Informes

La popular aplicación de mensajería instantánea WhatsApp anunció una nueva función de verificación de cuentas que garantiza que el malware que se ejecuta en el dispositivo móvil de un usuario no afecte a su cuenta.

Llamada Device Verification, la medida de seguridad está diseñada para ayudar a prevenir ataques de toma de control de cuentas (ATO) bloqueando la conexión del actor de la amenaza y permitiendo a los objetivos de la infección de malware utilizar la aplicación sin ninguna interrupción.

En otras palabras, el objetivo es impedir que los atacantes utilicen el malware para robar las claves de autenticación de WhatsApp y secuestrar las cuentas de las víctimas y, posteriormente, suplantarlas para distribuir spam y enlaces de phishing a otros contactos.

Esto, a su vez, se consigue introduciendo un token de seguridad que se almacena localmente en el dispositivo, un nonce criptográfico para identificar si un cliente de WhatsApp está contactando con el servidor para recuperar mensajes entrantes, y un desafío de autenticación que actúa como un “ping invisible” desde el servidor al dispositivo del usuario.

El cliente debe enviar el token de seguridad cada vez que se conecta al servidor. Por su parte, el token de seguridad se actualiza cada vez que el servidor recibe un mensaje offline.

Un desafío de autenticación se considera fallido cuando el cliente responde al desafío desde un dispositivo diferente, lo que indica una conexión anómala procedente de un atacante. Esto provoca el bloqueo de la conexión.

Si no hay respuesta del cliente, el proceso se vuelve a intentar “unas cuantas veces más”, tras lo cual la conexión se bloqueará si el cliente sigue sin responder.

WhatsApp ha comunicado que la verificación de dispositivos se ha extendido a todos los usuarios de Android y que está en proceso de extenderse a los usuarios de iOS.

La función forma parte de un conjunto más amplio de nuevas mejoras diseñadas para autenticar y verificar la identidad de los usuarios, incluida la visualización de alertas cuando se intenta migrar una cuenta de WhatsApp de un dispositivo a otro.

WhatsApp también ha lanzado una función de transparencia de claves para confirmar automáticamente si los chats están cifrados de extremo a extremo sin requerir ninguna acción adicional por parte del usuario.