El 13 de mayo de 2019 hubo informaciones sobre una vulnerabilidad de seguridad en el conocido servicio de mensajería WhatsApp que se utilizó para espiar, entre otros, el dispositivo de una persona defensora de los derechos humanos en situación de alto riesgo.
En la tarde del 29 de octubre de este mismo año, WhatsApp confirmó que el exploit (aplicación o comando que utiliza una vulnerabilidad concreta de las aplicaciones para ejecutar algunos códigos no deseados en el dispositivo vulnerable) había sido utilizado por la empresa israelí comercializadora de herramientas de vigilancia NSO Group. El exploit podía enviar software espía intruso al dispositivo móvil de la persona objeto del ataque sin que ésta tuviera que hacer clic en un enlace malicioso. La persona afectada por el ataque simplemente veía una llamada de WhatsApp perdida.
Lo que hay que saber sobre esta vulnerabilidad de WhatsApp
- Según un portavoz de WhatsApp, esta vulnerabilidad de seguridad se aprovechó en ataques dirigidos contra aproximadamente 1.400 personas usuarias de WhatsApp que tuvieron lugar hasta mayo de 2019.
- Todas las personas usuarias de WhatsApp estuvieron expuestas a causa de la vulnerabilidad, pero la inmensa mayoría de ellas no se vieron afectadas por el ataque.WhatsApp ya ha avisado a todas aquellas que habrían sufrido el ataque.
- El programa intruso funcionó sólo de manera limitada. Es posible que los dispositivos de las personas que fueron objeto del ataque no se hubieran visto comprometidos.
- WhatsApp bloqueó este ataque en mayo y lanzó actualizaciones de software urgentes para mitigar el fallo de seguridad subyacente. Todas las personas usuarias de WhatsApp se encuentran protegidas de esta vulnerabilidad concreta desde mayo de 2019.
- Aunque la mayoría de las personas que utilizan WhatsApp probablemente no se han visto afectadas por este fallo, es importante que todas las personas usuarias aseguren sus dispositivos y aplicaciones y, entre otras medidas, instalen una versión de WhatsApp completamente actualizada.
Así funcionó el ataque
- La vulnerabilidad de seguridad en cuestión estaba en el código utilizado por Whatsapp para establecer una nueva llamada de voz o vídeo. Para aprovechar este fallo, el ataque digital realizó llamadas de Whatsapp al dispositivo de la persona contra quien se dirigía.
- Es posible que las herramientas que llevaron a cabo el ataque hubieran aprovechado este problema realizando llamadas varias veces por la noche, cuando la persona objetivo probablemente estaba durmiendo y no se enteraba de las llamadas.
- Si el dispositivo objetivo queda infectado, la aplicación puede sufrir un error irrecuperable. También es posible que, durante el ataque, las pruebas de esas llamadas sean borradas de forma remota de los registros de llamadas del dispositivo.
- Las pruebas de los ataques fallidos pueden aparecer como llamadas perdidas de números desconocidos visibles en el registro de llamadas de WhatsApp.
¿Qué hago para ponerme en contacto?
Si eres un usuario o usuaria en situación de alto riesgo, has recibido un aviso de Whatsapp o has apreciado cualquier otra actividad sospechosa, puedes ponerte en contacto con el Equipo de Trabajo sobre Tecnologías de Vigilancia del programa Amnesty Tech para recibir apoyo.Toma una captura de pantalla de los registros o mensajes de llamadas y envíalos por correo electrónico a: