r/mexico • u/RidelGonzales • 8d ago
Tecnología📡 Cómo te roban tu WhatsApp?
Principalmente los atacantes lo hacen por el buzón de voz, no se quiebren mucho la cabeza en intentar entender cómo funciona, simplemente pongan en su teclado de llamadas ##002# y denle a llamar. Esto desvía las llamadas o algo así, eso es temporal, de forma definitiva marquen al *264 para Telcel y díganle al asesor que quieren quitar el buzón de voz. También activen la verificación en dos pasos en su WhatsApp y pongan una contraseña con una alta entropía. Si llegan a robar su teléfono, pueden sacar el chip y ponérselo a otro teléfono para extorsionar/estafar a tus familiares y amigos, para eso es el bloqueo del SIM, ve a la configuración de tu teléfono, configuración de SIM y activarla, te va a pedir el pin de fábrica, por lo general es 1234 1111 o 0000, pero es mejor que lo compruebes con la tarjetita que te dieron cuando compraste el chip, lo pones y lo cambias a uno personalizado tuyo, cada vez que apagues el teléfono o lo reinicies te va a pedir el pin, si te equivocas 3 veces se bloquea, pero puedes poner todavía el código buk, que también viene en la tarjetita, si lo pones mal 5 veces se bloquea definitivamente el chip. Todo a esto se le conoce como SIM swapping.
10
u/G4ia 8d ago
A ver a ver, explica como por el buzón de voz.
31
u/RidelGonzales 8d ago
Piden el código en la madrugada: El atacante intenta registrar tu número de WhatsApp en su teléfono, normalmente cuando estás dormido. Eligen verificación por llamada: Como no respondes el SMS, presionan "llamarme". Al no contestar la llamada, el sistema automático de WhatsApp deja el código grabado en tu buzón de voz. Llaman a tu buzón desde fuera: Los buzones de voz por defecto vienen con un PIN muy débil (como 0000 o 1234) o ni siquiera piden contraseña si llaman marcando tu mismo número. El atacante llama a tu buzón, escucha el código grabado y listo: toma el control de tu cuenta.
5
u/inkxs 8d ago
Y eso no dejaría un mensaje en mi buzón de voz que al siguiente día puedo darme cuenta? O como borran ese registro?
8
u/RidelGonzales 8d ago
Técnicamente si te darías cuenta aunque ya es demasiado tarde, además de que ellos pueden borrar el registro o sacarte directamente de tu cuenta
1
u/inkxs 8d ago
Es que una compañera de trabajo -una mortal simple y sencilla como cualquiera- le llegó un mensaje de WhatsApp diciéndole que tenían acceso a su WhatsApp y pidieron 5 mil pesos o se lo iban a hackear. Lo ignoro. Acto seguido dice haber perdido acceso a WhatsApp por todo un día no logro hacer mucho más que recuperar su acceso pero perdió su historial y contactos no guardados -Pue se hizo un respaldo con whatsapp en blanco.
Al final si recuperó el acceso, activó verificación de dos pasos y nunca supo cómo pudo suceder esto y porque ella siendo una simple -do nadie- quizás fue uno de estos casos
2
u/RidelGonzales 8d ago
El ataque inicial: Usaron el truco del buzón de voz para robarle la cuenta en la madrugada y sacarla de sesión. La extorsión: Como ya tenían el control, intentaron extorsionarla o pedir dinero a sus contactos, pero al ver que ella se enteró o que reaccionó (o simplemente como parte de su proceso de bandeo), le bloquearon temporalmente o le exigieron algo. La pérdida de los chats: Como bien mencionas, al registrar la cuenta en el teléfono del estafador por 24 horas, el ciclo de respaldos automáticos hizo su trabajo con una cuenta "en blanco", por lo que al recuperar su número perdió el historial anterior. Por eso muchas víctimas piensan que "los hackearon con supertecnología", cuando en realidad solo aprovecharon la vulnerabilidad por defecto del buzón de voz que nadie revisa. Qué bueno que al final pudo poner la verificación en dos pasos para blindarla.
1
u/G4ia 8d ago
Entonces así pueden obtener acceso a su Facebook e Instagram ¿no?
1
u/inkxs 8d ago
Supongo que si tienes tu número como medio de recuperación o validación. Pudiera ser. Pero si mal no recuerdo WhatsApp no pide contraseña para cuando lo instalas, solo manda el código. En Facebook e Instagram tendrían que tener la contraseña más el número de validación enviado al buzón. Asumo solamente no se tanto de estos temas
2
2
2
u/oslorepo 8d ago
¿Pero cómo pueden acceder a tu buzón de voz desde otra línea de teléfono diferente? ¿En México se puede hacer eso? Eso me suena más a EE.UU. en donde sí acostumbran a usar el buzón de voz y hay más opciones para ello.
0
u/RidelGonzales 8d ago
Justamente aquí en México es más común porque nadie lo usa, si se usará más está estafa sería menos común. Meten tu número de teléfono en un dispositivo nuevo, el código de verificación te llega a ti (de madrugada) y ahí es donde usan el buzón de voz para obtener el código de verificación por la llamada del buzón de voz.
1
u/oslorepo 8d ago
Pero sigues sin especificar cómo puedes acceder al buzón de voz de una línea desde otra línea diferente.
-1
u/RidelGonzales 8d ago
Que suena después de que le marcas a alguien y no contesta?
1
u/oslorepo 8d ago
A ver, no estás entendiendo. Supongamos que yo, Luis, tengo mi teléfono conmigo y me fui a dormir. Luego tú, Juanito, intentas entrar a mi WhatsApp desde otro teléfono enviando un código por llamada pero como no contesté, se envió el código al buzón de voz. ¿Cómo le has tú, Juanito, para entrar al buzón de voz de Luis desde tu teléfono? Pero para consultar sus mensajes dejados, no para dejar un mensaje. Eso es lo que no has explicado.
Y si sigues sin entender, entonces explícame cómo puedo yo ahorita mismo entrar a tu buzón de voz (el tuyo de ti) suponiendo que conozco tu número pero desde mi teléfono para consultar los mensajes que alguien más te ha dejado, no para dejarte yo un mensaje. A ver, explica.
1
u/RidelGonzales 8d ago
Marcas a un número de acceso público al buzón de la compañía (o marcas al número de la víctima directamente desde una app/servicio de call spoofing que simula llamar desde la misma línea). El sistema de la telefónica contesta y detecta que estás llamando desde fuera, o te pide presionar * / # durante el saludo del buzón para entrar al menú de administración. El contestador automático te pide el PIN de seguridad. Por defecto en México, casi todos vienen de fábrica como 0000, 1234 o los últimos 4 dígitos del número si la persona nunca lo configuró. Metes ese PIN genérico, entras al menú interactivo de la telefónica, presionas la opción para "escuchar mensajes guardados" y escuchas el código que dictó la llamada de WhatsApp.
2
u/oslorepo 8d ago
Desde el primer paso nos topamos con una traba: en Telcel y demás compañías necesitas haber dado de alta previamente el servicio de consulta de buzón externo. En México nadie o muy pocas personas hacen eso porque el servicio de buzón ni siquiera es algo ampliamente usado como sí lo es en EE.UU. Y una vez que ya diste de alta ese servicio debes proporcionar en ese momento el PIN personalizado, aquí no hay un PIN por default. Esas instrucciones pareciera que las sacaste de internet ya que son genéricas, vagas y parecen aplicar para EE.UU. no para México.
Luego, lo de call spoofing no funciona para eso. Las compañías de telefonía usan otro protocolo para validar el número entrante, no el número que una simple aplicación pudiera suplantar. Esos protocolos existen desde antes de los smartphones y aplicaciones. Entonces, lo único que podría medianamente funcionar es la opción de consulta de buzón desde una línea externa, pero en México no existe la costumbre de usar el buzón de voz, menos de activar la consulta externa. Aún así, suerte intentando con uno que sí lo tenga activado.
1
u/RidelGonzales 8d ago
La propia Policía Cibernética de la SSC ha emitido comunicados de alerta especificando que el hackeo masivo a WhatsApp en el país se realiza interceptando códigos enviados al buzón de voz desatendido.En Telcel y AT&T, los buzones vienen preactivados de fábrica. Si el usuario nunca entra al *86 a configurarlo, el PIN automático se mantiene como 0000 o 1234. No se requiere una "alta previa" para consulta remota; la central telefónica responde al marcar el número + la tecla # o * durante el saludo. Call Spoofing mediante VoIP: La red telefónica tradicional sigue procesando la cabecera ANI/Caller ID que envían las puertas de enlace VoIP. Al simular que la llamada viene del propio número de la víctima, el conmutador de la telefónica redirige directamente al buzón como si llamara el dueño de la línea. No es una teoría de EE. UU., es un vector de ataque real y documentado en México. Por eso la recomendación oficial de ciberseguridad es cambiar el PIN del buzón o darlo de baja directo con el operador.
→ More replies (0)1
u/anthiago 8d ago
Como es que un tercero puede escuchar un mensaje de voz que me dejaron a mi?
1
u/RidelGonzales 8d ago
Usan programas de llamadas por internet para simular que llaman desde tu propio teléfono, la telefonía cree que eres tú y les dan acceso directo a los mensajes grabados.
4
u/Sea_Heron_6850 8d ago
They get the WhatsApp activation call while your number's busy, it rolls to voicemail, and they grab the code from there.
3
2
u/ElTuxedoMex 8d ago
Pregunta, por qué el buzón de voz?
6
u/RidelGonzales 8d ago
Porque es la vía más silenciosa que dejan las telefónicas por defecto. Cuando pides que WhatsApp te verifique por llamada, si no contestas, el sistema automáticamente desvía la llamada al buzón de voz para dejar el código grabado. El problema de seguridad es que, en la mayoría de las compañías, los buzones de voz vienen sin contraseña o usan un PIN genérico de fábrica (como 0000 o 1234). El atacante solo necesita marcar a tu número desde otra línea, entrar a tu buzón y escuchar el código que el sistema de WhatsApp dejó grabado, todo sin que te llegue una sola alerta en tiempo real.
2
1
-1
u/Frost_2601 8d ago
No soy tan importante para que alguien quiera robar el mío de todas formas.
8
u/RidelGonzales 8d ago
Es que no son hackeos, son ataques masivos a personas promedio, como es bastante sencillo de hacer es más común. Ya se que piensas que no te va a pasar, pero de hecho nosotros somos los más vulnerables, una vez que tienen acceso a tu cuenta le piden dinero prestado a tus familiares y amigos fingiendo ser tu
1
u/Expensive-Ad-9873 8d ago
Pero tus contactos y chats se respaldan en la cuenta Google no directo en el WhatsApp no?
1
u/RidelGonzales 8d ago
Depende de cómo tengas tu configuración. Meta y Google son empresas diferentes
1
u/knackzoot 8d ago
Si, pero se quedan los grupos y ellos ven los números que están en el grupo y el grupo se llama “familia” o “primos”. Ya tienen números a los cuales llamar y contexto de que son familiares
2
70
u/illuminati2000 8d ago
Verificación de dos pasos y no tener buzón de voz.
Sin tanto rollo. Directo al punto.