Ponen a la venta 487 millones de números de teléfono de WhatsApp, casi 11 son de España

Una base de datos con los números de teléfono de 487 millones de usuarios de WhatsAppcorrespondientes a 84 países se encuentra a la venta en un foro de hacking desde el pasado miércoles 16 de noviembre. De entre esos 487 millones de usuarios, prácticamente una cuarta parte de la totalidad de usuarios de la aplicación, casi 11 corresponden a números de teléfono de España que de esta manera quedan expuestos a actividades cibercriminales como el smishingy el vishingy también campañas masivas de spam, publicidad no deseada.

Según recoge el medio especializado en ciberseguridad Cybernews, que ha entrado en contacto con la persona que publicó la oferta en BreachForums, su contenido se puede comprar por países. Así, los 11 millones de números móviles correspondientes a Reino Unido se venden por 2.500 dólares, los 32 millones de Estados Unidos por 7.000 dólares y los 6 millones correspondientes a Alemania por 2.000.

El poseedor de la base de datos envió a Cybernews una muestra de 1.914 números, correspondientes a Estados Unidos y Reino Unido, que verificaron en su totalidad como correspondientes a cuentas de WhatsApp. El ofertante no quiso revelar cómo había recopilado la base de datos, pero dada su naturaleza y que contiene solamente números de teléfono, el medio conjetura como lo más probable que haya sido recopilado con técnicas de raspado de datos. Es decir, con programas de software que rastrean webs y medios sociales en busca está información. No obedecería, por tanto, a una brecha de seguridad en WhatsApp, que no se ha pronunciado, sino a la recopilación de información disponible de forma pública en Internet.

Egipto es el país más afectado con casi 46 millones de teléfonos de WhatsApp incluidos. Le siguen Italia con 35 millones, Estados Unidos con 32, Arabia Saudí con 28 y Francia con 19. España es el décimo quinto país más afectado con 10.894.206 números de teléfono.

El riesgo que presentan este tipo de bases de datos en manos de un actor malicioso es que pueden utilizarse para diversos tipos de ciberestafas como las de smishing o vishing. En el primer caso, se suplanta a una entidad de confianza mediante el envío de SMS fraudulentos que tienen como objetivo redirigir a la víctima a una web, también fraudulenta, en la que introduzca datos personales para que queden en manos del atacante.

En un caso de vishing, el atacante inicia el contacto con la víctima con una llamada de teléfono suplantando a una entidad que conozca la víctima para obtener datos sensibles como información bancaria u otros.