“¿Podrías votar por Eliska?”: el WhatsApp fraudulento de ‘phishing’ en el que no hay que pinchar

“Hola, puedo pedirte un pequeño favor? Podrías votar por Eliska? Es la hija de unos amigos míos. El primer premio es una clase de baile gratis, ¡y sería una oportunidad realmente preciosa para ella! Muchas gracias!”, dice un mensaje de WhatsApp que se está extendiendo como la pólvora entre los móviles españoles. El texto lleva un enlace a una página web. Es un caso de phishing, una modalidad de ciberataque que consiste en descargar malware (programas maliciosos) a través del engaño. Los usuarios que pinchen en el enlace corren el riesgo de que les hackeen el móvil y de que accedan a sus datos personales.

El mensaje está bien redactado, lo que puede hacer que de primeras se disipen las sospechas de que sea un fraude. Parece bienintencionado, realmente podría ser algo que te envíe un amigo o familiar. Y, de hecho, el auténtico gancho de este fraude, lo que hace que sea especialmente peligroso, es que no llega de un desconocido, sino que quien lo envía es uno de los contactos de cada usuario. Eso puede hacer que la víctima se confíe y pinche en el enlace.

¿Cómo puede llegarnos desde la cuenta de alguien conocido? Porque su cuenta de WhatsApp ha sido previamente hackeada. De hecho, como ya se ha visto en otros ataques recientes, el emisor del mensaje ni siquiera es consciente de que está mandándolo: no le aparece en su pantalla. Lo está mandando un ciberdelincuente desde otro dispositivo que ha asociado a esa misma cuenta de WhatsApp.

Eso es lo que pasó a finales de agosto con otro fraude que se viralizó, que en este caso explotaba una vulnerabilidad en los iPhone desactualizados con la que los ciberdelincuentes entraban en las cuentas de WhatsApp de las víctimas y pedían dinero a sus contactos más estrechos.

A diferencia de ese caso, el mensaje que se ha viralizado estos días no está personalizado: es siempre el mismo. El enlace incorporado en el mensaje redirige a una web en la que se puede votar a dos niñas, Eliska y Sofie, que son las supestas finalistas de un concurso cuyo premio es una clase en el First International Ballet School de Praga, un centro de danza que existe realmente.

En la web se muestran fotos de las niñas y varios enlaces desde los que votar. Al pinchar en ellos, se le solicita al usuario un número de teléfono al que se le enviará un código de verificación para completar la operación.

Quienes sigan todo el proceso habrán entregado su móvil a los ciberdelincuentes. A partir de ese momento, podrán acceder a los datos personales almacenados en el dispositivo, como contraseñas o números de tarjetas de crédito, y a los contactos que estén ahí guardados, a los que se reenviará el mensaje de WhatsApp.

Qué hacer si eres víctima

En caso de caer en este fraude, lo primero es avisar a los contactos más importantes. “Se debería comunicar, preferiblemente por llamada telefónica, SMS o correo electrónico, que los mensajes enviados desde WhatsApp podrían no ser legítimos”, señalan desde el Instituto Nacional de Ciberseguridad (Incibe) .

También hay que entrar en la cuenta de WhatsApp, revisar los dispositivos vinculados (ahí debería figurar el móvil del usuario y quizás su ordenador o tableta) y cerrar cualquier sesión que no se reconozca. Se recomienda también desinstalar y volver a instalar WhatsApp para iniciar de nuevo el proceso de registro de la cuenta y vinculación con un único dispositivo.

Una vez recuperado el control de la cuenta, conviene activar la verificación en dos pasos desde los ajustes de WhatsApp. Y, por supuesto, tener al día las actualizaciones del sistema operativo del móvil (iOS o Androrid) y de la aplicación.

También es recomendable cambiar todas las contraseñas sensibles, especialmente las relacionadas con aplicaciones de banca o de pago, pues es posible que hayan quedado comprometidas.

Desde Incibe conminan también a guardar capturas de pantalla, mensajes enviados y cualquier otra información relacionada con el fraude. Y presentar una denuncia ante la Policía si ha habido perjuicio económico.

El Incibe tiene disponible un número de teléfono, el 017, para resolver todas las dudas de cualquier ciudadano que haya sido víctima de un ciberataque o estafa digital.