Cómo secuestran cuentas de WhatsApp empresariales y de directivos explotando el buzón de voz y códigos de desvío MMI/USSD: auditoría y blindaje

¿Cómo logran los delincuentes secuestrar la cuenta de WhatsApp de un directivo a las cuatro de la mañana sin tocar su celular y sin que comparta ningún código? El ataque explota una función legítima: cuando instalas WhatsApp en un teléfono nuevo y pides recibir los seis dígitos por llamada de voz mientras la víctima está dormida.

En esta guía técnica de ViciousByte analizamos cómo ocurre este escenario en entornos reales, qué evidencia dejan nuestras pruebas de laboratorio y qué controles de ingeniería de seguridad y operaciones de Red Team permiten prevenirlo.

1. Anatomía técnica del vector y superficie de exposición

Como no contestas o tu línea está ocupada en otra llamada que ellos mismos provocan, el sistema telefónico manda la llamada al buzón y graba ahí el código.

Observa esta prueba en nuestro laboratorio de seguridad móvil. Miles de líneas empresariales conservan el PIN de fábrica del buzón de voz, permitiendo consultarlo remotamente desde otro número.

$ python3 audit_mobile_line_posture.py --profile linea_direccion_01
Línea evaluada:            +5255XXXX9012 (Dispositivo corporativo de dirección)
Desvío si ocupado (*67*):  ACTIVO hacia número de casilla de voz del operador
Desvío sin respuesta (*61*): ACTIVO tras 15 segundos hacia buzón de voz
Estado del PIN de buzón:   Predeterminado / Sin cambio desde activación de SIM
Verificación 2FA en App:   INACTIVA (Dependencia exclusiva del código de 6 dígitos)

Otra variante utiliza ingeniería social para que marques un código corto con asterisco y signo de gato que activa en tu operador el desvío inmediato de tus llamadas.

2. Escalada operativa y pruebas de laboratorio

Una vez dentro del WhatsApp del ejecutivo, revisan el historial de grupos corporativos y escriben a finanzas, socios o familiares pidiendo transferencias urgentes antes de que amanezca.

Mira en esta segunda captura cómo auditamos el estado de desvíos condicionales e incondicionales de la línea móvil y los cancelamos por completo con el código de borrado.

$ python3 verify_ussd_forwarding.py --modem ttyUSB0 --purge
Consulta ejecutada #1:     Código *#21# -> Desvío incondicional: Desactivado
Consulta ejecutada #2:     Código *#67# y *#62# -> Apuntaban a casilla externa
Comando de saneamiento:    Envío de secuencia estándar ##002# a la central móvil
Respuesta de la red:       Erasure was successful · Todos los desvíos eliminados
Servicio de buzón:         Deshabilitado por completo a nivel de perfil en HLR/HSS

Blindar a tu directiva toma dos minutos: activar la verificación en dos pasos con Passkey dentro de la aplicación, cancelar el buzón de voz y bloquear desvíos externos.

3. Mitigación, auditoría y defensa en profundidad

En esta tercera prueba comprobamos que, aunque un atacante obtenga el código telefónico, la cuenta permanece inaccesible porque la aplicación exige el segundo factor criptográfico del propietario.

• Referencia técnica 1 (CISA & NSA Cybersecurity Information Sheet — Mobile Communications Best Practice Guidance): Los usuarios de alto perfil deben activar la verificación en dos pasos en todas las aplicaciones de mensajería, asegurar o desactivar el buzón de voz y proteger la línea contra desvíos no autorizados.
• Referencia técnica 2 (3GPP TS 22.030 & TS 22.082 — Man-Machine Interface (MMI) of the User Equipment and Call Forwarding Supplementary Services): Los códigos suplementarios MMI como *21*, *67*, *61* y ##002# controlan directamente en la red del operador el desvío de llamadas entrantes hacia otros números o casillas de voz.
• Referencia técnica 3 (INCIBE / CERT Advisory — Secuestro de cuentas de WhatsApp mediante desvío de llamadas y buzón de voz): Los atacantes solicitan el código de verificación por llamada telefónica en horarios nocturnos para que se grabe en el buzón de voz mal protegido o se redirija mediante un desvío previamente activado.

En ViciousByte auditamos la seguridad móvil de comités directivos, detectamos números expuestos con nuestra Suite OSINT y entrenamos a tu organización mediante ejercicios reales de Red Team.

Un buzón olvidado puede comprometer la reputación y las finanzas de tu empresa. Acércate a ViciousByte: desarrollo de software, Suite OSINT, seguridad TI y Red Team.

Canales oficiales de ViciousByte

• Web: https://viciousbyte.com
• Telegram: https://t.me/viciousbyte
• YouTube: https://www.youtube.com/@icrumor
• Instagram: https://www.instagram.com/9viciousbyte
• Facebook: https://www.facebook.com/viciousbyte