Ciberseguridad & Análisis Técnico

La nueva ola de phishing hiperpersonalizado con IA: análisis del secuestro de cuentas en WhatsApp

El ecosistema del fraude digital ha dejado atrás los mensajes burdos y con faltas de ortografía que delataban a los atacantes en segundos. En las últimas semanas, alertas emitidas por organismos de referencia como el INCIBE y análisis técnicos de expertos en ciberseguridad han puesto sobre la mesa una campaña masiva de ingeniería social especialmente peligrosa: la suplantación de identidad y el secuestro de sesiones en plataformas de mensajería instantánea como WhatsApp, respaldadas por infraestructura automatizada mediante inteligencia artificial.

A continuación, analizamos la anatomía de este vector de ataque, por qué representa un riesgo crítico para la seguridad corporativa y personal, y las medidas necesarias para mitigar el impacto.

1. Anatomía del ataque: del mensaje señuelo al secuestro de sesión

El vector inicial no suele ser una vulnerabilidad de día cero (0-day) en el software, sino una manipulación psicológica precisa.

• El gancho social: Mensajes aparentemente inofensivos del tipo «¿Puedes hacerme un favor? ¿Podrías votar por Sofi/Eliska en este concurso?», enviados habitualmente desde el número de un contacto legítimo que ya ha sido comprometido. Al provenir de un canal de confianza, el umbral de alerta del usuario cae drásticamente.
• Landing pages clonadas y generadas con IA: Al pulsar en el enlace, el usuario accede a plataformas diseñadas mediante modelos de IA que adaptan dinámicamente el idioma, diseño e interfaces según la procedencia geográfica y el navegador de la víctima.
• Exfiltración y vinculación no autorizada: El sitio web solicita introducir el número de teléfono o escanear un código de validación para «confirmar el voto». En la práctica, el atacante utiliza esos datos en paralelo para solicitar el código de vinculación de WhatsApp Web/Desktop o la clave SMS de registro, logrando acceso simultáneo al perfil de la víctima sin necesidad de robar físicamente el terminal.

2. El peligro real: WhatsApp como vector de identidad y pivote a 2FA

Muchos usuarios asumen que el secuestro de una cuenta de WhatsApp solo deriva en molestias o en peticiones fraudulentas de pequeñas sumas de dinero (como transferencias urgentes por Bizum a contactos cercanos). Sin embargo, el impacto operativo y de seguridad va mucho más allá:

• WhatsApp como canal de doble factor (2FA/MFA): Numerosos servicios críticos (desde plataformas de comercio electrónico y portales de gestión hasta herramientas en la nube) ofrecen WhatsApp como canal de entrega de códigos OTP de recuperación y acceso. Controlar la sesión de mensajería abre la puerta al compromiso en cadena de otras cuentas.
• Ingeniería social corporativa (Business Messaging Compromise): En entornos profesionales y de pymes, los grupos de trabajo y la comunicación informal con clientes o proveedores suelen fluir por canales de mensajería. Un atacante dentro de la cuenta puede solicitar modificaciones de cuentas bancarias en facturas en curso o compartir ficheros maliciosos con máxima credibilidad.
• Riesgos específicos por plataforma: Mientras que en entornos como iOS cortar la sesión web suele expulsar el acceso remoto de forma limpia, en sistemas Android el clic inadvertido puede propiciar descargas de archivos APK maliciosos en segundo plano, comprometiendo la integridad del dispositivo mediante troyanos de acceso remoto (RAT) o spyware.

3. Infraestructura invisible: dominios efímeros y criptoactivos

Uno de los factores que dificulta la neutralización inmediata de estas redes delictivas es la automatización de su infraestructura:

• Registro mediante criptoactivos anónimos: La adquisición de nombres de dominio y servicios de hosting se efectúa mediante criptomonedas no trazables y datos Whois arbitrarios o falsificados, impidiendo la identificación administrativa directa del registrante.
• Rotación continua de dominios: Tan pronto como los equipos de respuesta a incidentes (CERT) o la comunidad de ciberseguridad logran marcar o dar de baja una URL fraudulenta, la infraestructura automatizada levanta nuevos subdominios y direcciones web en cuestión de minutos.

Normativas y directivas europeas como NIS 2 buscan endurecer las exigencias de verificación de identidad (DNI/CIF) en el registro de nombres de dominio dentro de la UE, pero mientras tanto la primera y última línea de defensa recae en la robustez técnica del usuario y sus políticas de higiene digital.

4. Guía práctica de respuesta y blindaje

Para evitar el compromiso o mitigar el daño si ya se ha interactuado con un enlace sospechoso, es imperativo aplicar los siguientes pasos:

Si sospechas que tu cuenta ha sido comprometida:

• Audita tus Dispositivos Vinculados: Abre WhatsApp, accede a los ajustes (Ajustes > Dispositivos vinculados) y cierra sesión inmediatamente en todas las sesiones activas que no reconozcas o utilices habitualmente.
• Revisión de aplicaciones en el terminal (especialmente Android): Revisa el listado de aplicaciones instaladas recientemente y desinstala cualquier software desconocido o que no provenga de la tienda oficial. Si hay indicios de intrusión persistente, es recomendable un análisis con herramientas antimalware reconocidas o el restablecimiento seguro del equipo.
• Alerta a tus contactos: Informa a través de otros canales (llamada, SMS o redes alternativas) para frenar la cadena de propagación y advertirles de que ignoren cualquier solicitud económica o enlaces provenientes de tu número.
• Denuncia oficial: Ante usurpaciones graves de identidad o perjuicios económicos, recopila capturas, números de origen y enlaces para formular la denuncia correspondiente ante las Fuerzas y Cuerpos de Seguridad del Estado (Policía Nacional / Guardia Civil).

Medidas de prevención permanente:

• Activa la Verificación en dos pasos nativa: En WhatsApp (Ajustes > Cuenta > Verificación en dos pasos), define un PIN numérico de 6 dígitos independiente y asocia un correo seguro. Esto impide que un atacante registre tu número en otro terminal, incluso si obtiene el código SMS.
• Establece un canal de contraste: Nunca ejecutes acciones solicitadas por mensajería que impliquen dinero, claves o códigos de acceso sin antes contrastar verbalmente la petición mediante una llamada telefónica convencional con el remitente.
• Desconfía de la urgencia emocional: Cualquier mensaje que apele a la ayuda rápida, votaciones escolares o favores express suele ser el vehículo de un ataque de ingeniería social.