WhatsApp persigue a los estafadores de contraseñas chinos a través de un tribunal de EE. UU.

Si no puedes vencerlos, demandarlos!

En realidad, la cita original no dice exactamente así, pero entiendes la idea: si no puedes evitar que las personas descarguen aplicaciones falsas contaminadas con malware que pretenden estar respaldadas por tu poderosa marca global...

…¿por qué no utilizar su poderosa marca global para demandar a los creadores de estas aplicaciones maliciosas que propagan malware?

Esta no es una técnica nueva (las acciones legales de los gigantes de la industria de TI han ayudado a eliminar sitios web maliciosos y servicios de distribución de malware antes), y no impedirá que la próxima ola de perpetradores continúe donde lo dejó el último grupo.

Pero vale la pena probar cualquier cosa que dificulte el funcionamiento de los vendedores ambulantes de malware a plena vista.

WhatsApp a la ofensiva

WhatsApp, junto con su empresa matriz Meta, ha comenzado accion legal contra tres empresas a las que alega “engañó a más de un millón de usuarios de WhatsApp para que comprometieran sus cuentas como parte de un ataque de apropiación de cuentas”.

Hablando libremente, compromiso propio en este contexto se refiere al phishing basado en aplicaciones: crear un cuadro de diálogo de inicio de sesión falso que guarda una copia no autorizada de todo lo que ingrese, incluidos datos personales como contraseñas.

Como probablemente pueda imaginar, y como afirma WhatsApp en su presentación judicial, el valor principal de estas cuentas comprometidas para los presuntos infractores era que podían usarse para "enviar mensajes comerciales de spam".

A diferencia del ecosistema de correo electrónico, donde cualquiera puede enviar correos electrónicos a cualquiera (o, en el caso de los remitentes de mensajes masivos, donde alguien puede enviar correos electrónicos a todos), las aplicaciones de mensajería y redes sociales como WhatsApp se basan en grupos cerrados.

Este tipo de mundo en línea no es tan fácil de infiltrar para los spammers y los estafadores.

De hecho, conocemos a muchas personas que ya casi no usan el correo electrónico y prefieren comunicarse con amigos y familiares a través de este tipo de grupo cerrado, principalmente porque elude la avalancha de basura intrusiva y no deseada que enfrentan a través del correo electrónico.

Por supuesto, la otra cara de la moneda de un ecosistema de mensajería de grupo cerrado es que es más probable que crea, o al menos eche un vistazo, a las cosas que recibe de las personas que conoce.

Es poco probable que abra documentos o haga clic en enlaces que claramente provienen de un remitente de correo electrónico que nunca antes conoció, que no desea conocer y que nunca conocerá...

… pero incluso si sabe que su prima Chazza es propensa a compartir memes dignos de gemidos y videos que levantan las cejas, probablemente aún los mire, porque ya sabe qué esperar, y, oye, es su prima, no algo totalmente remitente aleatorio en línea.

En otras palabras, si los estafadores pueden ingresar a sus cuentas de redes sociales, no solo obtienen acceso a su lista de personas con las que estoy feliz de chatear, sino que también adquieren la capacidad de enviar spam a esa lista de personas que -están-felices-de-escuchar-de-usted con mensajes que aparentemente fueron enviados con su bendición.

Desafortunadamente, no basta con confiar en el remitente, porque también debe confiar en el dispositivo del remitente y en su cuenta.

El spam y la estafa en redes sociales basados ​​en cuentas comprometidas es un poco como Compromiso de correo electrónico comercial (BEC), donde los delincuentes se toman la molestia de obtener acceso a una cuenta de correo electrónico oficial dentro de una empresa.

Esto significa que están en condiciones de engañar a los empleados de esa empresa de forma mucho más convincente que si fueran remitentes externos:

Nombrado y avergonzado

WhatsApp nombró a tres empresas en la demanda, que operan en el sudeste asiático bajo tres marcas diferentes.

Las empresas son Rockey Tech HK Ltd (Hong Kong), Beijing Luokai Technology Co. Ltd. (RPC), y Chitchat Tecnología Ltd (Taiwán).

Las marcas bajo las cuales WhatsApp alega que vendieron aplicaciones y complementos falsos son holamods, Destacar Mobiy HeyWhatsApp.

En pocas palabras, WhatsApp argumenta que los demandados sabían perfectamente que su comportamiento no cumplía con los diversos términos y condiciones de Meta, y que el propósito de violar esos términos y condiciones era obtener acceso y abusar de las cuentas de usuarios legítimos.

El documento judicial presentado por WhatsApp incluye una captura de pantalla de la supuesta aplicación maliciosa llamada HeyWhatsApp Android que terminó en el mercado alternativo de descargas de Android Malavida, donde la descripción de la aplicación advierte abiertamente a los usuarios:

WhatsApp no ​​autoriza en absoluto al usuario de estas [herramientas de modificación], por lo que la descarga de HeyWhatsApp […] puede dar lugar a la prohibición del servicio […] Tampoco garantiza el correcto funcionamiento, por lo que muchas veces encontramos falta de estabilidad”.

Meta dice que otras aplicaciones maliciosas en la demanda estaban disponibles en la propia Google Play Store, lo que significa que no solo recibieron el visto bueno oficial de Google, sino que también llegaron potencialmente a una audiencia mucho más amplia (y probablemente una audiencia con actitudes más cautelosas hacia la seguridad cibernética).

Una de estas aplicaciones se descargó más de 1,000,000 de veces, dicen los demandantes, y una segunda aplicación superó las 100,000 descargas.

Como dice WhatsApp con ironía, "Los demandados no revelaron en Google Play Store ni en sus Políticas de privacidad que esta aplicación contenía malware diseñado para recopilar la información de autenticación de WhatsApp del usuario".

(Como un lado igualmente irónico, no podemos evitar preguntarnos cuántas personas habrían instalado la aplicación de todos modos, incluso si los acusados ​​hubieran admitido de antemano que "este software roba su contraseña").

¿Qué hacer?

• Evite salir del mercado si puede. Como nos recuerda este caso, una gran cantidad de malware supera el proceso automatizado de "verificación de software" de Google Play, pero hay al menos algunos controles y equilibrios básicos de ciberseguridad aplicados por Google. Por el contrario, muchos sitios de descarga de Android fuera del mercado adoptan deliberadamente un enfoque de "todo vale", y algunos incluso se enorgullecen de aceptar aplicaciones que Google rechazó.
• Considere una aplicación de ciberseguridad de terceros para su Android. Las aplicaciones de especialistas en seguridad cibernética lo ayudan a detectar y bloquear una amplia gama de sitios web no autorizados y aplicaciones maliciosas, incluso si Play Store de Google los deja pasar. (Sí, Sophos tiene uno, y es gratis.)
• Si suena demasiado bueno para ser verdad, es demasiado bueno para ser verdad. ¿Realmente necesitas cambiar los colores de WhatsApp? Si la aplicación oficial no te permite hacerlo, ¿por qué confiarías en una que afirma haber descubierto una solución alternativa? En particular, no preste mucha, o incluso ninguna, atención a las calificaciones de fuentes múltiples en los sitios de descarga de aplicaciones, incluido Google Play. Cualquiera podría haber dejado esas reseñas.
• Elimine regularmente las aplicaciones que realmente no necesita o que no usa mucho. Hablando en términos generales, cuantas más aplicaciones tenga en su teléfono, mayor será su área de superficie de ataque y más probable es que termine entregando datos personales que no pretendía. ¿Por qué dar espacio a aplicaciones que no cumplen un propósito claro y útil?

Tenga especial cuidado con las aplicaciones que afirman que solo están disponibles en sitios de descarga alternativos por razones que suenan intrigantes, como "Google no quiere que tenga esta aplicación porque reduce sus ingresos publicitarios" o "esta aplicación de inversión es por Sólo con Invitación, así que no compartas este enlace especial con nadie”.

Hay muchas aplicaciones legítimas y útiles que no se alinean con las reglas comerciales y comerciales de Google y que, por lo tanto, nunca llegarán al competitivo mundo de Google Play...

…pero hay muchas, muchas más aplicaciones que Google rechaza porque claramente contienen fallas de seguridad cibernética, ya sea porque los programadores eran vagos, incompetentes o ambos, o porque los creadores de la aplicación eran ciberdelincuentes.

Como nos gusta decir: En caso de duda, dejarlo fuera.

---