Expertos descartan que un mensaje multimedia en WhatsApp dañe un celular en segundos

“Van a subir unas fotos del incremento de los Bonos del Sistema Patria  por Whatsapp. El archivo se llama JUNTOS POR EL PUEBLO, no lo abras ni veas, te jaquea el teléfono en 10 segundos y no se puede detener de ninguna manera. Pásale el dato a tus familiares y amigos. NO LO ABRAN”, se lee en publicaciones en Facebook y X. Afirmaciones similares han circulado también vinculadas a México y Argentina al menos desde noviembre de 2023.

Esta aseveración también llegó al WhatsApp de AFP Factual, al que los usuarios pueden enviar contenido visto en redes sociales si dudan de su veracidad.

Image

Captura de pantalla de una publicación en X hecha el 13 de marzo de 2024

En años anteriores circularon versiones con el mismo mensaje pero con la mención a otro tipo de archivo como “fotos del volcán de Zaldibar”, en referencia al incendio de un vertedero en el País Vasco en febrero de 2020, o “Argentina lo está logrando”, luego de que el gobierno argentino estableciera el confinamiento obligatorio durante la pandemia de covid-19, en abril del mismo año. 

Otra versión, que circula desde 2018, asegura que el archivo se llama “Orizaba Pueblo Mágico”. En una cuarta versión las supuestas fotos dañinas son de la erupción del Volcán de Chillán, en Chile, que tuvo lugar en julio de ese año.

Sin embargo, expertos confirmaron a la AFP que se trata de un mensaje falso.

“Es altamente improbable” que al abrir una foto o archivo multimedia en WhatsApp alguien pueda hackear un teléfono en diez segundos, dijo a la AFP Vitalio Alfonso Reguera, doctor en Electrónica y Telecomunicaciones y profesor de la Universidad Tecnológica del Uruguay. 

Y agregó: “Este parece ser un claro ejemplo de una ‘cadena de mensajes alarmistas’, que a menudo contienen información falsa o exagerada diseñada para generar miedo o pánico en los receptores y, generalmente, incluyen una solicitud para que el mensaje se comparta entre familiares y amigos, como es el caso”.

El experto en seguridad informática y redes Jordi Serra Ruiz, profesor en la Universidad Abierta de Cataluña, dijo a la AFP que es “muy improbable” que a través de una foto en la aplicación de mensajería alguien “hackee” un teléfono, ya que debería conocer “una vulnerabilidad de WhatsApp que hasta ahora no es conocida”.

Además, explicó que la empresa en cuestión hace un seguimiento de todas esas vulnerabilidades e intenta aislar esos problemas, y, en el caso de que llegase a existir un ataque así, no sería accesible para toda la población. “Usar una vulnerabilidad como esa de manera general sería descubrir el problema en minutos, y eso no es lo que se hace por parte de los ciberdelincuentes”, comentó el experto.

Por su parte, Pedro Huichalaf Roa, abogado y magíster en Derecho y Nuevas Tecnologías, tampoco cree factible que con visualizar fotos se pueda hackear un teléfono en diez segundos. 

“Existen algunas técnicas de ataques con imágenes (donde dentro de una imagen incorporan programas ‘malware’), pero he leído que funcionan en sistemas operativos como Windows y no en Android (celulares) o Mac, porque su sistema de permisos y acceso a sistemas de control son diferentes”, explicó. “Siempre Android actualiza sus sistemas y seguridad para evitar estas situaciones”, sentenció. 

Image

Mujer revisando la configuración de la aplicación de mensajería WhatsApp, en Bangalore, India, el 25 de octubre de 2022 (AFP / MANJUNATH KIRAN)

“En un primer momento los sistemas de mensajería instantánea contaban con vulnerabilidades en las que sí se podía atacar al dispositivo”, contó en 2020 a la AFP el especialista en ciberseguridad y cibercriminalidad, Carlos Ramírez Castañeda.

Por ejemplo, en 2019 hubo una vulnerabilidad en WhatsApp para Android, llamada CVE-2019-11932, a través de la cual los atacantes podían utilizar archivos gif creados con fines maliciosos para permitir la ejecución remota de código. 

“Cuando un atacante identifica esas vulnerabilidades las aprovecha, y por eso los fabricantes tienen que parcharlas [actualizarlas]”, explicó el especialista. En efecto, WhatsApp y Android solucionaron el problema en sus versiones subsiguientes.

“Las nuevas versiones de Android bloquean por default la instalación de aplicaciones de terceros o de origen desconocido”, agregó. “Si un atacante quiere tomar control de tu teléfono, primero necesitará tus permisos”.

Gifs, imágenes y videos no funcionan como instaladores de código en la plataforma WhatsApp y por tal motivo no pueden ser el canal de ingreso de un atacante. “A día de hoy no es posible tomar control de un celular a través de archivos multimedia, pues estos se ejecutan en la plataforma como mera visualización del contenido”, concluyó Ramírez Castañeda.

Una búsqueda en Google sobre los supuestos “bonos del Sistema Patria” mostró entradas que explican que sí existen en Venezuela, y no en Argentina o México, como indican algunos usuarios. Estos bonos se tratan de un subsidio económico ofrecido por el gobierno venezolano desde 2017 para asistir a las familias en medio de la crisis económica (1, 2).

Recomendaciones

Consultado por una versión similar del contenido viral en 2020, Ramírez Castañeda comentó que este tipo de cadenas tienen éxito en su circulación gracias “al morbo, terror, curiosidad que despiertan en el usuario”. 

Recomendó a los usuarios de WhatsApp desactivar desde el menú de configuraciones de la aplicación la opción de “descarga automática” de archivos, así como no descargar un archivo sospechoso, eliminar el chat que lo contenga y tener las “actualizaciones al día, con una solución anti malware activa”.

Referencias:

• Entrada sobre bonos del sistema patria de Venezuela (1, 2)
• Vulnerabilidad en WhatsApp CVE-2019-11932
• Solución de la vulnerabilidad