WhatsApp: descubren su peor fallo en a?os y a迆n sigue activo
Dos estudiantes han intentado que WhatsApp arregle este problema, pero no les echan cuenta y no parchean la app.
Imagina que eres estudiante de ingenier赤a inform芍tica y, como parte de tu aprendizaje, est芍s investigando sobre aplicaciones. Imagina que te topas con un fallo grave no, grav赤simo en WhatsApp. Un problema de vulnerabilidad tan grave que cualquiera con tu n迆mero de tel谷fono puede bloquearte la cuenta y rob芍rtela, sin m芍s. Imagina que reportas eso inmediatamente a Facebook para que lo arreglen. E imagina que Facebook, tras 4 avisos, sigue sin echarte cuenta ni repararlo.
El grave fallo de seguridad de WhatsApp de 2021
Esto es, a grandes rasgos, lo que le ha sucedido a los dos estudiantes Luis M芍rquez Carpintero y Ernesto Canales Pere?a, los cuales han intentado hasta en 4 ocasiones alertar a WhatsApp de que repare su error, sin que esta les haya prestado la atenci車n. El siguiente paso ha sido el m芍s l車gico ante semejante gravedad -porque recordemos que m芍s de 1/4 de la poblaci車n mundial usar cada mes esta aplicaci車n: hacer el fallo p迆blico para alertar a la prensa y as赤 a ver si WhatsApp hac赤a algo esta vez.
Y as赤 ha sido, con medios como la todopoderosa Forbes o webs de seguridad como ESET dando cuenta del fallo y comprobando de primera mano la gravedad del problema. Pero, ?qu谷 sucede exactamente con WhatsApp?
Robarte la cuenta usando tu n迆mero de tel谷fono
Cada semana vemos a WhatsApp ser usada para distribuir todo tipo de intentos de hackeo por Phishing, descarga de malware, etc, pero tambi谷n vemos m谷todos que son capaces de hackear cuentas, como el que hace uso de los mensajes SMS que se env赤an con un c車digo de 6 digitos para validar la instalaci車n de WhatsApp en un nuevo m車vil.
La aplicaci車n cuenta con un sistema de verificaci車n en 2 pasos que se supone act迆a como la barrera de seguridad definitiva para sentirte seguro/a con tu cuenta. Pero seg迆n los estudiantes Carpintero y Pere?a, ya no es as赤: La vulnerabilidad que han descubierto act迆a en 2 fases, afectando a dos procesos distintos de la app -uno de ellos relacionado con la autenticaci車n en dos pasos. Y al llevar a cabo las dos, el proceso termina con tu cuenta desactivada a manos del atacante, quien puede decidir si rob芍rtela, borr芍rtela, etc.
C車mo te pueden desactivar la cuenta en WhatsApp
As赤 funciona el proceso:
Intro - El c車digo SMS de verificaci車n
Cuando instalas por primera vez WhatsApp en tu tel谷fono, o cambias de tel谷fono, la plataforma te enviar芍 un c車digo por SMS para verificar la cuenta. Una vez que introduzcas el c車digo correcto, la app te pedir芍 tu n迆mero de autenticaci車n en 2 pasos para asegurarse de que eres realmente t迆, y entonces ya est芍s dentro. Esto es el punto de partida del proceso
Vulnerabilidad 1: Bloquear el env赤o de nuevos c車digos
Cualquiera puede instalar WhatsApp en un m車vil e introducir tu n迆mero de tel谷fono en la pantalla de verificaci車n. Lo que sucede es que de repente, en tu m車vil empiezas a recibir textos y llamadas de WhatsApp con el c車digo de seis d赤gitos. Tambi谷n te aparece una notificaci車n de la aplicaci車n de WhatsApp, en la que se te indica que se ha solicitado un c車digo, advirti谷ndote que no lo compartas.
Un atacante puede hacer esto con tu n迆mero de tel谷fono de WhatsApp mientras tu sigues usando la aplicaci車n con normalidad. Lo que el hacker va a hacer es seguir solicitando c車digos repetidos y meter en su app n迆meros equivocados. Recibir芍s los c車digos por SMS, quiz芍s tambi谷n las llamadas, pero no hay nada que puedas hacer con ellos, no hay ning迆n sitio donde introducir esos c車digos. Y as赤, lo ignoras todo, que es algo que el hacker busca tambi谷n.
El problema es que el proceso de verificaci車n de WhatsApp limita el n迆mero de c車digos que se pueden enviar. Despu谷s de unos cuantos intentos, el WhatsApp del atacante dir芍: "Vuelve a enviar un SMS/ll芍mame en 12 horas", y as赤 no se pueden generar nuevos c車digos. WhatsApp tambi谷n bloquea las entradas de c車digos en la app despu谷s de un n迆mero de intentos, diciendo al atacante "has adivinado demasiadas veces... int谷ntalo de nuevo en 12 horas".
Y as赤, mientras WhatsApp te sigue funcionando con normalidad en tu m車vil, el atacante ha bloqueado el env赤o de nuevos c車digos o su introducci車n en la pantalla de verificaci車n. Todo depende ahora de ese temporizador de 12 horas, que est芍 en cuenta atr芍s.
Mientras el cibercriminal hace todo esto, tu no echas cuenta y no sabes que 谷l ha bloqueado por 12 horas la forma en que tu podr赤as recuperar tu cuenta si tuvieras alg迆n problema. Ya ha preparado el escenario, y ahora va a por la segunda fase del plan.
Vulnerabilidad 2: WhatsApp te deja de funcionar
El atacante ahora registra una nueva direcci車n de correo electr車nico, y env赤a un email a support@whatsapp.com, el soporte oficial de la app, con el texto ※Cuenta perdida/robada, por favor desactiven mi n迆mero§, incluyendo tu n迆mero de tel谷fono. La propia WhatsApp puede enviar un correo electr車nico de respuesta autom芍tica pidiendo el n迆mero de nuevo, algo que el atacante hace.
El sistema de la app no tiene forma de saber si eres t迆 o no quien ha solicitado esto, s車lo que el n迆mero que consta es el tuyo. No hay preguntas de seguimiento para confirmar la propiedad del n迆mero. Pero se ha puesto en marcha un proceso automatizado, sin tu conocimiento, y tu cuenta ser芍 desactivada.
Una hora m芍s tarde, de repente, WhatsApp deja de funcionar en tu tel谷fono y ves una notificaci車n alarmante:
※Tu n迆mero de tel谷fono ya no est芍 registrado en WhatsApp en este tel谷fono. Esto puede deberse a que lo has registrado en otro tel谷fono. Si no lo hiciste, verifica tu n迆mero de tel谷fono para volver a entrar en tu cuenta".
Esta desactivaci車n parece estar automatizada, utilizando palabras clave para desencadenar acciones. Esto sucede incluso si tienes activada la verificaci車n en 2 pasos en tu cuenta de WhatsApp. Pero, aun as赤, esto no deber赤a ser un problema. S車lo tienes que solicitar un c車digo y volver a registrar tu cuenta. Lo haces, introduces y confirmas tu n迆mero. Pero no llega ning迆n mensaje. "Has intentado registrar [tu n迆mero] recientemente. Espera antes de solicitar un SMS o una llamada", te dice la app.
?A qu谷 viene esto? Al proceso de espera de 12 horas que el hacker activ車 anteriormente en su m車vil usando tu n迆mero de tel谷fono, bloqueando a posta tu opci車n de solicitar este c車digo. Llegados a este punto buscas e intentas usar el SMS m芍s reciente de los que te llegaron sin pedirlo, e introduces el c車digo en WhatsApp. Pero ni siquiera esto funciona. "Has adivinado demasiadas veces", te dice tu WhatsApp, y tu m車vil sigue sujeto a las mismas restricciones que el del atacante.
24 horas sin poder usar WhatsApp
Si el ataque quisiera detenerse aqu赤, t迆 podr赤as solicitar un nuevo SMS y verificar tu cuenta utilizando un nuevo c車digo de seis d赤gitos una vez que el temporizador de 12 horas haya expirado. Pero no lo va a hacer, ni tampoco necesita enviar un mensaje a WhatsApp durante esa primera cuenta atr芍s de 12 horas, sino que puede esperar y luego repetir el proceso. Recibir芍s muchos m芍s mensajes de texto, pero todav赤a no puedes hacer nada con ellos.
A sentarse a esperar: El hacker puede forzar hasta un tercer ciclo de 12 horas de espera -en este punto llevas m芍s de 1 d赤a sin haber podido usar WhatsApp en el m車vil. El problema con este tercer ciclo es que, seg迆n los investigadores, WhatsApp parece romperse. "Has adivinado demasiadas veces", dir芍 la app, "int谷ntalo de nuevo despu谷s de -1 segundos". Ahora no hay forma de que el atacante solicite o introduzca nuevos c車digos, no hay cuenta atr芍s, en lugar de decir "12 horas" dice "-1 segundos".
Incluso si el atacante desactiva tu tel谷fono durante el primer ciclo, puede empujarte a una segunda cuenta atr芍s de 12 horas si solicita e introduce c車digos al expirar la primera cuenta atr芍s antes de que tengas oportunidad. Recuerda que ellos ven el mismo temporizador que t迆. A partir de aqu赤 no puedes hacer nada, s車lo contactar con WhatsApp y explicarles qu谷 te est芍 sucediendo.
Un ataque simple, nada sofisticado
Una cosa est芍 clara con este sistema: No hay ninguna sofisticaci車n en este ataque: 谷se es el verdadero problema aqu赤, que la combinaci車n de esta arquitectura de verificaci車n, los SMS/c車digos y las acciones automatizadas basadas en palabras clave activadas por los correos electr車nicos entrantes se presta a abusos como los descubiertos por estos dos investigadores. Lo grave es que incluso tenemos una verificaci車n en 2 pasos activada, pero no sirve para nada al parecer.
Una forma de arreglar esto seg迆n Forbes es que ※WhatsApp podr赤a asegurarse de que una aplicaci車n en un dispositivo con 2FA registrado puede evitar este problema, utilizando 2FA como un interruptor. M芍s sencillo a迆n, cuando aparezca el acceso multidispositivo, WhatsApp podr赤a utilizar el concepto de dispositivo de confianza para permitir que una app verificada verifique a otra. Este es un sistema mucho mejor y acabar赤a con esta vulnerabilidad§.
※Si haces esto, es ilegal§
Lo m芍s extra?o de todo esto es que WhatsApp -y por ende Facebook- no parece creer que es demasiado grave la cosa. Incluso tras 4 avisos por parte de sus descubridores, WhatsApp no tiene intenci車n de arreglarlo, de hecho parece quitarle hierro. Como un portavoz confirm車 a Forbes: ※Proporcionar una direcci車n de correo electr車nico con la verificaci車n en dos pasos ayuda a nuestro equipo de atenci車n al cliente a ayudar a las personas si alguna vez se encuentran con este problema improbable. Las circunstancias identificadas por este investigador violar赤an nuestros t谷rminos de servicio y animamos a cualquiera que necesite ayuda a enviar un correo electr車nico a nuestro equipo de soporte para que podamos investigar§.
En resumen: Que cualquiera que use este m谷todo est芍 violando claramente las reglas de la aplicaci車n, y por tanto el usuario puede contactar con WhatsApp para que investiguen su caso. ?El problema? Pues que mientras investigan y no, t迆 como usuario no puedes usar tu WhatsApp, s車lo porque alguien est芍 abusando de los mecanismos de la aplicaci車n.
Forbes y otros expertos y foros concluyen que esto es ※una brecha de seguridad§ en toda regla, y como tal debe ser arreglada. Estaremos atentos a ver qu谷 sucede en los pr車ximos d赤as. Y tambi谷n a si las estad赤sticas de Telegram vuelven a subir estos d赤as en cuanto a ritmo de nuevos usuarios＃?Se avecina otra fuga de usuarios de WhatsApp?