Usuarios de aplicaciones de mensajería instantánea reportan una tendencia creciente: la recepción de códigos de verificación no solicitados vía SMS, acompañada de cierres inesperados de sesión. Detrás de estos incidentes operan al menos dos vectores de ataque distintos, con implicaciones muy diferentes para quien los sufre.
Dos escenarios, un mismo síntoma
Especialistas en derecho digital advierten que no todos los casos responden a un intento de fraude. Algunos incidentes pueden originarse en actualizaciones internas de la plataforma —cambios en identificadores de usuario, ajustes en funciones de inteligencia artificial o conexiones a APIs externas no nativas del servicio— que generan actividad inusual sin que exista un atacante real. En estos casos, los usuarios han podido recuperar el acceso tras la revisión de incidencias por parte del proveedor.
El escenario de mayor riesgo es distinto: involucra intentos deliberados de apropiación de números telefónicos mediante información obtenida de filtraciones de datos o mercados ilegales. El objetivo es registrar el número de la víctima en un dispositivo controlado por el atacante, desplazando al titular legítimo de su propia cuenta y exponiendo conversaciones, contactos y datos sensibles.
El código de verificación como vector de ataque
El mecanismo más frecuente de compromiso es la ingeniería social. Los atacantes se presentan como personal de soporte técnico o como perfiles que imitan la identidad visual de la plataforma, solicitando el código de seis dígitos que llega por SMS o llamada. La presión temporal y la apariencia de legitimidad —logotipos, nombres de usuario similares a los oficiales— reducen el tiempo de análisis crítico de la víctima.
Una vez que ese código es entregado, el atacante completa el registro en su dispositivo en segundos. La ventana de reacción es mínima. Las propias plataformas de mensajería advierten explícitamente en el cuerpo del mensaje que el código no debe compartirse con nadie, incluso si la solicitud parece provenir de una fuente confiable.
Señales de alerta y medidas de contención
La recepción de un código de verificación sin haberlo solicitado es, por sí sola, una señal de que alguien está intentando registrar ese número en otro dispositivo. Ante este escenario, las acciones inmediatas determinan si el acceso puede conservarse o se pierde.
Activar la verificación en dos pasos —un PIN independiente del código SMS— añade una capa de protección que bloquea el acceso incluso si el código de verificación es interceptado. Revisar los dispositivos vinculados activos y revocar sesiones no reconocidas son pasos igualmente críticos. En paralelo, verificar el número de origen de cualquier solicitud de soporte —comparándolo con los canales oficiales publicados por la plataforma— reduce significativamente la exposición a ataques de suplantación.
Para organizaciones que gestionan comunicaciones sensibles a través de estas plataformas, el riesgo no es solo individual: una cuenta comprometida puede convertirse en punto de entrada para ataques de phishing dirigidos a toda la red de contactos corporativos.
