas con tu cuenta, no hagas clic en los enlaces del mensaje. Abre directamente los ajustes de la aplicación o visita el sitio web oficial por otros medios.
- Nunca compartas los códigos de verificación por SMS ni los PIN de las aplicaciones. Los códigos por SMS sirven para demostrar que eres el propietario de un número de teléfono. Cualquiera que tenga el código puede hacerse pasar por ti. Los PIN o códigos de acceso específicos de las aplicaciones sirven para proteger los cambios en tu cuenta. Revelarlos es como entregar las llaves de tu cuenta. Considera que cualquiera que te los pida es un estafador.
- Ten cuidado con lo que comentas y con quién. Tanto las recomendaciones neerlandesas como las estadounidenses nos recuerdan que, incluso con cifrado de extremo a extremo, algunas conversaciones son demasiado delicadas para las aplicaciones de chat comerciales.
- Aprovecha las funciones de seguridad adicionales que ofrecen estas aplicaciones. Activa opciones como el bloqueo de registro, el PIN de registro y las alertas de cambio de dispositivo, para que tu cuenta no pueda volver a registrarse de forma silenciosa sin una clave secreta adicional. Guarda tu PIN en un gestor de contraseñas en lugar de elegir algo fácil de adivinar o reutilizar un código habitual, para reducir el riesgo de ingeniería social ode espionaje por encima del hombro.
- Otra función útil son los mensajes que se borran automáticamente. Los mensajes de duración limitada y los que se borran automáticamente reducen la cantidad de contenido disponible en caso de que un atacante acceda al chat más tarde, o si alguien consigue acceso prolongado a un dispositivo o a una copia de seguridad. No son una solución definitiva, pero pueden limitar los daños.
Qué hacer si crees que te han pirateado la cuenta
Si sospechas que un atacante se ha hecho con el control de tu cuenta de mensajería:
- Intenta volver a registrar tu número en la aplicación inmediatamente para desconectar los demás dispositivos.
- Revoca todos los dispositivos vinculados y cambia los códigos PIN o de bloqueo específicos de cada aplicación.
- Avisa a tus contactos de que es posible que alguien se haya hecho pasar por ti y pídeles que tengan cuidado con los mensajes recientes.
- Revisa las conversaciones recientes en busca de indicios de robo de datos (por ejemplo, identificadores, documentos o contraseñas compartidos que ahora deben considerarse comprometidos).
- Denuncia el incidente al proveedor de la aplicación y, si procede, a los centros nacionales de denuncia, como el Centro de Denuncias de Delitos en Internet (IC3) del FBI, en ic3.gov, o a la autoridad competente de tu país.
Cuanto antes actúes, menor será el margen de tiempo que tendrán los atacantes para acceder a tu cuenta.
No nos limitamos a informar sobre la seguridad de los teléfonos: la proporcionamos
Los riesgos de ciberseguridad nunca deben propagarse más allá de un titular. Mantenga las amenazas alejadas de sus dispositivos móviles descargando Malwarebytes para iOS y Malwarebytes para Android hoy mismo.
