Si correctamente parece un apunte inofensivo, el número de teléfono es esencia para la vida digital ya que se vincula a cuentas, redes sociales y mecanismos de recuperación de paso convirtiéndolo en  un activo muy valioso y codiciado para los ciberdelincuentes. ESET, compañía líder en detección proactiva de amenazas, advierte qué puede hacer un ciberdelincuente si obtiene un número, qué necesita para convertir ese apunte en una amenaza y cómo hacer para mantenerse protegido.

“Por sí solo, el número de teléfono tiene capacidades limitadas. Es decir, un ciberatacante no puede entrar mágicamente al celular, leer los WhatsApp o acceder a la cuenta bancaria simplemente porque conoce el número. Ahora bien (y es lo que desarrollaremos a continuación), el número de teléfono sí puede servir como punto de partida para otros ataques y estafas, dada su vinculación con el resto de tu vida digital”, menciona David González, investigador de seguridad informática de ESET Latinoamérica.

Dentro de los riesgos desde ESET, destacan:

  • Puede vigilar más datos personales: El número de teléfono puede ser una puerta de entrada a información pública sobre una persona. Un ciberdelincuente puede intentar vincularlo con datos sensibles, como el nombre, perfiles en redes sociales, cuentas de correo, publicaciones, u otros datos que hayan quedado expuestos en alguna filtración. El objetivo es conocer mejor a la persona que está detrás de ese número y así preparar un patraña mucho más probable.
  • Puede intentar un patraña: un ciberdelincuente puede utilizar el número para contactar directamente por señal, SMS, WhatsApp y cualquier otro servicio de correo. Ahí entra en maniobra la Ingeniería Social, ya que el ciberatacante puede hacerse tener lugar por un bandada, una empresa, un servicio de entrega, un representante de soporte técnico o cualquiera del entorno para intentar engañar y así conseguir: Contraseñas, códigos de demostración, datos personales, información financiera o que se haga clic en un enlace bellaco.
  • Puede apoderarse de una cuenta: Muchos servicios utilizan el número de teléfono para iniciar sesión, recuperar una contraseña, efectuar la identidad o despachar códigos de paso. Entonces, se puede utilizar el número como parte de un proceso de recuperación o de paso. Hay un ejemplo ordinario, queel propio WhatsApp advierte en su Help Center, para comprenderlo: Se recibe un código de WhatsApp no solicitado, segundos luego, cualquiera escribe diciendo que fue enviado por error y pide que se lo pase. ¿La esencia del patraña? El código no llegó para dárselo a otra persona, sino que llegó porque cualquiera está intentando apoderarse de cuenta.
  • Puede quedarse con tu número: Esto se flama SIM swapping. El ciberatacante indagación convencer al cirujano de telefonía de que es el titular y conseguir que así que el número sea transferido a otra SIM. Si lo consigue, pasará a acoger las llamadas y mensajes. Esto cambia completamente el ambiente planteado en el punto aludido: el ciberatacante ya no está intentando engañar para que se le entregue el código, sino que intenta conseguir que el código le llegue directamente a él.

Que un cibercriminal obtenga un número de teléfono no significa que pueda entrar directamente a las cuentas, pero a partir del número de teléfono puede obtener más información personal, intentar engañar, apoderarse de la cuenta o quedarse con el número de teléfono. Así, se abre un perico de riesgos y amenazas latentes: Acceso a la cuenta de correo electrónico, toma de control de la cuenta de WhatsApp u otro servicio de correo, paso a las redes sociales, cambio de las credenciales de las cuentas y servicios, utilización de una cuenta comprometida para intentar engañar a los contactos y utilización de una cuenta comprometida para ceder a otros servicios.

Desde ESET comparten algunas recomendaciones para evitar que el número de teléfono sirva como puerta de entrada a la vida digital:

  • Nunca compartir códigos de demostración.
  • No entregar información personal durante llamadas o mensajes no solicitados.
  • Verificar por canales oficiales cualquier pedido extraño de información personal.
  • Revisar qué información personal se tiene expuesta públicamente.
  • Proteger todas las cuentas con el doble factor de autenticación.