L’Institut Nacional de Ciberseguretat alerta d’una estafa que afecta usuaris amb un iPhone desactualitzat. És especialment perillós perquè són els contactes més propers els que sol·liciten ajuda econòmica

Óscar Collado va rebre un matí un missatge per WhatsApp de la seva filla, Vivianne, de 20 anys.

—Em pots ajudar amb un favor?

—És clar, filla, això ni es pregunta. Digue’m!

—Ara necessito fer un pagament de 988 €, però ja he gastat el límit d’avui. M’ho avances per transferència immediata? Demà t’ho torno, t’ho prometo.

Després de llegir això últim, truca a la seva filla. No li ho agafa. Hi torna a trucar.

—Però agafa’m el telèfon. Per què són aquests diners?

—Estic amb gent i no vull parlar de diners en veu alta.

Aquesta resposta no tenia sentit, va pensar Collado, però es va espantar quan va pensar que potser la seva filla estava amb algú que no la deixava trucar. La noia li diu que necessita els diners per pagar una cosa que va comprar contra reemborsament. El pare insisteix que li truqui. I llavors Vivianne li fa una trucada perduda a través de WhatsApp. «Aquí ja em preocupo de debò per si li està passant alguna cosa», recorda Collado. Truca alarmat a la mare, de la qual està separat. Aquesta diu que la noia es va quedar a dormir a casa d’una amiga, i que ella també va rebre missatges semblants.

Vivianne es desperta tard aquest dimecres de vacances. Veu diverses trucades perdudes dels seus pares i del seu xicot. Tots tres han rebut missatges seus demanant diners. Però aquests missatges no apareixen al mòbil quan revisa els xats. Només els veuen els destinataris. Li han hackejat el compte de WhatsApp. Vivianne va ser víctima d’un ciberatac que s’està estenent aquests dies a Espanya com la pólvora. Va passar la setmana passada, però des de llavors es multipliquen els casos per tot el país. «No disposem de xifres exactes, però sí que podríem dir que aquest frau té un impacte en la població més elevat del que és habitual», diu Raquel Loma, tècnica en ciberseguretat de l’Institut Nacional de Ciberseguretat (Incibe). L’aspecte perillós d’aquesta estafa és que ja no és un desconegut qui demana diners, sinó un familiar o amic. Des del compte de WhatsApp des d’on potser fa anys que li escrius. Aquest atac té una altra particularitat: a diferència d’altres casos, la víctima no ha de clicar cap enllaç, escanejar codis QR ni descarregar fitxers. És el que a l’argot es coneix com a zero clics: l’atacant accedeix al compte de la víctima sense que aquesta faci res, per la qual cosa agafa totalment per sorpresa.

Com aconsegueixen els ciberdelinqüents entrar a comptes aliens de WhatsApp? L’únic error dels que pateixen aquesta estafa és no tenir el telèfon actualitzat. Els atacants exploten una vulnerabilitat d’iOS, el sistema operatiu dels iPhones, anterior a la versió 16.7.12. Vivianne, per exemple, té un iPhone 12 que feia temps que no actualitzava, ja que tenia la memòria del telèfon plena de fotos.

Saúl M., de 48 anys, també té un iPhone vell i sense actualitzar. El seu WhatsApp va ser hackejat aquest dimarts. Al matí va rebre missatges que no entenia de contactes propers. La seva mare li preguntava quina ajuda necessitava. La seva xicota, que què era això que necessitava 850 euros per a un mòbil. I un altre amic, que quina mena de negoci li oferia. Durant la conversa telefònica amb EL PAÍS, el WhatsApp d’aquest professor universitari continua enviant aquests missatges ―fins i tot a aquest periodista, a qui demana 980 euros per comprar-se un mòbil―. Però Saül no veu aquests missatges al mòbil. Per si de cas, va avisar tots els seus contactes que no necessitava diners ni ajuda. Als seus ulls, l’estafa no deixa rastre.

El rastre porta a Itàlia

La primera cosa que se sap d’aquest ciberatac ens porta a Itàlia. Al maig es van detectar en aquest país diversos casos en què comptes de WhatsApp van ser utilitzats sense autorització des d’iPhone amb diferents versions d’iOS 16. «Les víctimes van descobrir que, des dels seus comptes, s’havien enviat missatges a contactes, especialment recents, sol·licitant diners», explica Loma, d’Incibe. El més destacat va ser que no apareixien dispositius desconeguts a l’apartat «Dispositius vinculats» dels comptes de WhatsApp de les víctimes.

«La investigació forense planteja com a possible explicació una explotació en cadena de dues vulnerabilitats», afegeix Loma. Totes dues van ser resoltes tant per a iOS com per a WhatsApp. Els qui tinguin actualitzat el sistema operatiu i l’aplicació no han de témer res. «En els casos investigats, l’atacant aconsegueix interactuar amb el dispositiu i posteriorment amb el compte de WhatsApp aprofitant vulnerabilitats del sistema i de l’aplicació». El delinqüent no necessita enganyar la víctima perquè li lliuri voluntàriament el codi de verificació de WhatsApp, com s’havia vist en altres atacs. Sol contactar amb persones amb qui la víctima té tracte i, moltes vegades, s’expressa de manera similar. Per això té aquesta efectivitat i efecte sorpresa.

Com pot ser que la víctima no vegi al mòbil els missatges que està enviant en nom seu l’atacant? «Quan passa això, l’atac s’ha comès contra WhatsApp Web, és a dir, a través de dispositius vinculats. La víctima continua veient els missatges que li envien els seus contactes, però no els que envia en nom seu qui li ha suplantat el compte. L’atacant utilitza l’opció ‘Eliminar per a mi’. En estar sincronitzat el dispositiu de la víctima i el de l’atacant, s’esborra en el de la víctima», afirma David Arroyo Guardeño, científic titular del Grup de Recerca en Ciberseguretat i Protecció de la Privadesa (GICP) del CSIC.

Què fer si ets víctima

En cas de caure en aquest frau, el primer que cal fer és avisar els contactes més importants. «S’hauria de comunicar, preferiblement per trucada telefònica, SMS o correu electrònic, que els missatges enviats des de WhatsApp podrien no ser legítims i demanar als contactes que no facin cap transferència», indica Loma. Si algú ha enviat diners, haurà de sol·licitar al banc la revisió o la cancel·lació de l’operació, indicant que es tracta d’una transferència relacionada amb un frau.

També cal entrar al compte de WhatsApp, revisar els dispositius vinculats (allà hi hauria de figurar el mòbil de l’usuari i potser l’ordinador o la tauleta) i tancar qualsevol sessió que no es reconegui. Es recomana també desinstal·lar i tornar a instal·lar WhatsApp per iniciar de nou el procés de registre del compte i vinculació amb un únic dispositiu. Un cop recuperat el control del compte, convé activar la verificació en dos passos des dels ajustaments de WhatsApp. I, per descomptat, tenir al dia les actualitzacions de l’iOS i de l’aplicació.

Des d’Incibe també demanen que es desin captures de pantalla, missatges enviats, dades de transferència si és el cas i qualsevol altra informació relacionada amb el frau. I presentar una denúncia davant de la Policia si hi ha hagut perjudici econòmic.

Això va fer Óscar Collado el mateix dia que va saber que el compte de la seva filla havia estat hackejat. Va posar una denúncia i va trucar a l’Incibe, que li va indicar com restaurar el compte. La seva filla, Vivianne, ha après després d’aquesta experiència que val la pena tenir el mòbil actualitzat, encara que això suposi haver d’esborrar unes quantes fotos.