Estas son algunas de las técnicas que existen para espiar WhatsApp, aunque este tiempo atrás la noticia fue que se ha detenido el creador de WhatsApp Spy, una aplicación falsa que estafaba a usuarios con la esperanza de poder obtener las conversaciones de otras personas. La pregunta que mucha gente se hace es si es posible espiar las conversaciones de WhatsApp, así que viendo el gran interés del mundo en la seguridad en WhatsApp, he decidido escribir este recopilatorio con todas las posibilidades que existen para esta tarea para que toméis vuestras precauciones al respecto, aunque no olvidéis que si hay un iPhone de por medio, mejor que os leáis el libro de Hacking iOS: iPhone & iPad, donde se cuentan muchas formas de hackear el terminal que darían acceso al WhatsApp.
Proteger WhatsApp frente a todos estos ataques
Muchos de estos ataques se pueden hacer solo en determinadas circunstancias, así que para tener un WhatsApp a prueba de balas:
– Evitar que te roben la cuenta de WhatsApp
– Evitar que te espíen los mensajes de WhatsApp
– Mejorar la privacidad con WhatsApp
Espiar WhatsApp sabiendo el número de teléfono de una persona
Actualmente, si se conoce el número de teléfono de la cuenta asociada a WhatsApp se puede sacar información del dueño, e incluso la fotografía pública asociada, pero no hay ningún servicio que permita llegar a las conversaciones. Esta era la estafa. Casi todas las apps mágicas para hackear son estafas de este tipo.
What’s App on PC es un malware
También debes huir de programas mágicos que te bajas a tu PC o a Android te permitirá configurar cualquier número de teléfono en él. Esto, por desgracia, suele ser malware. En un estudio hecho por Eleven Paths, en sólo un mes fue posible encontrar muchas apps maliciosas de WhatsApp en Google Play.
Consulta de información pública de WhatsApp agregando a contactos
La gente de WhatsApp Voyeur quitó el servicio de consulta de información asociado al número de teléfono, pero puede hacerse manualmente simplemente agregando el número de teléfono a los contactos. Por otro lado, solo con agregar un contacto también se puede saber cuándo está conectado o no, salvo que se hayan aplicado tips de privacidad en WhatsApp. ¡Ojo!, también toma medidas contra el doble check azul. Ahora mismo, existe una herramienta llamada WhatsSpy Public que permite sacar el historial de horas de conexión, los mensajes de estado y la foto de perfil, incluso si no se tiene permiso. Una cosa interesante es que gracias a que el estado de WhatsApp nunca puede estar en blanco, se puede saber si una persona te tiene o no entre sus contactos.
Gracias a un nueva función de previsualización de imágenes de URLs enviadas por mensaje de chat en WhatsApp para Android, una persona podría enviar una URL de una página web controlada, y forzar al cliente a realizar una conexión de datos a ese servidor web, por lo que se podría averiguar la dirección IP y por tanto la ubicación de esa persona, además de la versión exacta del sistema operativo que tiene.
Espiar WhatsApp a través de WhatsApp Web
Este es uno de los métodos más eficaces, pero requiere tener acceso a la app de WhatsApp de la víctima el tiempo suficiente para poder abrir una sesión escaneando el código QRCode que sale en WhtasApp Web. Si alguien consigue escanear ese código con tu app de WhatsApp podrá ver tus conversaciones en tiempo real hasta que cierre la web.
QRCode de WhatsApp Web. Si se escanea con la app de la víctima se abre su WhtasApp
Los fallos de seguridad de WhatsApp Web que han salido solo permiten acceder al estado y la fotografía de personas que te tienen bloqueada, pero no a ver ninguna conversación. Eso sí, herramientas como WhatsSpy Public permiten seguir todo lo que una persona hace por WhatsApp en sus conexiones y estados. Para hacerlo masivamente y hacer una base de datos de los estados y fotos de los empleados de una empresa para hacer un ataque se puede usar WhatsApp Intelligence.
Espiar WhatsApp robando las conversaciones por la red WiFi
Antes sí se podía descifrar la comunicación entre los servidores de WhatsApp y los dispositivos móviles. WhatsApp pasó a utilizar SSL a partir de la versión 2.8.3, por lo que ya no utiliza los antiguos trucos basados en la MAC o el IMEI – fácilmente consultable -. Si la versión fuera antigua, aún servirían herramientas como WhatsAppSniffer y todas las variantes que aparecieron. Para hacerlo desde capturas de tráfico de red, existía para las versiones antiguas un plugin llamado Wireshark-Whatsapp.
WhatsAppSniffer para Android
El 8 de Octubre de este año se ha publicado un nuevo método con una Prueba de concepto para descifrar las comunicaciones de WhatsApp por red, pero aún no hay ninguna herramienta que lo haga con las comunicaciones de la aplicación oficial, pero si se graban las conversaciones con un sniffer tipo WireShark, probablemente en el futuro se puedan descifrar todas. No obstante, piensa en serio poner una conexión VPN para proteger tus conversaciones de WhatsApp.
A finales de Noviembre de 2014 se ha anunciado la migración del sistema de cifrado de WhatsApp a end-to-end, para acabar con los bugs que permitían su descifrado. Esto se ha hecho al aplicar el cifrado de TextSecure en WhatsApp. Aún solo está disponible en Android y en las últimas versiones, pero poco a poco será para todas las versiones.
Averiguar el número de teléfono de WhatsApp una persona por la WiFi
En las comunicaciones de WhatsApp se envía un paquete de tipo WA en el que se especifica el número de teléfono, la versión del sistema operativo y más información que va sin cifrar. Capturando el tráfico de red con WireShark se puede usar WhatsApp Discover para localizar los números de teléfono que están siendo utilizados por la red WiFi. [Actualización: En las nuevas versiones de WhatsApp ya no se envía en texto plano el número de teléfono]
Paquete de red con el número de teléfono de WhatsApp
A pesar de este método, el uso de sitios como Infobel sigue siendo la forma más fácil de averiguar números de teléfono de personas, así que si quieres protegerte debes eliminar tus datos de Infobel y de Google. Esto, en un ataque dirigido contra una empresa puede convertir Whatsapp en una buena fuente de información OSINT.
Si tienes acceso a un terminal iPhone con Siri, aunque esté bloqueado, puedes averiguar el número de teléfono de esa persona preguntando “¿Quién soy yo?”. Siri te dará el número de teléfono y el correo electrónico asociado a ese dispositivo iPhone.
Espiar WhatsApp robando la cuenta remotamente
Para conseguir esto habría que encontrar una vulnerabilidad en WhatsApp que permitiera registrar el número de teléfono de la víctima en otro terminal y descargar las conversaciones que estén almacenadas en el servidor. Estos fallos de hijacking de WhatsApp han existido en el pasado, pero actualmente no hay ninguno que lo permita en remoto que sea conocido.
Ejemplo de Hijacking de WhatsApp publicado en 2011 por Yago Jesús
Tal vez aparezcan en el futuro o alguien tenga algún 0day no publicado al respecto, pero no se conoce ninguno que funcione ya que debido a la importancia que tienen, WhatsApp cierra estos fallos lo más rápido que puede.
Espiar WhatsApp con acceso a la SIM del teléfono
WhatsApp utiliza como forma de identificación el número de teléfono, así que se puede instalar en cualquier terminal si se tiene la SIM con el número de teléfono asociado. Para ello, hay que tener mucho cuidado con el PIN y el PUK, ya que si alguien tiene acceso a ellos, podrá usar la SIM en cualquier equipo e iniciar sesión en WhatsApp. Aquí una explicación de cómo te pueden robar WhtasApp si tienen acceso a la SIM.
Datos del PIN y el PUK de una SIM
Otra opción es que se pueda clonar la SIM de la persona que tiene instalado el WhatsApp para robar la cuenta de la víctima o que se intercepten las peticiones de alta y el mensaje SMS sniffando el tráfico GSM.
Espiar WhatsApp robando la cuenta de Apple ID
En la última versión la base de datos de conversaciones de WhatsApp puede guardarse en Apple iCloud. Si te roban la cuenta de Apple ID – con un keylogger o mirando por encima del hombro — podrían llegar a la base de datos y ver las conversaciones accediendo al backup de iCloud con herramientas como ElcomSoft Phone Password Breaker.
Robo de Apple ID con Phishing y robo de backup con ElcomSoft
Descargar el backup de iPhone también se puede hacer con la herramienta OpenSource y gratuita iLoot. Robar el backup de iPhone con iLoot.
Espiar WhatsApp con robo de cuenta con acceso físico al teléfono
Si se tiene el teléfono cerca y tiene la previsualización de mensajes SMS activada, se podría instalar un WhatsApp en un tablet y pedir el SMS de confirmación para robar la cuenta y descargar las conversaciones anteriores. Este es el mismo caso que robar la cuenta de Hotmail/Gmail con un iPhone y la previsualización de SMS.
Confirmación de cuenta de WhatsApp por llamada de verificación
Esto se puede hacer aún mucho más fácil, generando la petición de confirmación por Llamada de Verificación. Siempre es posible atender la llamada – incluso si tiene passcode – y acceder al código de verificación.
Espiar WhatsApp robando la base de datos de un backup de Apple
Cuando se hace un backup de un iPhone por medio de Apple iTunes a un equipo, la base de datos de WhatsApp se va también. Se puede localizar este fichero y analizar. Este proceso se explica en detalle en el libro de Hacking iOS: iPhone & iPad. En la última versión de WhatsApp ha cambiado la ubicación del fichero de la base de datos y es necesario buscar otros nombres.
Copia de la base de datos de WhatsApp en el backup de Apple iTunes
Es un fichero SQLite, así que con cualquier visor de este formato de base de datos se puede ver. Hay que tener presente que si se han borrado mensajes, en la base de datos obtenida no se podrán ver. Sin embargo, es posible hacer un análisis forense de SQLite con Recover Messages y obtener muchos de los mensajes de WhatsApp que han sido borrados por el dueño.
Espiar WhatsApp robando la base de datos de la SD Card de un terminal Android
Si el terminal es Android, se puede obtener la base de datos de WhatsApp de la SDCard. Esta base de datos tiene un cifrado muy sencillo de quitar para obtener después el fichero SQLite en plano. Si se sube la base de datos cifrada a Recover Messages, se obtiene la base de datos descifrada automáticamente de forma gratuita. En los últimos resultados, ya hay más de 800.000 bases de datos analizadas con Recover Messages, y más de 25.500 usuarios registrados.
Opciones de cifrado de bases de datos. En Android ha cambiado en las últimas versiones
Ha habido cambios en el cifrado de las últimas versiones de WhatsApp para Android y es necesario contar no solo con la base de datos msgstore.db.crypt sino que además se necesita la cuenta de correo electrónico del terminal para poder descifrar ese fichero. Con la última versión crypt7 y crypt8 es necesario tener el terminal rooteado.
Espiar WhatsApp robando la base de datos de un terminal iPhone
Tanto si se tiene el passcode del terminal iPhone, como si se tiene acceso a un equipo con el que se haya hecho el pareado de Apple iTunes/iPhone, es posible utilizar una herramienta tan sencilla como iFunBox y acceder al fichero de la base de datos de WhatsApp en el terminal iPhone sin hacer jailbreak, ni nada. Nota: A partir de iOS 8.3 es necesario realizar el jailbreak y tener un tweet de Cydia pero la base de datos sigue sin estar cifrada.
Accediendo a la base de datos de WhatsApp de un iPhone con iFunBox
Por supuesto, si el terminal tiene jailbreak, y no se han cambiado las contraseñas por defecto se podría acceder al terminal de muchas otras formas, incluyendo OpenSSH o haciendo uso de Gecko. En el libro de Hacking iOS: iPhone y iPad tienes muchas formas de acceder a los terminales iPhone saltándose u obteniendo el passcode.
Espiar WhatsApp instalando troyanos en los terminales
Si tienes acceso al terminal iPhone o Android existen muchas formas de instalar un troyano. En el caso de iPhone yo recopilé en este artículo las formas de instalar un troyano en iPhone. En Android las formas son otras, pero visto la cantidad de malware que hay y los últimos fallos de seguridad que se saltan las validaciones de las firmas no es de lo más difícil.
Espiar WhatsApp está entre las características de muchos troyanos
Curiosamente, la base de datos de usuarios de uno de estos troyanos se ha puesto a la venta en la DeepWeb, con todos los datos de espías y espiados. Ahora puedes consultar si alguna persona de la que sospechas que te esté espiando estaba en esa base de datos.
Funcionamiento de un troyano de espionaje en Android o iPhone
Espiar WhatsApp remotamente con una app maliciosa en Android e iPhone
En noviembre de 2013 se publicó el servicio WhatsAppCopy, un servicio basado en instalar una app maliciosa que pretendía ser un juego en terminales Android. Esta app se dedicaba a robar las bases de datos de WhatsApp de todas las víctimas y ponía en un servicio de pago el acceso a los mensajes de terminales. Fue eliminada de Google Play pero cualquier app que tenga el permiso de READ_EXTERNAL_STORAGE puede acceder a ella y subirla a una web.
Espiar WhatsApp en iPhone sin troyano
En el caso de iPhone aunque no es su propósito original, se puede utilizar la herramienta WhatsApp Anti-Delete Protectiton Tool. Esta herramienta puede utilizarse para proteger tus mensajes, pero también podría ser usada como método de control parental de jóvenes o para espiar los mensajes de una persona. Se necesita en cualquier caso acceso físico al terminal. En el siguiente vídeo podéis ver su funcionamiento en detalle. Esta herramienta, debido a las librerías que utiliza solo funciona con versiones de iTunes de 32 bits.
Funcionamiento de WhatsApp Anti-Delete Protection Tool
Esta misma idea se puede aplicar para por ejemplo conseguir recuperar los mensajes de Telegram borrados, recuperar los mensajes directos de Twitter borrados o los mensajes de Skype que se han eliminado, además de que se podría recuperar la sesión de una cuenta Facebook que se use en un iPhone.
Espiar WhastApp con “tranquilidad”
No te olvides que muchas veces la forma más sencilla es que o no haya passcode, que sea un passcode que se haya adivinado o conocido o que aparezca un bug para saltarse el passcode así que, bastaría con acceder a los mensajes tranquilamente. Explicación común en muchos casos.
Conseguir bases de datos de WhtatsApp de la red
Como curiosidad, por descuido mucha gente puede dejar las bases de datos de WhatsApp compartidas en la red, ya sea en redes P2P como se ve en este artículo o en servidores de archivos de cualquier índole. El nombre de la base de datos de WhtasApp en un backup de Apple iTunes es 1b6b187a1b60b9ae8b720c79e2c67f472bab09c0.
Copias de conversaciones de WhatsApp en e-mule