Cómo funciona el cifrado de WhatsApp
En noviembre de 2014, los desarrolladores de Sistemas Whisper Abiertas han anunciado una colaboración con WhatsApp destinada a llevar su sistema a encriptado de fin a fin (TextSecure) en la popular aplicación de mensajería móvil. El cifrado de extremo a extremo funciona con un par de llaves: uno privado y otro público. Allí llave privada reside exclusivamente en nuestro teléfono inteligente y se utiliza para descifrar los mensajes recibidos desde el exterior. Allí clave públicaen cambio, se comparte con nuestro interlocutor y es utilizado por este último para cifrar los mensajes que nos son entregados (y viceversa). En el medio están los servidores de WhatsApp, que actúan como "carteros", es decir, reciben mensajes cifrados (por lo tanto ilegibles tanto para los responsables del servicio como para las personas malintencionadas) y los entregan al teléfono del destinatario.
Lo mejor del cifrado de extremo a extremo es que todo sucede a la velocidad del rayo y sin que el usuario tenga que mover un dedo. El único potencial desconocido radica en la aplicación real de este sistema. WhatsApp, de hecho, es un software de código cerrado y no es posible saber con absoluta certeza cómo maneja los mensajes. Lo único que se puede hacer, y que varios académicos han intentado hacer, es examinar el tráfico de datos de la aplicación con software como Wireshark (Te lo dije en mi publicación sobre cómo olfatear una red inalámbrica, ¿recuerdas?) E Yowsup.
Algunas de estas pruebas, como la realizada por Heise en abril de 2015, mostraron que el cifrado de extremo a extremo solo se utilizaba en la versión de WhatsApp para Android. Los demás continuaron usando un sistema de cifrado basado en el algoritmo RC4, que solo funcionaba en la salida (haciendo que los mensajes en los servidores de WhatsApp fueran potencialmente legibles) y no se ha considerado seguro durante varios meses. Pero ahora la situación ha cambiado El cifrado de extremo a extremo también ha llegado a otras plataformas (iOS, Windows Phone, etc.) y cubre todos los contenidos que transmite la aplicación: mensajes, chats grupales, videos, fotos, etc.
Por lo tanto, podemos decir que WhatsApp es razonablemente seguro; La captura de los mensajes que viajan en sus servidores debería ser una tarea muy difícil, pero conviene mantener algunas dudas sobre la imposibilidad de analizar a fondo el código fuente de la aplicación. Para obtener más detalles sobre el cifrado de extremo a extremo y su implementación dentro de WhatsApp, consulte mi tutorial sobre cómo cifrar WhatsApp.
Cómo espiar WhatsApp: técnicas de ingeniería social
Como acabamos de decir, capturar mensajes de WhatsApp intentando "olfatear" los datos que transitan por la red inalámbrica que utiliza el smartphone, gracias al cifrado de extremo a extremo, no es tan fácil como solía ser. Pero hay técnicas para espiar whatsapp, menos refinado, que aún puede dar en el blanco. Estas técnicas proporcionan acceso físico al teléfono inteligente de la víctima y, por lo tanto, involucran a los llamados ingeniería social.
En jerga técnica, la expresión ingeniería social se refiere a todas aquellas actividades que explotan la psicología humana para defraudar a la víctima de un ciberataque. Esto significa que un atacante podría fingir ser un amigo (o en cualquier caso confiable) y pedirle que le preste su teléfono por las razones más triviales (por ejemplo, hacer una llamada telefónica) y luego meter la nariz en sus datos personales, o en sus conversaciones de WhatsApp.
A continuación se muestran algunos ejemplos de un ataque directo a WhatsApp que requiere acceso físico al teléfono y, por tanto, un acercamiento a través de la ingeniería social.
Espiar WhatsApp a través de WhatsApp Web / Desktop
web WhatsApp es un servicio ofrecido de forma gratuita por WhatsApp que le permite leer y enviar mensajes desde su computadora utilizando su teléfono inteligente como un "puente". Te expliqué en detalle cómo funciona en mi tutorial sobre cómo usar WhatsApp en PC, donde también te hablé de la cliente oficial de WhatsApp para Windows y macOS que funciona de la misma manera.
Para usar WhatsApp Web y el cliente oficial de WhatsApp para computadoras, simplemente conéctese a una página web o abra el cliente de WhatsApp y escanee un código QR que aparece en la pantalla de la computadora usando la función apropiada de WhatsApp en el teléfono inteligente. Después de eso, si deja la marca en la opción activa Mantente conectado, el acceso al servicio se produce automáticamente cada vez que el teléfono inteligente se conecta a Internet.
Lo que es aún más importante señalar es que todo el funciona incluso si su teléfono inteligente y su computadora no están conectados a la misma red inalámbrica, esto significa que los dos dispositivos también pueden estar a una distancia considerable el uno del otro, lo importante es haber realizado el primer acceso con el código QR y mantener la marca de verificación en la opción “Mantente conectado”.
¿Qué significa esto? Significa que un atacante podría tomar prestado el teléfono de la víctima bajo cualquier pretexto, después de lo cual podría acceder a WhatsApp Web o al cliente de WhatsApp desde su computadora portátil (o incluso desde su teléfono inteligente / tableta, habilitando la vista de escritorio del sitio o usando aplicaciones que se basan en WhatsApp Web) y así acceder a las conversaciones del usuario para ser espiado.
Sin embargo, se debe precisar que esta solución puede no ser factible, en el caso de que el usuario haya configurado protecciones de reconocimiento biométrico en su dispositivo, como desbloqueo con el rostro o usando la huella dactilar. En este caso concreto, por tanto, no es posible acceder web WhatsApp, sin el permiso del propietario del dispositivo.
Espiar WhatsApp disfrazando la dirección MAC
Il dirección MAC (acrónimo de Media Access Control) es una dirección de 12 dígitos que le permite identificar de manera única las tarjetas de red en las PC y, de manera más general, todos los dispositivos capaces de conectarse a Internet, como los teléfonos inteligentes.
Al disfrazar la dirección MAC de su teléfono inteligente, un atacante podría "engañar" a WhatsApp e instalar una copia de la aplicación en su teléfono para recibir todos los mensajes de la víctima. Afortunadamente, esta es una operación bastante compleja que tarda mucho en completarse, pero es bueno conocerla para evitar que algún "astuto" pueda ponerla en práctica. A continuación, ilustre los distintos pasos que debe seguir para disfrazar la dirección MAC de su teléfono e instalar una copia "clonada" de WhatsApp.
- Como primer paso, para disfrazar la dirección MAC de su teléfono inteligente, debe desbloquear el sistema operativo con operaciones como root en Android o jailbreak en iPhone e instalar aplicaciones adecuadas para el propósito (ej. SpoofMAC para iPhone y el emparejamiento BusyBox,Dirección Mac fantasma para Android).
- A continuación, todas las copias de WhatsApp en el dispositivo deben eliminarse y prepararse para tomar medidas.
- La acción, en este caso, consiste en tomar prestado el smartphone de la persona a la que se va a espiar y realizar estas dos operaciones.
- Averigüe la dirección MAC del dispositivo (en Android solo vaya al menú Configuración> Acerca del teléfono> Estado, en iPhone en el menú Configuración> General> Información> Dirección Wi-Fi).
- Configure la dirección MAC del teléfono que se va a espiar en su teléfono inteligente.
- Instale WhatsApp en su teléfono inteligente y actívelo usando el número de teléfono de la víctima (en el cual se entregará el código de activación de la aplicación).
Espiar WhatsApp usando el número de teléfono de la víctima
Algunos sitios sugieren que espiar whatsapp instalando una copia de la aplicación en su teléfono y recibiendo su código de activación en el teléfono inteligente de la víctima (que, por lo tanto, debe estar temporalmente a mano).
Esta técnica no funciona, o mejor dicho, no funciona mientras WhatsApp te permite asociar números de teléfono con un solo dispositivo a la vez. Esto significa que al activar dos teléfonos inteligentes con el mismo número de móvil, el primero deja de funcionar y la víctima, afortunadamente, se da cuenta de inmediato del uso no autorizado de su cuenta.
Espiar WhatsApp con aplicaciones de control parental y aplicaciones de espionaje
En el mercado existen muchas aplicaciones de control parental, casi siempre de pago pero con versiones de prueba gratuitas, que permiten monitorizar las actividades realizadas en un smartphone, controlar el teléfono de forma remota y realizar capturas de pantalla de forma remota. Bueno, algunos de ellos también podrían explotarse con fines ilícitos y usarse para espiar mensajes intercambiados en WhatsApp u otros sistemas de mensajería.
Entre las aplicaciones de control parental más efectivas y fáciles de usar actualmente disponibles en el mercado, me gustaría señalar Qustodio para Android e iOS e <div style=" line-height:1em;">El tiempo<br>DE PANTALLA</div> que también está disponible para Android e iOS. Ambas aplicaciones, una vez instaladas en el teléfono inteligente de la víctima, le permiten saber si la víctima accede a WhatsApp y cuándo y le permiten bloquear o limitar el uso de la aplicación de forma remota. No le permiten capturar directamente las conversaciones intercambiadas dentro del servicio, pero incluyen otras características que son muy invasivas para la privacidad.
Incluso más peligrosos desde la perspectiva de WhatsApp son los aplicaciones espía, es decir, aplicaciones diseñadas exclusivamente para espiar el teléfono inteligente de la víctima, que son completamente invisibles y también le permiten recoger mensajes escritos en el teclado del teléfono.
Entre las aplicaciones de espionaje más populares en este momento se encuentra iKeyMonitor que es compatible tanto con Android como con iPhone, pero afortunadamente es bastante difícil de configurar y, sobre todo, es bastante cara ya que cuesta 22,49 $ / mes (después de 3 días gratis juicio).
Para obtener más información sobre Qustodio, Screen Time y otras aplicaciones que se pueden usar con fines de espionaje, consulte mis publicaciones sobre cómo espiar un teléfono celular y cómo espiar teléfonos celulares Android.
Aplicación para monitorear el acceso a WhatsApp
No pueden ser aplicaciones correctamente definidas para espiar WhatsApp, pero sepa que también hay aplicaciones que le permiten monitorear el acceso a whatsapp por un usuario, anotando los tiempos de las últimas conexiones al servicio y el tiempo de permanencia dentro del mismo. Se trata de soluciones particularmente "desagradables", ya que funcionan de forma remota y no requieren acceso al teléfono inteligente de la víctima (de hecho, utilizan datos públicos proporcionados por WhatsApp y, por lo tanto, no pueden definirse correctamente como una aplicación espía).
Cómo protegerse de los espías
Después de hacer este resumen "aterrador" sobre las técnicas de espionaje más populares para las conversaciones de WhatsApp, veamos algunos consejos prácticos sobre cómo defenderse de los entrometidos. Estas son reglas simples de sentido común a seguir para evitar el robo de identidad y otras sorpresas desagradables (no necesariamente relacionadas con WhatsApp).
- Utilice un PIN seguro - El primer consejo que me gustaría darle es que use un PIN seguro para desbloquear la pantalla de bloqueo del teléfono inteligente (¡no, 1111 y 1234 no son PIN seguros!). Puede cambiar el PIN muy fácilmente utilizando el menú de configuración de su teléfono inteligente.
- Android - Configuración> Seguridad> Bloqueo de pantalla> PIN (o Patrón si prefiere usar un gesto en lugar del PIN numérico).
- iPhone - Configuración> Touch ID y código> Cambiar código.
- Deshabilitar SMS en la pantalla de bloqueo - si quiere evitar el riesgo de que algún atacante active una copia "clonada" de WhatsApp enviando un SMS de confirmación a su teléfono inteligente, desactive la visualización de SMS en la pantalla de bloqueo (de esta forma, cualquier atacante debe tener acceso completo a la smartphone para llevar a cabo su plan y no podrá hacerlo con el teléfono bloqueado).
- Android - Configuración> Seguridad> Bloqueo de pantalla> PIN. Después de configurar el PIN, puede elegir si no mostrar notificaciones en absoluto (para cualquier aplicación) o si ocultar solo el contenido sensible. Si elige esta segunda opción, solo puede desactivar la visualización de SMS en la pantalla de bloqueo.
- iPhone - Configuración> Notificaciones> Mensajes> desmarque la opción Mostrar en "Pantalla de bloqueo".
- Consulta tus sesiones web de WhatsApp - como hemos visto anteriormente, es posible violar la privacidad de los usuarios de WhatsApp activando "ilegalmente" el servicio Web de WhatsApp. Si le preocupa que alguien haya realizado una operación de este tipo en su contra, consulte las sesiones Web de WhatsApp activas para su cuenta y, si encuentra alguna sospechosa, desactívela. Para verificar las sesiones web de WhatsApp abiertas para su cuenta, vaya al menú Configuración> Web / Escritorio de WhatsApp. Sin embargo, para desactivarlos todos, primero presione el botón Cerrar sesión en todas las computadoras y luego Desconectar.
- Reactive su cuenta inmediatamente en caso de desactivación - si alguien activó una segunda copia de WhatsApp usando su número, el servicio dejará de funcionar en su teléfono inteligente. Si de repente su cuenta se desactiva, proceda a activarla nuevamente y comuníquese con el soporte de WhatsApp en [email protected] para informar que probablemente quieran robar su identidad.
- No uses software espía - En Internet se anuncian muchas aplicaciones de espionaje que prometen capturar todos los mensajes de WhatsApp. Hay muy pocos que realmente funcionen. En la mayoría de los casos, estas son estafas bonitas y buenas, o incluso malware destinado a robar datos de usuarios con fines ilegales. ¡Intenta mantenerte alejado de ellos!
- No prestes tu smartphone al primero que venga - ¡Este consejo también nos lo podrían dar nuestras abuelas, pero siempre es mejor reiterar ciertos conceptos!
ATENCION: esta guía se ha escrito únicamente con fines ilustrativos. Espiar las conversaciones de otras personas es un delito castigado por la ley, por lo que no me hago responsable de cómo utilizará la información contenida en el artículo.
