Analizan secuestro de cuentas de WhatsApp a través del código QR

La compañía de seguridad informática explica el QRLJacking, un ataque que puede sufrir cualquier usuario de WhatsApp y mediante el cual se puede secuestrar una cuenta y acceder a la información que contiene la aplicación.

El Laboratorio de Investigación de ESET Latinoamérica, especialista en detección proactiva de amenazas, analizó los casos en que los cibercriminales secuestran una cuenta de WhatsApp, teniendo acceso a todos los contactos, archivos y las conversaciones de la cuenta de la víctima.Cuentan que para lograrlo, los cibercriminales utilizan un tipo de ataque conocido como QRLjacking. El mismo se aprovecha de técnicas de ingeniería social para atacar aplicaciones que utilizan código QR como método para registrarse, como la propia aplicación de WhatsApp, que ofrece a los usuarios la posibilidad de utilizar la aplicación en una computadora.La versión para computadoras de la App denominada “WhatsApp Web” requiere para acceder a la cuenta el escaneo de un código QR; sigla en inglés para abreviar el término Quick Response. Al abrir la página de acceso (https://web.whatsapp.com), se escanea el código a través de la aplicación y la App puede ser utilizada en la computadora.Según informa ESET, los cibercriminales se aprovechan de esa función para convencer a las víctimas de escanear el código QR generado por ellos y realizar así el ataque. El código QR es una imagen que, después de interpretada, puede contener una URL o alguna otra información que puede ser interpretada por el dispositivo.

En el caso de WhatsApp, la app utiliza ese código para validar el acceso de los usuarios a su sistema, sin ningún tipo de validación adicional. Sabiendo esto, los cibercriminales desarrollaron herramientas que capturan y almacenan la imagen del código QR generado por WhatsApp y crean un nuevo código QR para mostrar a la víctima.

Después de eso, la sesión de la víctima queda almacenada en la computadora del criminal y éste puede utilizarla como desee, incluso sin causar ningún tipo de interrupción en el uso de la aplicación en el teléfono de la víctima.