Cómo una vulnerabilidad de WhatsApp permite que terceros bloqueen su cuenta

Los mensajes pertenecientes a Facebook están sujetos a un fraude que permite privar a sus usuarios de su cuenta, utilizando su número de teléfono.

Es una combinación inteligente de autenticación dual y una carrera contra el tiempo. Una técnica descubierta por dos investigadores de seguridad, citada por Forbes, te permite poner tus manos cuentas de whatsapp, sin posibilidad real de apelación por parte de sus titulares.

dos pasos

¿Como? «¿O qué? El proceso se lleva a cabo en dos etapas, cada una de las cuales se centra en un punto débil de la aplicación para dos mil millones de usuarios. Al crear una cuenta de WhatsApp o al instalarla en un teléfono nuevo, la red ofrece activar la verificación en dos pasos, lo que le permite proteger su cuenta enviando un SMS a su teléfono.

Se requiere un código de seis dígitos, contenido en este SMS, para activar la aplicación. Los niños inteligentes pueden, sin embargo, apostar por la llamada estrategia de fuerza bruta para generar estos mismos códigos. Todo lo que tienen que hacer es ingresar el número de teléfono de la cuenta que desean recuperar. Por tanto, el usuario de la cuenta recibirá una serie de SMS en su teléfono móvil … hasta que Whatsapp bloquea este sistema después de muchos intentos autorizados.

El problema: las restricciones a las que están sujetos los piratas informáticos también se aplican al titular de la cuenta. Con eso, el envío de SMS por WhatsApp queda bloqueado durante 12 horas. Depende de los piratas informáticos pasar a la segunda etapa, durante las mismas 12 horas: envíe un correo electrónico a [email protected], mencionando una cuenta perdida o robada. La idea es deshabilitar el número de teléfono asociado a la cuenta de WhatsApp en cuestión. El envío de SMS está bloqueado, la respuesta será por correo electrónico, la cuenta ahora también está bloqueada temporalmente.

Tres intentos

A partir de ese momento, y sin motivo aparente, el usuario recibirá una notificación con el siguiente mensaje: «Tu número de teléfono ya no está registrado en WhatsApp en este teléfono. Esto puede deberse a que te has registrado en otro teléfono. . En caso de que aún no lo haya hecho, verifique su número de teléfono para iniciar sesión en su cuenta nuevamente «.

WhatsApp puede pedirle que vuelva a ingresar su número de teléfono. Pero el bloqueo de SMS sigue siendo válido: ningún SMS llega al usuario, excepto uno mensaje en whatsapp indicando que todavía tenemos que esperar.

Al final de las 12 en punto, y si el hacker realmente quiere bloquear una cuenta, simplemente repita la operación. Después de tres períodos de 12 horas, y si el titular Cuenta de whatsapp termina siendo menos receptivo que sus piratas informáticos, la cuenta quedará completamente deshabilitada porque la aplicación la considera una cuenta fraudulenta.

Contactado por Forbes, Whatsapp reconoció el problema sin proporcionar una solución por el momento. Sin embargo, WhatsApp ofrece a sus usuarios «proporcionar una dirección de correo electrónico en el momento de la verificación de 2 pasos» para ayudar al equipo de soporte. Lo que parece ridículo.