Dos ingenieros expertos en ciberseguridad advierten: "Te pueden hackear el Whatsapp si tenés el buzón de voz activado en el celular"

En el ámbito de la seguridad informática y la protección de datos personales, los métodos de estafa virtual mutaron hacia estrategias silenciosas que prescinden de los engaños tradicionales. A diferencia del secuestro de cuentas mediante enlaces maliciosos (phishing) o la solicitud engañosa de claves por mensaje, existe un vector de vulnerabilidad que permite tomar el control de una cuenta de WhatsApp sin interacción con la víctima.

A través de sus plataformas de divulgación digital en CyberCouple, los ingenieros en ciberseguridad Fede y Gui advirtieron que mantener activo el contestador automático del celular puede vulnerar el sistema de verificación de la aplicación de mensajería. El riesgo no proviene de un fallo directo en la aplicación, sino del uso de herramientas telefónicas obsoletas que conservan configuraciones fabriles de baja protección.

Cómo funciona el acceso no autorizado mediante el buzón de voz

El mecanismo de vulneración aprovecha la función de autenticación alternativa que ofrece la plataforma de mensajería durante el proceso de instalación en un nuevo dispositivo.

El procedimiento se desarrolla a través de las siguientes etapas:

• Solicitud de inicio de sesión: El atacante ingresa el número telefónico de la víctima en otro equipo para solicitar el código de activación.

• Desviación hacia la llamada automatizada: Como el código por mensaje de texto (SMS) llega al dispositivo de la víctima, el ciberdelincuente solicita la opción de verificación por llamada telefónica, generalmente durante el horario nocturno mientras el usuario duerme.

• Grabación en el contestador: Al no recibir respuesta, la llamada del sistema automatizado de WhatsApp se deriva al buzón de voz, donde el contestador graba el mensaje dictando el código numérico de acceso.

• Acceso remoto mediante PIN de fábrica: El atacante llama al buzón de voz de la víctima desde una línea externa e ingresa la clave predeterminada de la operadora (claves genéricas como "0000" o "1234" que la mayoría de los usuarios no cambia). Una vez dentro de la casilla, escucha el mensaje grabado, obtiene el código y valida la cuenta en su dispositivo.

De este modo, la toma de control se concreta sin que el usuario haya hecho clic en ningún enlace sospechoso ni compartido información personal de manera directa.

Tres medidas de prevención indispensables para proteger la cuenta

Para cerrar esta brecha de seguridad en los teléfonos inteligentes, los especialistas en informática aconsejan implementar un esquema de protección preventivo dividido en tres pasos concretos:.

1. Desactivar el buzón de voz: Si el servicio de contestador no se utiliza habitualmente, lo más conveniente es solicitar su baja definitiva a través de los canales de atención del operador móvil o mediante el menú de ajustes del dispositivo.

2. Modificar el PIN por defecto: En caso de necesitar la casilla de mensajes, resulta urgente cambiar la clave de acceso remoto predeterminada por un código personalizado de mayor complejidad.

3. Activar la verificación en dos pasos: Habilitar esta función dentro de WhatsApp (en el menú Configuración > Cuenta > Verificación en dos pasos) establece un PIN personal e imprevisto de seis dígitos que la aplicación solicitará cada vez que se intente registrar el número en un nuevo teléfono.

Revisar las configuraciones antiguas de las líneas telefónicas garantiza una barrera de protección efectiva frente a los ciberataques invisibles.