Así han estado robando cuentas WhatsApp de clientes de operadoras en España con la técnica del buzoneo

Que asco, los chorizos siempre estrujándose la cabeza para averiguar nuevos métodos para robar. Si utilizaran su cerebro para trabajar de verdad…

Si la tecla cada vez es distinta el atacante tiene cada vez 1 probabilidad entre 10 de acertar. Si tiene infinitos intentos al final lo acertará. Otro asunto es que al tercer intento erróneo WhatsApp bloquee la verificación por ejemplo en cuyo caso la probabilidad de acertar es del 30%. Que no es desdeñable.

Solución: desactivar el buzón de voz.

Gracias Josh por dar visibilidad al fallo. No hace mucho vi también videos en YouTube de como lo hacían con Orange, pero ahora no los encuentro, quizás los eliminaron, en esta operadora la técnica era llamar con spoofing al buzón de voz de Orange 656242242 y meter el número de la víctima cliente de Orange. Además, en el caso de Orange y sus virtuales, concretamente los que están en su CRM o que comparten por así decirlo las iniciales del ICCID 893401, el buzón de voz es un auténtico caos, pues el fallo es aún más gordo. Sólo basta con hacer spoofing al propio número de la víctima que ya tenga el buzón activo y el sistema detecta que la llamada recibida viene desde el mismo número de teléfono y se accede al buzón de voz.

Un ejemplo: En Simyo, si tienes activo el buzón de voz y te llamas a tu propio número, accedes al buzón de voz. Pues lo mismo sucede si un delincuente utiliza tu mismo número y te llama y le salta tu buzón de voz, entraría al buzón de voz de forma automática, por tanto si tienes el móvil apagado ya estás en peligro. Aunque WhatsApp haya introducido este método, hay otros sitios como cuentas de Google y otras mensajerías que siguen dictando el código mediante una locución, pueden seguir dejando el código en un mensaje del buzón de voz.

A día de hoy hay compañías afectadas, como he comentado antes, Simyo es una de ellas, también Suop, PTV Telecom y habría que hacer pruebas con algunas más. Entiendo que Youmobile y LLamaya 3G y las que aún sigan con red Orange también tendrán el fallo.

Misteriosamente y desde hace algunas semanas, he portado varios números a Simyo y también algunos amigos, pues todos ellos venían con el buzón de voz desactivado, cuando esto antes no era así, el buzón siempre ha venido activado por defecto, parece un bug, por que al intentar activarlo por el área de clientes no se activa a no ser que enciendas la línea y lo actives tú posteriormente.

Desde que sepa más compañías afectadas las iré publicando, además conozco más bugs y fallos de seguridad que estoy a la espera de que sean solucionados por otras empresas , incluso bancarias, como no tomen medidas las empresas al final esto acabará muy mal xD

Por cierto, el fallo está presente en multitud de operadoras de otros países también.

No, del buzón de voz no, fraudes por ejemplo con el alta del servicio Bizum, entre otros. Hay un bug que estoy investigando desde hace tiempo que me comentó una persona afectada, la cual ha recibido ya varias suplantaciones en el servicio Bizum. Esta persona no utiliza este servicio, pero su número ya se ha dado de alta varias veces en el servicio Bizum a nombre de otras personas. Y ya he visto algunos más casos. Bizum dice que la culpa es de la entidad bancaria que asocia el número a la cuenta bancaria de su cliente en cuestión sin verificar, y luego el cliente hace el alta de Bizum también sin verificar por SMS nada, cosa que me parece muy extraña, tampoco quieren aportar la entidad bancaria culpable, la cual sospecho que son varias.

De momento ya he cazado una entidad que permite cambiar el número de teléfono móvil y asociarlo a cuentas de sus clientes sin verificarlos por SMS, además es muy conocida, pero de momento no puedo decir nada ya que lo están intentando solucionar y si no, saldrá todo a la luz. Pero como comento, hay más entidades involucradas.

Si alguien tiene forma de saber a qué entidad puede estar asociado un número, os doy algunos números de ejemplos que están suplantados en la plataforma Bizum a día de hoy.

700000000 (este ni está asignado a ningún operador)

612345678

642642642 (Este de DigiMobil) como se entere Digi, se les va a caer el pelo a los de Bizum y a la que lo tiene asociado xD.

Es fácil comprobar si un número tiene Bizum, en vuestro banco accedéis a la cuenta y le dáis a solicitar un bizum, ponéis una cantidad mínima de 0,50€ céntimos por ejemplo, mentéis un número al azar y os sale si el número tiene Bizum por que os sale el nombre y las iniciales de los apellidos. No hace falta darle a continuar y solicitar el Bizum, con ver la información es suficiente.

Por cierto, volviendo al tema de antes, los del Spoofing utilizan una App llamada "TalkU", lo que pasa que la modifican y en el campo "value" ponen el número que desean, engañando al servidor para así mostrar al llamar el número que desean suplantar.

Luego hay otras Apps como SpoofGuard que aunque no está disponible en España, permite suplantar un número sin hacer nada raro.

Por último, la más peligrosa, y la que se utilizó en el fraude de los famosos "mensajes dictados" está la "Fun Phone Call", disponible en iOS y el Apk en Android descargable en internet. No hay que ser muy listo para bucear un poco en internet y buscar Apks de Android modificadas para hacer estas cosas. La culpa la tienen los fallos de las compañías, el BBVA te identifica si llamas con tu número, Vodafone, Orange, Simyo o Yoigo igual, por decir algunas, los buzones igual. Con esto del spoofing estamos en peligro, y la culpa de todo la tienen las compañías y los IVRS que dan información y realizan gestiones sin pedir el DNI del titular.

Aquí un vídeo de la App modificada:

youtube.com/watch?v=tS7cqoNrzwg

La mayoría de las suplantaciones vienen de fuera de España, aunque aquí se puede hacer también no veo que sea tan sencillo como lo hace esta gente que cuelga esos videos, por que muchas de las Apps ya están retiradas de las tiendas de aplicaciones.