Explicamos los riesgos de utilizar algunos de los tantos sitios, extensiones y aplicaciones que buscan engañar a los usuarios con la promesa de espiar WhatsApp de otra persona.
A modo de contexto y para comprender mejor esta publicación, quiero comenzar contando una historia. Como protagonista de nuestra trama tendremos a una persona muy celosa y desconfiada a la que le gusta investigar la vida de las personas con las que se relaciona. Llamaremos a esta persona X.
En busca de más información, X acude a Google y decide investigar qué alternativas existen para poder espiar a alguien. Al poner la palabra “espiar” el buscador sugiere, entre otras opciones, “espiar WhatsApp”, por lo que X decide buscar más información sobre esta opción.
Lee también: Cómo configurar la privacidad y seguridad en Telegram
Imagen 1. Sugerencia del motor de búsqueda de Google al poner la palabra “espiar”
Obviamente, para esta búsqueda la cantidad de resultados es enorme, pero ¿puede X confiar en todas las opciones que prometen espiar WhatsApp de otra persona? ¿Hay riesgo de infectarme con malware? ¿Todas las “herramientas” cumplen con lo que prometen? He analizado algunas de estas opciones que prometen espiar WhatsApp y quiero compartir algunos de los resultados más interesantes desde el punto de vista de la seguridad de la información.
Buscan engañar
A modo de adelanto, es importante mencionar que los sitios y extensiones que analizamos no cumplen con lo prometido y buscan engañar a la gran cantidad de usuarios que se lanzan a la web en busca de opciones para espiar el teléfono de otra persona. Si bien no hemos detectado que se distribuyan amenazas informáticas que intenten comprometer el dispositivo de los usuarios (en su mayoría buscan distribuir publicidad), muchas tienen el potencial de hacerlo. Igualmente, dada la cantidad de usuarios que está dispuesto a probar algunas de las tantas alternativas que aparecen en los primeros resultados de Google al buscar cómo espiar WhatsApp o el teléfono de otra persona, nos pareció importante analizar algunas de estas opciones para concientizar sobre los riesgos para la privacidad y seguridad de probar estas alternativas.
A continuación, divido los resultados de mi análisis en: sitios que ofrecen espiar WhatsApp, extensiones para el navegador que prometen lo mismo, y por último aplicaciones:
Sitios que ofrecen espiar WhatsApp
Encontré varios sitios que prometen acceder a toda la información de la cuenta de WhatsApp del objetivo de forma completamente gratuita. En su mayoría, los únicos pasos que se requieren para que esta “magia” ocurra es completar algunos datos, como el número de WhatsApp de la persona que se quiere monitorear, y qué sistema operativo está usando el usuario que quiere espiar a la otra persona.
Algunos de estos sitios, como hackingtor, por nombrar solo uno, solicitan que elijas entre “hackear mensajes antiguos” o más recientes, para determinar la forma de crackear.
Todos estos sitios presentan prácticamente la misma estructura y en el momento que hice el análisis llevaban a un final muy similar: una pantalla que simula que se están ejecutando muchos comandos para acceder a la información del número de teléfono proporcionado, pero en realidad no se ejecuta nada. Solo se trata de textos ya programados en la página y, tal como se observa en la Imagen 4, no se genera ningún tráfico cuando se introduce la información en los campos.
Por las dudas que no haya quedado claro, aunque algunos de estos sitios muestren imágenes que para los ojos crédulos pueden parecer convincentes, lo que ofrecen estos sitios es mentira. Sería un daño irreversible para la imagen de WhatsApp si realmente los sitios pudieran acceder a la información cifrada de sus clientes simplemente introduciendo un número de teléfono.
Se trata de sitios con un diseño muy simple y en un primer momento no hemos encontrado ningún código malicioso en ellos. Quizás te preguntes por qué los responsables de crear estos falsos servicios harían que estos sitios fueran “inútiles”.
Recolección de información, a cambio de espiar Whatsapp
Para responder esto, el primer punto al que debemos prestar atención es a la recolección de información. Para utilizar el sitio hay que ingresar un número de teléfono e indicar el sistema operativo que se utiliza. Esta información podría ser útil si los delincuentes quisieran propagar amenazas a blancos específicos a través del número de teléfono. También podrían utilizar la información del sistema operativo para alterar posteriormente el sitio para propagar malware específico para una versión en particular de Windows, por ejemplo.
El segundo truco utilizado por estos sitios es la publicidad. Para llegar a eso primero le informan al usuario que para tener acceso a los supuestos datos recolectados de la cuenta que quieren espiar debe seguir algunos pasos adicionales. Estos pasos conducen a varios sitios, también sin código malicioso aparente, pero repletos de publicidad. Por cada acceso los delincuentes ganan una pequeña cantidad de dinero por publicidad y estos simples e inofensivos accesos alimentan la industria de la ciberdelincuencia.
Extensiones para el navegador
Entre las distintas opciones que se ofrecen en la web para espiar WhatsApp de un tercero analicé una extensión para Chrome que también decía poder acceder a la información de una cuenta de WhatsApp.
Se trata, por supuesto, de otra falsa promesa. La descripción disponible en la extensión indica a los interesados que deben instalarla en el navegador o remitirse a un sitio web que hará lo mismo. Al instalar la extensión he visto que, una vez más, no se trata de un código malicioso, sino de otro generador de clics. Lo único que hace la extensión es mostrar una pequeña página web en forma de botón que dirige a una dirección que ofrece servicios falsos relacionados a YouTube, como aumentar el número de suscriptores a un canal, la cantidad de likes, favoritos y otros. Para ello, basta con rellenar la URL del canal que desea este servicio.
-
Imagen 6. Página web a la que lleva la extensión en la que ofrecen servicios falsos relacionados a YouTube.
Al elegir cualquiera de las opciones, el sitio solicita realizar una verificación, supuestamente para confirmar que el proceso no está siendo realizado por un robot. La verificación consiste en completar un cuestionario larguísimo en páginas repletas de anuncios. Completar el cuestionario supuestamente lleva dos minutos; sin embargo, yo estuve haciéndolo durante más de 5 minutos y no pude ni siquiera llegar a la mitad. En cada pregunta se actualizaban los anuncios de toda la página, aumentando las ganancias de los delincuentes que buscan monetizar sus campañas a través de la distribución de anuncios. [Vía ESET]
