Ataque 'Ghost Pairing' en WhatsApp: Nueva amenaza de ingeniería social secuestra cuentas

Una nueva y muy efectiva campaña de ingeniería social está apuntando a usuarios de WhatsApp en todo el mundo, aprovechando la función legítima de vinculación de dispositivos de la aplicación para orquestar tomas de cuenta completas. Bautizado como ataque 'Ghost Pairing' (Emparejamiento Fantasma), este esquema ha provocado avisos oficiales de alta severidad de agencias de ciberseguridad de la India y está vinculado a una estafa más amplia y psicológicamente manipuladora conocida como 'Arresto Digital'.

La cadena de ataque explota la funcionalidad de múltiples dispositivos y el emparejamiento de WhatsApp Web. Los actores de amenazas, que a menudo operan desde centros de llamadas, inician el contacto haciéndose pasar por agentes de la ley (como la Oficina de Control de Narcóticos o la policía), personal de seguridad bancaria o soporte técnico de Meta. Utilizando narrativas fabricadas—afirmando que el número de la víctima está involucrado en lavado de dinero, tráfico de drogas o que su cuenta está comprometida—crean una sensación de urgencia y miedo.

El núcleo de la estafa consiste en engañar a la víctima para que revele códigos de autenticación críticos. El atacante guía a la víctima a la sección 'Dispositivos vinculados' dentro de la configuración de WhatsApp y le indica que inicie un escaneo para 'Vincular un dispositivo', lo que genera un código QR. Alternativamente, el atacante puede utilizar la ingeniería social para que la víctima revele el código de emparejamiento de 8 dígitos que aparece en su pantalla. En algunas variantes, se coacciona a la víctima para que comparta el OTP de 6 dígitos enviado por SMS por WhatsApp, que es un mecanismo de recuperación primario.

Con este código, el atacante puede emparejar su propio dispositivo malicioso con la cuenta de WhatsApp de la víctima a través de WhatsApp Web. Este dispositivo 'fantasma' obtiene entonces acceso completo y persistente a la cuenta. Crucialmente, este acceso elude el cifrado de extremo a extremo porque el dispositivo vinculado se convierte en un endpoint de confianza. El atacante puede leer todos los mensajes pasados y futuros en chats personales y grupales, acceder a listas de contactos y enviar mensajes suplantando a la víctima. Esto puede derivar en más fraudes, robo de identidad y estafas financieras dirigidas a los contactos de la víctima.

El ataque 'Ghost Pairing' es frecuentemente un componente de la estafa más extensa del 'Arresto Digital'. En estos casos, después de establecer el control, los estafadores usan videollamadas para hacerse pasar por la policía, convenciendo a las víctimas de que están bajo investigación o arresto. Luego se les instruye que permanezcan aisladas frente a la cámara durante períodos prolongados—un 'arresto digital'—mientras los atacantes explotan su cuenta de WhatsApp secuestrada para extorsionar dinero a familiares y amigos fabricando emergencias.

Desde una perspectiva de seguridad técnica, este ataque subraya una distinción crítica: explota una función legítima mediante la manipulación del usuario, no una vulnerabilidad de software en el protocolo de WhatsApp. El cifrado de la plataforma permanece intacto, pero el modelo de confianza se rompe una vez que se empareja un dispositivo no autorizado. Esto coloca la carga de la defensa directamente en la concienciación y el comportamiento del usuario.

Las medidas de mitigación y recomendaciones para individuos y organizaciones son claras. La regla cardinal es nunca compartir los códigos de verificación de WhatsApp (OTP por SMS), códigos QR o códigos de emparejamiento de 8 dígitos con nadie, independientemente de la autoridad que digan tener. Los usuarios deben revisar regularmente sus dispositivos vinculados en Configuración de WhatsApp > Dispositivos vinculados y cerrar la sesión en cualquier sesión no familiar. Habilitar la verificación en dos pasos dentro de WhatsApp añade una capa extra de seguridad esencial, que requiere un PIN incluso si un atacante obtiene el código SMS.

Para los equipos de seguridad empresarial, esta amenaza subraya la necesidad de actualizar la formación en concienciación de seguridad para incluir estas tácticas específicas. Los empleados que usan WhatsApp para comunicación empresarial son objetivos de alto valor. Las políticas deben reforzar que ninguna organización legítima solicitará jamás códigos de autenticación por teléfono o mediante mensaje.

La aparición del 'Ghost Pairing' representa una evolución en la ingeniería social, pasando del simple phishing a la manipulación de funcionalidades centrales de las aplicaciones. Sirve como un recordatorio contundente de que en seguridad, el elemento humano a menudo sigue siendo el eslabón más explotable, incluso cuando los fundamentos criptográficos son sólidos. La educación continua y una cultura de verificación son defensas primordiales contra estos ataques personalizados y de alta presión.