Ciberdelincuentes pueden usar tu número de teléfono para intentar tomar control de tus cuentas

Santo Domingo.- Aunque conocer un número telefónico no permite por sí solo acceder a un celular, WhatsApp o una cuenta bancaria, los ciberdelincuentes pueden utilizarlo para recopilar información personal, preparar engaños, intentar tomar el control de cuentas e incluso apropiarse de la línea mediante el llamado SIM swapping.

David González, investigador de seguridad informática de ESET Latinoamérica, explica que el número de teléfono parece uno de los datos más cotidianos que compartimos, pues las personas lo entregan al registrarse en servicios, realizar compras, solicitar entregas, completar formularios o simplemente para mantenerse comunicados, pero su estrecha relación con buena parte de la actividad digital lo ha convertido también en una información de interés para los ciberdelincuentes.

Indica: "La razón está en todo lo que puede existir detrás de esos dígitos. Un número puede estar asociado al correo electrónico, redes sociales, aplicaciones de mensajería y mecanismos utilizados para verificar la identidad o recuperar el acceso a diferentes cuentas".

Aunque esto no significa que conocer un número telefónico otorgue automáticamente acceso a la vida digital de su propietario, ya que un atacante no puede entrar al celular, leer conversaciones de WhatsApp o acceder a una cuenta bancaria simplemente porque tenga ese dato, pero el verdadero riesgo aparece cuando lo utiliza como punto de partida para conseguir más información o ejecutar otros ataques.

El investigador de seguridad informática de ESET Latinoamérica explica que el número por sí solo tiene capacidades limitadas, pero su vinculación con otros aspectos de la identidad digital puede convertirlo en una pieza inicial para diferentes modalidades de fraude.

Investigar quién está detrás

De acuerdo con el especialista, una de las primeras acciones que puede realizar un ciberdelincuente es tratar de descubrir a quién pertenece el número.

Agrega: "Puede intentar relacionarlo con información disponible públicamente, como el nombre de la persona, perfiles de redes sociales, cuentas de mensajería, publicaciones y otros datos que hayan quedado expuestos previamente en filtraciones. Mientras más información consiga reunir, mayores posibilidades tendrá de construir un engaño convincente".

Indica que el peligro, por tanto, no necesariamente está en un dato aislado, sino en la posibilidad de combinar diferentes fragmentos de información hasta crear un perfil de la víctima.

Conocer el nombre, teléfono y determinados datos relacionados con una persona puede facilitar que un mensaje fraudulento parezca legítimo y genere confianza.

Llamadas y mensajes para engañar

Una vez que tiene el número, asegura González, el delincuente también dispone de un canal directo para intentar contactar a la víctima y puede hacerlo mediante llamadas, mensajes SMS, WhatsApp u otros servicios de mensajería y recurrir a técnicas de ingeniería social para presentarse como alguien confiable.

El atacante puede hacerse pasar por un banco, una empresa conocida, un servicio de entrega, personal de soporte técnico o incluso alguien relacionado con el entorno de la víctima.

"El propósito es provocar una reacción: conseguir una contraseña, un código de verificación, información personal o financiera, o convencer a la persona para que pulse un enlace malicioso".

Este tipo de fraude se apoya especialmente en la confianza y en la urgencia y asegura que un mensaje puede advertir sobre un supuesto problema con una cuenta, una entrega pendiente o una situación que requiere una respuesta inmediata, "por eso, recibir un mensaje desde un número aparentemente normal o que incluya información real sobre nosotros no garantiza que quien está detrás sea legítimo".

El código que nunca debes entregar

El especializa destaca que uno de los riesgos más importantes aparece porque numerosos servicios utilizan el teléfono para verificar la identidad, iniciar sesión, recuperar contraseñas o enviar códigos de acceso.

"Un ejemplo frecuente puede comenzar con la llegada inesperada de un código de verificación de WhatsApp, poco después, una persona escribe diciendo que introdujo el número por equivocación y solicita que le reenvíen ese código. La aparente equivocación forma parte del engaño porque ese código fue generado porque alguien está intentando registrar o acceder a la cuenta vinculada al número. Entregarlo puede facilitar que el atacante complete el proceso y tome control de ella".

Por esa razón, aconseja, los códigos de verificación deben tratarse como una contraseña: "no deben compartirse con nadie, aunque quien los solicite parezca tener una explicación convincente".

Cuando buscan quedarse con el número

David González indica que existe un escenario todavía más delicado: que el atacante intente apropiarse directamente de la línea telefónica.

"La técnica se conoce como SIM swapping y consiste en intentar convencer al operador de telefonía de que quien realiza la solicitud es el verdadero titular de la línea, con el objetivo de transferir el número a otra tarjeta SIM".

Si el fraude tiene éxito, explica, las llamadas y mensajes destinados al propietario comienzan a llegar al dispositivo controlado por el atacante.

La diferencia es importante, porque ya no se trata de convencer a la víctima para que entregue un código de seguridad: el delincuente busca colocarse en posición de recibir directamente esos mensajes y códigos.

Esto puede aumentar las posibilidades de intentar recuperar contraseñas o acceder a servicios que todavía utilizan mensajes SMS como mecanismo de verificación.

Puede leer

Una palabra secreta puede ayudar a detectar la estafa de llamadas con voces clonadas por IA

De un número a varias cuentas

El riesgo puede crecer cuando una cuenta comprometida facilita el acceso o el engaño sobre otras, "a partir del teléfono, un atacante puede intentar obtener información personal, tomar control de WhatsApp u otros servicios de mensajería, acceder a redes sociales, modificar credenciales o buscar llegar al correo electrónico".

El especialista cuenta que también puede aprovechar una cuenta comprometida para hacerse pasar por la víctima frente a sus contactos.

Así, un fraude inicialmente dirigido contra una persona puede extenderse a familiares, amigos o compañeros de trabajo, pues un mensaje enviado desde una cuenta conocida puede generar mucha más confianza que otro procedente de un desconocido.

En este caso, asegura David González, la víctima deja entonces de ser solamente el objetivo del ataque y su identidad digital puede convertirse en una herramienta para intentar engañar a otros.

El teléfono no actúa solo

González hace una precisión importante: que un ciberdelincuente conozca nuestro número no significa que automáticamente tenga acceso a nuestras cuentas.

Agrega: "El número funciona, más bien, como una pieza que puede ser utilizada junto con información pública, datos filtrados, técnicas de ingeniería social, recuperación de contraseñas o intentos de apropiación de la línea."

Por eso, afirma el investigador de seguridad informática de ESET Latinoamérica, la protección no debe limitarse a esconder el número telefónico, "implica reducir la cantidad de información personal que dejamos públicamente disponible y reforzar la seguridad de las cuentas vinculadas a nuestra identidad digital".

¿Cómo reducir el riesgo?

David González, investigador de seguridad informática de ESET Latinoamérica, brinda algunas medidas de prevención útiles para evitar ser víctimas:

• No compartir nunca códigos de verificación, independientemente de la historia utilizada para solicitarlos.
• Tampoco proporcionar información personal ante llamadas o mensajes no solicitados. Si alguien asegura comunicarse desde un banco, empresa o servicio y solicita datos sensibles, lo prudente es terminar la comunicación y verificar la situación utilizando los canales oficiales de la entidad.
• Revisar periódicamente qué información personal permanece visible públicamente en internet y redes sociales.
• Otra medida fundamental es activar el doble factor de autenticación en las cuentas que lo permitan. De esta manera, una contraseña comprometida no necesariamente será suficiente para conseguir acceso.

González destaca que la combinación de medidas de seguridad cobra especial importancia porque el teléfono se ha convertido en mucho más que un instrumento para realizar llamadas y para muchas personas es una llave de entrada a conversaciones, fotografías, redes sociales, correo electrónico y diferentes servicios.

Concluye: "Y esa es precisamente la razón por la que un dato aparentemente tan simple como un número puede adquirir valor para los delincuentes digitales: no necesariamente por lo que permite hacer por sí solo, sino por todo aquello a lo que puede conducir".

Puede leer

Los permisos de privacidad