Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Filtración de datos de WhatsApp
Filtración de datos de WhatsApp
Una enorme filtración de datos afectó a usuarios de WhatsApp cuando se extrajeron números de teléfono de 84 países y se pusieron a la venta en línea. Este incidente expuso casi 500 millones de números de teléfono de usuarios, lo que evidenció una falla de privacidad significativa para el gigante de mensajería propiedad de Meta y puso a millones en riesgo de phishing, smishing, y otros ataques dirigidos.
Filtración de datos de WhatsApp explicada: ¿qué pasó?
En noviembre de 2022, una enorme base de datos con los números de teléfono de casi 500 millones de usuarios de WhatsApp de 84 países se anunció en venta en un foro de hackers. El actor de amenazas afirmó que los datos eran "muy recientes" y que se obtuvieron mediante scraping, al explotar una vulnerabilidad en la plataforma de WhatsApp para recolectar datos de usuarios a gran escala sin autorización.
¿Cuándo ocurrió la filtración de datos de WhatsApp?
La filtración de datos se informó públicamente el 16 de noviembre de 2022, cuando el conjunto de datos se anunció por primera vez en venta en un conocido foro de la comunidad hacker. Sin embargo, es probable que las actividades de scraping hayan ocurrido durante un período previo a esa fecha.
¿Quién hackeó WhatsApp?
Se desconocen las identidades y motivaciones detrás de la filtración de datos de WhatsApp. El actor de amenazas que publicó la base de datos a la venta en el foro de hackers no reveló su identidad ni su afiliación con ningún grupo de hackers conocido. Su principal motivación parece haber sido el beneficio económico.
¿Cómo ocurrió la filtración de WhatsApp?
La filtración no fue un hackeo tradicional que implicara infiltración en sistemas. En cambio, fue el resultado de data scraping. Esta técnica consiste en usar bots automatizados para extraer grandes cantidades de información de un sitio web o app. El atacante probablemente explotó una vulnerabilidad en el sistema de WhatsApp que permitía verificar si los números de teléfono estaban asociados a cuentas activas de WhatsApp, un proceso conocido como enumeración.
Cronología de la filtración de datos de WhatsApp
Antes de noviembre de 2022: Un actor de amenazas usa técnicas de scraping automatizado para recolectar números de teléfono de usuarios activos de WhatsApp en la plataforma.
16 de noviembre de 2022: La base de datos que contiene casi 500 millones de números de teléfono de usuarios se anuncia a la venta en un foro de la comunidad hacker.
26 de noviembre de 2022: Cybernews investiga y confirma la autenticidad de una muestra de los datos filtrados.
28 de noviembre de 2022: Importantes publicaciones tecnológicas publican un informe sobre la filtración, lo que la lleva a la atención pública mundial. WhatsApp emite un comunicado negando un hackeo de sistema, pero reconoce la posibilidad de scraping y señala un incidente similar ocurrido en 2019.
Septiembre de 2021 (contexto relacionado): La Comisión de Protección de Datos de Irlanda (DPC) multa a WhatsApp con 225 millones de euros por no ser transparente sobre sus prácticas de procesamiento de datos con los usuarios y otras empresas de Facebook, una decisión relacionada con investigaciones que comenzaron en 2018.
Detalles técnicos
Los atacantes probablemente usaron un script automatizado para hacer "ping" a listas masivas de números de teléfono contra la API de WhatsApp. Si un número estaba registrado en WhatsApp, el sistema confirmaba su existencia, lo que permitía al scraper agregarlo a su base de datos. Esta es una forma de ataque de enumeración, donde los atacantes abusan de una función (como verificar contactos) para confirmar cuentas de usuario válidas. Este método no requiere vulnerar servidores, sino que explota funciones expuestas públicamente para recolectar datos de forma ilegal.
Indicadores de compromiso (IoC)
Dado que este fue un incidente de data scraping y no un ataque basado en malware, no hay indicadores de compromiso tradicionales como hashes de archivos, direcciones IP maliciosas o dominios. El indicador principal fue la aparición del gran conjunto de datos de números de teléfono a la venta en la dark web.
Investigación forense y del incidente
WhatsApp (propiedad de Meta) investigó las afirmaciones y declaró que no encontró evidencia de una filtración de datos en sus sistemas. Afirmaron que las acusaciones se basaban en "capturas de pantalla sin fundamento" y sugirieron que los números de teléfono probablemente se recolectaron mediante scraping, lo cual viola sus términos de servicio. Esta postura refleja su respuesta a un incidente similar en 2019. La Comisión de Protección de Datos de Irlanda, que previamente había investigado las prácticas de datos de WhatsApp, mencionó el incidente en el contexto más amplio de las obligaciones de protección de datos de la plataforma.
¿Qué datos se vieron comprometidos en la filtración de WhatsApp?
Los principales datos comprometidos en esta filtración fueron información de identificación personal (PII). En concreto:
Números de teléfono activos de usuarios de WhatsApp.
El conjunto de datos no incluyó el contenido de los mensajes, que está protegido por cifrado de extremo a extremo. Sin embargo, contar con una lista de números de teléfono activos es sumamente valioso para que los ciberdelincuentes lancen campañas dirigidas de phishing y smishing.
¿A cuántas personas afectó la filtración de datos de WhatsApp?
El actor de amenazas afirmó que el conjunto de datos contenía 487 millones de números de teléfono de usuarios. Los datos estaban divididos por país, con grandes cantidades de usuarios afectados en Egipto (45 millones), Italia (35 millones), Estados Unidos (32 millones), Arabia Saudita (29 millones) y Francia (20 millones).
¿Se expusieron mis datos en la filtración de WhatsApp?
WhatsApp no ofrece ninguna herramienta oficial para verificar si tu número de teléfono formó parte de este conjunto de datos extraído. La mejor opción es asumir que sí. Mantente especialmente alerta ante mensajes no solicitados de números desconocidos, en particular los que contienen enlaces o piden información personal. Si recibes un mensaje de texto sospechoso, no hagas clic y simplemente bloquea el número.
Principales impactos de la filtración de WhatsApp
Aunque WhatsApp no sufrió interrupciones en el sistema, los impactos fueron significativos:
Daño reputacional: El incidente erosionó aún más la confianza de los usuarios en la capacidad de Meta para proteger sus datos, especialmente después de otros escándalos de privacidad de alto perfil.
Mayor riesgo para los usuarios: Los casi 500 millones de usuarios cuyos números quedaron expuestos ahora enfrentan un riesgo mucho mayor de ataques de spam, smishing (phishing por SMS) y vishing (phishing por voz).
Mayor escrutinio regulatorio: Es probable que las autoridades de protección de datos, en particular en Europa bajo el GDPR, examinen con más atención los incidentes de scraping como una forma de filtración de datos, lo que podría derivar en más multas.
Respuesta de WhatsApp ante la filtración de datos
La respuesta de WhatsApp fue mínima. Un portavoz de la empresa declaró que las afirmaciones eran "infundadas" y que probablemente se basaban en scraping y no en un ataque a sus sistemas internos. Enfatizaron que el scraping viola sus términos de servicio y que continúan trabajando para evitarlo. Este enfoque pasivo generó críticas por restar importancia a los riesgos de privacidad de sus usuarios.
Lecciones de la filtración de datos de WhatsApp
Esta filtración es un recordatorio contundente de que no toda exposición de datos proviene de ataques sofisticados.
La limitación de velocidad es fundamental: Las plataformas deben implementar una limitación de velocidad estricta en sus API y funciones orientadas al usuario para evitar que herramientas automatizadas hagan millones de solicitudes rápidas.
El scraping SÍ es una filtración de datos: Desde la perspectiva de un usuario, no importa cómo se expusieron sus datos, solo que se expusieron. Las empresas deben tratar los incidentes de scraping a gran escala con la misma severidad que una intrusión de red.
La concientización del usuario es clave: Los usuarios deben entender que cualquier información que asocien con una cuenta, incluso solo un número de teléfono, podría exponerse. Esto refuerza la necesidad de ser cautelosos con las comunicaciones no solicitadas.
¿Es seguro usar WhatsApp después de la filtración?
La función principal de WhatsApp, la mensajería con cifrado de extremo a extremo, sigue siendo segura. El contenido de tus chats no se vio comprometido. Sin embargo, las defensas de la plataforma contra el scraping de datos demostraron ser insuficientes. Aunque WhatsApp afirma tener medidas implementadas, la magnitud de este incidente sugiere que esas medidas pueden evadirse. Entonces, tus mensajes están seguros, pero la asociación de tu número de teléfono con WhatsApp es información pública para los atacantes.
Estrategias de mitigación y prevención
Aunque no puedes evitar que una empresa sufra una brecha, sí puedes protegerte a ti y a tu negocio de las consecuencias.
Activa la verificación en dos pasos: Agrega un PIN a tu cuenta de WhatsApp para evitar tomas de control no autorizadas si alguien obtiene tu número de teléfono.
Desconfía de todos los mensajes: Trata cualquier mensaje no solicitado de un número desconocido como una amenaza potencial. Nunca hagas clic en enlaces ni des información personal.
Ajusta la configuración de privacidad: En WhatsApp, puedes limitar quién ve tu foto de perfil, tu información de "acerca de" y tu estado de "última conexión". Configura esto como "Mis contactos" en lugar de "Todos".
Security Awareness Training: Para las empresas, esto no es negociable. Capacita a los empleados para detectar intentos de phishing y smishing, y crear un informe de ellos.
Preguntas frecuentes sobre la filtración de datos de WhatsApp
La filtración ocurrió mediante un método llamado scraping de datos. Los atacantes usaron herramientas automatizadas para recopilar casi 500 millones de números de teléfono activos de la plataforma, aprovechando una función que les permitía verificar qué números estaban registrados en WhatsApp.
Los datos principales expuestos fueron los números de teléfono de usuarios de WhatsApp de 84 países. La filtración no incluyó el contenido de los mensajes, nombres ni otra información personal, ya que los mensajes de la plataforma tienen cifrado de extremo a extremo.
Se desconoce la identidad del actor de amenazas o grupo responsable del scraping de datos. Anunciaron la enorme base de datos a la venta en un foro de hackers, lo que sugiere una motivación financiera, pero nunca se atribuyeron la responsabilidad públicamente.
Para prevenir el scraping de datos, las empresas deben implementar una limitación de velocidad estricta en sus API y puntos de acceso públicos. Esto dificulta que los bots automatizados hagan millones de solicitudes rápidas. Las evaluaciones de vulnerabilidad regulares también pueden ayudar a identificar y cerrar brechas que los scrapers podrían aprovechar.
