Una fallada de seguretat en l'aplicació de missatgeria instantània de WhatsApp permet a ciberdelinqüents bloquejar el compte d'un usuari amb tan sols conéixer el número de telèfon que està utilitzant la persona.
Els investigadors de ciberseguretat Luis Márquez Carpintero i Ernesto Canales Pereña, alerten que la vulnerabilitat afecta fins i tot als usuaris que tinguen activat el sistema de verificació en dos passos que usa WhatsApp per a incorporar una capa addicional de seguretat, segons recull 'Forbes'.
La fallada de seguretat de l'aplicació es deu a dos processos independents en WhatsApp que, utilitzats per un cibercriminal, permeten bloquejar un compte i evitar que l'amo puga a accedir a ella.
Primera part de la fallada
La primera part de la vulnerabilitat consisteix en el fet que qualsevol persona pot introduir el número de telèfon d'un usuari de WhatsApp. En eixe cas, la víctima rep el codi de verificació de sis dígits per SMS o mitjançant una crida i una notificació avisant de la sol·licitud del codi, i recordant que no ha de compartir-se amb ningú en cap concepte.
La fallada de seguretat resideix en què els cibercriminals poden dur a terme este procés mentre l'usuari continua utilitzant el seu compte de WhatsApp, solament amb conéixer el número.
En introduir de forma repetida una clau SMS errònia, els cibercriminals seleccionaran l'opció d'aconseguir un nou codi dins de dotze hores, que bloqueja la introducció de codis de seguretat mentrestant.
Segona part de la fallada
Com a segona part de la vulnerabilitat, els cibercriminals poden enviar un missatge de correu electrònic al suport de WhatsApp, avisant d'un suposat robatori del mòbil i demanant que el compte siga desactivat. Per a dur a terme este procés només és necessari conéixer el número de telèfon que la persona té vinculat al compte de Whatsapp.
L'empresa de WhatsApp comença el procés per a desactivar el compte de l'usuari, i la víctima rep una notificació per a avisar-li que el seu número de telèfon ja no està associat al compte. Quan intenta introduir el número de telèfon de nou, WhatsApp no envia nou codi per SMS i avisa que és necessari esperar dotze hores per a haver-se realitzat massa sol·licituds abans.
No obstant això, transcorregudes les dotze hores, en lloc d'habilitar-se un nou codi, WhatsApp avisa que queden "-1 segons" per a poder generar una nova clave SMS. Este missatge d'error es mostra tant a la víctima com a l'atacant.
D'esta manera, el compte de l'usuari queda bloquejada de manera permanent, segons expliquen els investigadors, i la víctima ja només podrà reactivar-la si contacta directament amb el suport de WhatsApp perquè revise el cas manualment.
