Alerten d'una estafa a WhatsApp que permet a l'atacant escriure missatges en nom teu
Un missatge de WhatsApp, d'una de les teves millors amigues, podria amagar una estafa. En el mateix xat en què parleu habitualment, l'últim que t'ha enviat el podria haver escrit algú altre. Especialment si et demana diners.
Es tracta d'una nova modalitat d'estafa que utilitza un problema de seguretat de WhatsApp que permet a un atacant prendre el control d'un compte, escriure-hi i veure'n tots els xats, contactes i arxius compartits.
La Policia Nacional acaba d'alertar que els delinqüents que la fan servir poden enviar missatges des de comptes legítims sense que ni tan sols els propietaris en siguin conscients.
El xat i el contacte són autèntics, però la conversa, no.
Els ciberdelinqüents, doncs, obtindrien accés no autoritzat a un compte del servei de missatgeria sense haver de robar contrasenyes ni clonar cap targeta SIM.
Contràriament a com funcionen les estafes habituals a WhatsApp, en aquest cas la policia assegura que una de les possibilitats investigades és que el compte de WhatsApp hagi estat atacat sense que el seu titular hagués de facilitar voluntàriament contrasenyes o codi de verificació.
La policia acaba d'alertar d'un repunt d'aquesta estafa. Tot i que no era tan coneguda, se sap de vulnerabilitats almenys des de finals del 2025 que permetrien fer atacs d'aquestes característiques.
Què és l'atac ghostpairing?
Des de fa uns anys, WhatsApp permet obrir sessió en més d'un dispositiu a part del telèfon. Permet tenir fins a 4 dispositius diferents per cada compte de WhatsApp.
D'aquesta manera, pots començar una conversa en el bus, amb l'app del mòbil, pots respondre amb un sticker des del portàtil en l'aplicació WhatsApp per a Windows i escoltar una nota de veu des de l'ordinador de la feina, en la versió web de WhatsApp.
La llista de dispositius compatibles és llarga: pots escriure missatges des de Mac, tauletes Android o iOS, rellotges intel·ligents o fins i tot ulleres intel·ligents o de realitat virtual.
Tots aquests dispositius es vinculen al teu compte i pots consultar quins tens actius en qualsevol moment, des del teu perfil de WhatsApp dins l'apartat Dispositius Vinculats.
Utilitzant el mètode ghostpairing, un atacant pot enganyar la víctima per aconseguir registrar el seu propi navegador com a un nou dispositiu vinculat.
Habitualment, pel que descriuen els investigadors que van descobrir el mètode, l'atacant envia un missatge amb un enllaç que pica la curiositat de la víctima. En la pàgina que s'obre apareix un web amb aparença familiar, similar a Facebook, amb un codi QR o un codi numèric que demanen escanejar o introduir a WhatsApp per veure el contingut promès al missatge.
No és un problema en el codi, sinó un problema de seguretat. De fet, aquest és el mateix mètode legítim i habitual per poder vincular el teu compte des d'un nou dispositiu que, suposadament, tens a les mans en aquell moment.
Quan l'usuari escaneja el codi QR o introdueix el codi numèric a WhatsApp, el dispositiu que vulgui l'atacant ja forma part de la llista de dispositius vinculats: tot el que pot fer i veure el titular, ara ho pot fer l'atacant.
Recomanacions de seguretat
Per no caure en aquesta estafa o d'altres de similars, la Policia Nacional recomana confirmar la seva veracitat a través d'una trucada telefònica, especialment quan se sol·licitin diners de forma urgent, encara que el missatge ens l'hagi enviat un contacte habitual.
És útil "prestar especial atenció a la manera com s'expressa el contacte" per detectar "expressions inusuals o paraules escrites d'una manera diferent" de com les escriuen els nostres coneguts.
També cal revisar els dispositius que tenim vinculats al compte de WhatsApp i, si no els reconeixem, tancar-ne la sessió a distància des del mateix apartat.
Cal recordar que mai s'han de facilitar codis de verificació ni contrasenyes rebuts per SMS o mitjançant altres aplicacions. En el cas del ghostpairing descrit més amunt, queda demostrat que tampoc s'han d'introduir codis de WhatsApp en pàgines web obertes a partir d'enllaços que ens han enviat.
Com sempre, cal mantenir actualitzats WhatsApp i el sistema operatiu del telèfon, per disposar de les darreres correccions de seguretat, avui en dia amb més urgència per la rapidesa amb què es descobreixen noves vulnerabilitats a través de la IA.
