No, abrir unas fotos de los terremotos de Japón y Marruecos no jaquea el móvil

¿Qué verificamos?

Abrir unas fotografías de los terremotos de Japón y Marruecos jaquea nuestro teléfono móvil en diez segundos.

Conclusión

Es falso. Abrir unas fotografías de los terremotos de Japón y Marruecos no jaquea el teléfono móvil.

EFE Madrid |

Es falso que exista un archivo llamado Ondas Sísmicas CARD con fotografías de los terremotos de Japón y Marruecos que al abrirlo infecte en diez segundos nuestro teléfono móvil con software malicioso, como advierte una cadena de mensaje de WhatsApp, reproducida a su vez en Facebook y en X (antes conocida como Twitter). Se trata de un mensaje que, con diferentes características, vuelve a WhatsApp de manera cíclica.

EFE Verifica ha recibido una consulta desde España en su canal de WhatsApp sobre un mensaje que señala: «Van a subir unas fotos del terremoto de Japón y de Marruecos por WhatsApp. El archivo se llama Ondas Sísmicas CARD, no las abras ni veas, te jaquea el teléfono en 10 segundos y no se puede detener de ninguna manera».

El mensaje aconseja no abrir el archivo que contiene unas fotografías de las dos catástrofes naturales ocurridas en Marruecos y Japón, sin aportar más información o referencia sobre el mismo, solo su naturaleza maliciosa. Además, se pide a los usuarios que lo compartan con sus contactos. El texto acaba afirmando que en la televisión se habría informado sobre el envío del archivo malicioso.

Sin rastro del archivo malicioso

No hay constancia del envío de este archivo ni en WhatsApp ni en ninguna otra red social. De hecho, la red de mensajería ha sufrido en los últimos años envíos similares, que anuncian la recepción de un archivo con fotografías de catástrofes naturales, como es el caso de los terremotos de Marruecos y Japón, que siempre han resultado falsos.

En una respuesta conjunta a EFEVerifica los profesores e investigadores de la Universidad Politécnica de Madrid, Alejandro Martín y Jorge Blasco Alís, señalan que no existen casos conocidos de teléfonos móviles infectados a través de WhatsApp y que «es prácticamente imposible que un teléfono móvil sea jaqueado por recibir una imagen a través de esa aplicación».

Este y los mensajes similares responden a una estructura común, con una redacción similar y no dan detalles sobre el archivo, salvo los daños que puede ocasionar. Además repiten la fórmula «Ondas Sísmicas CARD» u otras similares, y en todos los casos se habla de una infección del teléfono en diez segundos.

Al final del mensaje se señala que la información ha sido divulgada en televisión: «También lo dijeron por TV». En una búsqueda avanzada en Google no se ha encontrado ninguna información que advierta sobre ello, ni en los informativos de televisión ni, ampliando la búsqueda, en noticias publicadas en la prensa escrita.

¿Cuánto dura el proceso de infección de un dispositivo?

En el mensaje se afirma que el programa malicioso tomará control de nuestro terminal en diez segundos. Según los dos expertos de la Universidad Politécnica, la duración del proceso de infección, es decir el tiempo en el que se puede estar ejecutando código malicioso o extrayendo información, depende del tipo de ataque. Señalan que en los menos sofisticados (que son los que están realmente masificados) suele ser necesaria la intervención del usuario para ser infectado.

El Servicio de Informática de la Universidad de Jaén, ahonda en la misma línea y señala que el tiempo de infección depende estrictamente del virus. «En general, tratan de contagiar lo más rápido posible, pero hay muchos casos en que sólo lo hacen en determinadas circunstancias, fechas o condiciones de los ficheros que encuentran». La velocidad de contagio viene dada también en parte por el tipo de virus, en particular, depende mucho de si este se instala como residente o no.

¿Pueden jaquear mi móvil a través de WhatsApp?

La respuesta es sí, pero no basta con el envío y recepción del mensaje. Aunque técnicamente es posible, es un tipo de ataque tremendamente complejo y muy costoso que en caso de existir se utilizaría en ataques a objetivos más valiosos (como lo podría ser los recientes ataques con Pegasus que afectaron al teléfono del presidente del Gobierno, Pedro Sánchez, y otros políticos).

Según David Arroyo, investigador principal del Grupo de investigación en Ciberseguridad y protección de la Privacidad (GiCP) del Consejo Superior de Investigaciones Científicas (CSIC), hay que diferenciar entre el uso de WhatsApp en el smartphone o en nuestro ordenador a través de la aplicación WhatsApp Web.

Cada uno tiene un vector de amenaza distinto. La superficie de vulnerabilidad de WhatsApp web es mayor. La infección se produce al descargar mensajes con ‘payload‘ malicioso (carga maliciosa que ejecuta un pirata informático durante un ciberataque). Tras descargarse, se ejecuta dicho ‘payload‘, y en algunos casos se accede a dominios web del atacante.

Además, continúa Arroyo, pueden existir ‘exploits’, implementaciones de software que aprovechan vulnerabilidades en los sistemas operativos o aplicaciones para extraer información y ejecutar código. Esto fue lo que ocurrió en el caso de Pegasus y otros sistemas RAT (Remote Administration Tool, en español Herramienta de Administración Remota), programas maliciosos que permiten a una persona tomar el control total de un dispositivo tecnológico de forma remota, desarrollados por empresas como NSO y Candiru.

WhatsApp, explica el investigador, «es un objetivo preferencial de ataque como vector de infección y como vehículo para campañas de manipulación. A más número de usuarios, más rentable y efectivo es un ataque». Esto es, aumenta la ROI (en inglés, retorno de la inversión) del esfuerzo de desarrollo y despliegue del ataque.

«Los ciber-fraudes se suceden porque tienen una probabilidad de éxito significativa para los atacantes», continúa Arroyo. Es decir, los piratas informáticos hacen de los fraudes una actividad lucrativa, hasta el punto que existe toda una industria del ciberfraude en particular, y del cibercrimen en general.

En conclusión, es falso que abrir un archivo con fotografías de los terremotos de Marruecos y Japón que los usuarios recibirían en sus teléfonos móviles pueda jaquear sus terminales, tal como se afirma en una cadena de mensajes difundidos en la red de mensajería WhatsApp.

Fuentes:

Alejandro Martín y Jorge Blasco Alís, profesores e investigadores de la Universidad Politécnica de Madrid.

David Arroyo, investigador principal del Grupo de investigación en Ciberseguridad y protección de la Privacidad (GiCP) del Consejo Superior de Investigaciones Científicas (CSIC).

Servicio de Informática de la Universidad de Jaen.

Búsqueda avanzada en Google.