WhatsApp de Zali Steggall hackeado en un presunto ataque ruso
Diputada australiana atrapada en una ola global de phishing
La diputada federal independiente Zali Steggall ha revelado que su cuenta de WhatsApp fue hackeada en marzo como parte de un sofisticado esquema de phishing que se cree fue orquestado por actores de amenazas rusos. El ataque, que tuvo como objetivo su cuenta personal, es parte de una campaña global más amplia que ha comprometido cuentas de mensajería de funcionarios gubernamentales, personal militar y periodistas en todo el mundo.
Steggall confirmó la violación en un comunicado, señalando que los hackers utilizaron tácticas engañosas para obtener acceso. Si bien su oficina no reveló detalles específicos sobre el contenido al que se accedió, el incidente subraya la creciente vulnerabilidad de las plataformas de mensajería ampliamente utilizadas al espionaje cibernético patrocinado por estados.
Cómo funciona la campaña de phishing
Según advertencias de las agencias de inteligencia holandesas y alemanas, los atacantes se hacen pasar por cuentas de soporte oficiales tanto en Signal como en WhatsApp. Las víctimas reciben mensajes que parecen provenir de equipos de seguridad de la plataforma, advirtiendo sobre actividad sospechosa y solicitando acción inmediata, como ingresar un código de verificación o escanear un código QR.
La inteligencia holandesa (AIVD/MIVD) describió la campaña como un esfuerzo global a gran escala por parte de hackers estatales rusos dirigido a "dignatarios, personal militar y funcionarios públicos". Los atacantes explotan funciones legítimas como la opción de "dispositivos vinculados", engañando a los usuarios para que otorguen acceso a sus cuentas sin romper nunca el cifrado de las aplicaciones.
El cifrado de Signal y WhatsApp permanece intacto
Ambos servicios de mensajería han enfatizado que su cifrado subyacente no se ha visto comprometido. Signal emitió un comunicado diciendo: "El cifrado y la infraestructura de Signal no se han visto comprometidos y siguen siendo sólidos". Funcionarios holandeses se hicieron eco de esto, señalando que la campaña "no explota ninguna vulnerabilidad técnica de los servicios de mensajería".
En cambio, los ataques se basan en el error humano: los usuarios son engañados para que entreguen códigos de seguridad. Este método es alarmantemente efectivo, como se vio en casos como el de Steggall y en Alemania, donde se informó que alrededor de 300 cuentas de Signal pertenecientes a figuras políticas fueron comprometidas.
Alemania y EE. UU. confirman ataques similares
En Alemania, los fiscales federales iniciaron una investigación preliminar sobre ciberataques a cuentas de Signal dirigidos a políticos de alto rango, incluidos dos ministros del gobierno. La revista alemana Der Spiegel informó que las víctimas recibieron mensajes de un chatbot de seguridad falso de Signal que les indicaba ingresar un PIN o escanear un código QR.
Mientras tanto, las agencias de inteligencia de EE. UU. advirtieron en marzo que hackers rusos habían violado miles de cuentas pertenecientes a funcionarios del gobierno estadounidense, personal militar y periodistas. La alerta del FBI describió una campaña que se hace pasar por cuentas de soporte oficiales para atraer a las víctimas a compartir información sensible.
Quién está en riesgo y cómo protegerse
Si bien la campaña se ha dirigido principalmente a funcionarios gubernamentales y militares, los periodistas y otras personas de interés para el gobierno ruso también están en riesgo. El objetivo de los hackers es infiltrarse en chats grupales y obtener acceso a comunicaciones sensibles.
- Nunca compartas códigos de verificación: Las plataformas legítimas nunca te pedirán tu PIN o código de un solo uso a través del chat.
- Activa la autenticación de dos factores: Añade una capa adicional de seguridad más allá de la verificación estándar.
- Cuidado con mensajes de soporte no solicitados: Si recibes un mensaje que dice ser de soporte de Signal o WhatsApp, verifica de forma independiente a través de canales oficiales.
- Revisa los dispositivos vinculados: Revisa regularmente qué dispositivos están conectados a tu cuenta y elimina aquellos que no reconozcas.
Amenazas sofisticadas pero prevenibles
El hackeo de Steggall es un claro recordatorio de que incluso las personas de alto perfil son vulnerables a la ingeniería social. Si bien las defensas técnicas de aplicaciones como WhatsApp y Signal siguen siendo sólidas, el elemento humano es el eslabón más débil. A medida que los atacantes respaldados por estados perfeccionan sus señuelos de phishing, la conciencia y la vigilancia son las mejores contramedidas.
La escala global de esta campaña, que abarca Australia, Europa y EE. UU., señala una amenaza persistente que no muestra signos de disminuir. Tanto para los funcionarios como para los usuarios cotidianos, el mensaje es claro: no confíes en solicitudes no solicitadas de tus credenciales, sin importar cuán oficiales parezcan.