Noticias
El QR es de verdad y la trampa también: el phishing de vinculación de WhatsApp que Google acaba de destapar
Google publicó este jueves un informe sobre tres grupos de ciberespionaje presuntamente rusos que comparten una idea incómoda: no rompen contraseñas ni buscan vulnerabilidades. Abusan de los mecanismos de inicio de sesión que ya funcionan. El caso más difícil de detectar es el phishing de vinculación de WhatsApp, donde el código QR que te muestran en pantalla es el auténtico, generado por la propia app.
El trabajo lo firma Google Threat Intelligence Group (GTIG) y describe campañas contra un público muy concreto —academia, industria aeroespacial y de defensa, gobiernos y centros de estudios de Europa y Estados Unidos—, no contra usuarios comunes. Pero la mecánica que documenta es transferible, y por eso conviene leerla aunque nadie te vaya a invitar a una cena diplomática.
Lo que vas a encontrar acá:
- Qué destapó Google Threat Intelligence Group
- El phishing de vinculación de WhatsApp, paso por paso
- Cuatro maneras de entrar sin romper nada
- El wifi del hotel que te pide iniciar sesión en Microsoft
- Y si nada de eso funciona, te ofrecen una app
- ¿Y esto qué significa para vos?
- Preguntas frecuentes sobre el robo de cuentas por vinculación
Qué destapó Google Threat Intelligence Group
El informe de GTIG, firmado por Gabby Roncone y Wesley Shields, sigue a tres conjuntos de actividad que la empresa rastrea por separado: UNC6293, UNC7005 y UNC5976. Google los atribuye con alta confianza a un origen ruso por sus patrones de objetivos, sus temáticas de phishing y las técnicas que comparten.
A los dos primeros los vincula, con confianza moderada, a un subgrupo de ICE RELIC —el actor que antes se llamaba APT29 y que otras empresas rastrean como Cozy Bear o Midnight Blizzard— dedicado al acceso inicial. Al tercero lo mantiene aparte: usa infraestructura propia tras el compromiso y carga con mucho más malware encima.
| Dato | Detalle |
|---|---|
| Quién lo publicó | Google Threat Intelligence Group (GTIG), 20 de agosto de 2026 |
| Autores | Gabby Roncone y Wesley Shields |
| Grupos rastreados | UNC6293, UNC7005 (alias STORM-2945) y UNC5976 |
| Atribución | Nexo ruso, con alta confianza |
| Objetivos | Academia, aeroespacial y defensa, gobiernos y centros de estudios de Europa; academia y centros de estudios en EE. UU. |
| Técnicas | Contraseñas de aplicación, phishing de código de dispositivo, abuso de OAuth y vinculación de dispositivos |
| Plataformas apuntadas | Cuentas de Google, de Microsoft y de WhatsApp |
| Vulnerabilidades explotadas | Ninguna. Ese es exactamente el problema |
La razón declarada para publicar todo esto la escribe el propio equipo, y vale la pena leerla completa porque explica el enfoque del informe:
Como estas operaciones abusan de flujos de autenticación legítimos que a los usuarios pueden no parecerles de inmediato intentos de phishing, GTIG está concientizando sobre estas campañas de ingeniería social dirigidas a personas, para que los objetivos puedan reconocer más fácilmente un contacto malicioso.Google Threat Intelligence Group — vía el informe original
El phishing de vinculación de WhatsApp, paso por paso
La parte del informe que mejor viaja fuera del mundo diplomático es la operación que UNC7005 montó en mayo y junio de 2026 suplantando a WhatsApp. El engaño no tiene una sola pieza falsificada en el momento clave, y por eso funciona.
Según GTIG, la página fraudulenta invita a vincular la cuenta de WhatsApp con un dispositivo del atacante, con la excusa de sumarse a una llamada segura, a un chat o a un documento compartido. Primero pide el número de teléfono. Con ese número, el atacante genera desde su propio equipo una solicitud de vinculación genuina y le muestra a la víctima el QR y el código auténticos, con las instrucciones para completar el proceso.
Ahí está la trampa: la víctima no escanea un QR falso ni escribe su contraseña en un formulario trucho. Hace, sobre la pantalla legítima de su aplicación, exactamente lo que esa aplicación le pide para vincular un dispositivo nuevo. La verificación en dos pasos no interviene, porque no hay ningún inicio de sesión sospechoso que bloquear: hay un dispositivo más autorizado por el dueño de la cuenta.
Una vez vinculada la cuenta, la página sigue: ofrece unirse a una llamada de voz, entrar a un supuesto chat cifrado o descargar un archivo. Si la persona acepta la llamada, se activa código JavaScript que enciende cámara y micrófono, graba mientras la pantalla simula un teléfono llamando y sube la grabación al servidor del atacante cuando la llamada «falla». Si elige el chat, le muestran un usuario y una contraseña para copiar en otra dirección. Sobre el archivo, GTIG aclara que no pudo determinar qué se ofrecía en descarga.
Los dominios que la investigación atribuye a estas operaciones están armados para que la barra de direcciones no incomode a nadie: wa-connect.eu, wa-connect.net, wa-invite.com, wa-device.com y wa-meeting.com.
Cuatro maneras de entrar sin romper nada
La vinculación de dispositivos es una de las cuatro técnicas del informe, y todas siguen el mismo principio: convencer a la persona de que ejecute un procedimiento legítimo. La más vieja son las contraseñas de aplicación, esas claves que algunas cuentas permiten crear para programas antiguos que no soportan verificación en dos pasos. UNC6293 las usa desde al menos 2025, cuando Google y Citizen Lab documentaron la campaña en la que el grupo se hacía pasar por el Departamento de Estado estadounidense y pedía crear una contraseña llamada ms.state.gov, con capturas en un PDF para que nadie se perdiera.
Lo poco que necesitan cambiar queda claro en un detalle: en octubre de 2025 GTIG vio al mismo grupo usando un PDF con las mismas capturas del año anterior. Lo único que se movió fue el destino de la clave robada, que pasó de un correo a un formulario web.
| Técnica | Qué te piden hacer | Qué obtiene el atacante | ¿La verificación en dos pasos te salva? |
|---|---|---|---|
| Contraseña de aplicación | Crear una clave secundaria en tu cuenta y compartirla | Acceso al buzón sin pasar por el segundo factor | No: la contraseña de aplicación existe justamente para saltearlo |
| Código de dispositivo | Ingresar un código para «verificar tu identidad» en un registro | Sesión iniciada en un equipo del atacante | No: el segundo factor lo aprobás vos, sin saber para qué |
| Abuso de OAuth | Iniciar sesión con Google o Microsoft en una página aparentemente normal | El token de autenticación que queda tras el login legítimo | No: el inicio de sesión es real y pasa todos los controles |
| Vinculación de dispositivo | Escanear el QR o cargar el código que muestra la app | Una copia activa de tu WhatsApp en su equipo | No: no hay login que verificar, hay un dispositivo autorizado |
El phishing de código de dispositivo aparece contra cuentas de Microsoft y de WhatsApp, con invitaciones a eventos diplomáticos como excusa. En una clonaron el sitio del foro GLOBSEC y armaron un formulario de registro que incluía —fiel a una costumbre del grupo desde 2023— una selección de vinos.
El abuso de OAuth es la variante más limpia de todas. UNC5976 compraba dominios con nombres de servicios para compartir archivos, montaba una página con un botón de «Continuar con Google» y mandaba a la víctima a la pantalla de inicio de sesión real de Google. Después de autenticarse —correctamente, en el sitio verdadero—, la persona volvía a un proyecto en la nube del atacante preparado para quedarse con el token. Google desactivó esos proyectos y el grupo empezó a mudarse a otros proveedores.
El wifi del hotel que te pide iniciar sesión en Microsoft
Acá esta investigación se cruza con otra que Microsoft publicó tres semanas antes. GTIG vincula a UNC7005 con la campaña de portales cautivos que Microsoft bautizó CaptiveCrunch el 31 de julio y atribuyó a Storm-2945, el nombre con el que la empresa rastrea al mismo grupo.
Un portal cautivo es esa pantalla que aparece cuando te conectás al wifi de un hotel o un aeropuerto y te pide aceptar condiciones o poner el número de habitación. Según Microsoft, desde principios de mayo de 2026 el grupo manipuló el tráfico DNS y HTTP de redes servidas por esos portales para redirigir a los usuarios por infraestructura propia. ReliaQuest la encontró no solo en hoteles: también en centros de conferencias y otros espacios compartidos.
Microsoft es medido al evaluar la novedad del método, y el matiz importa:
La técnica observada no parece fundamentalmente novedosa; sin embargo, integrar el phishing de código de dispositivo en operaciones de portales cautivos y manipulación de tráfico podría aumentar la probabilidad de que los usuarios perciban la solicitud de autenticación como legítima.Microsoft Threat Intelligence — vía el análisis de CaptiveCrunch
Traducido: nadie inventó nada, pero pedirte que inicies sesión justo cuando el wifi ya te está pidiendo cosas hace que el pedido se confunda con el trámite normal.
En esa línea, GTIG detalla que entre el 16 y el 23 de julio el grupo registró tres dominios con estética de correo web de Microsoft —owa-ms365.com, m365-owa.com y ms365-device.com— que después aparecieron conectados a la campaña de los portales cautivos.
Y si nada de eso funciona, te ofrecen una app
La última pata es la más clásica y la única donde un antivirus tiene algo que decir. A fines de mayo de 2026, UNC7005 hizo su campaña de correos más amplia hasta entonces, apuntada sobre todo a académicos, diplomáticos e investigadores estadounidenses especializados en Rusia y la ex Unión Soviética.
El sitio imitaba una cumbre sobre una resolución de apoyo a Ucrania y ofrecía descargar una «aplicación complementaria» para leer el texto completo. Lo que servía dependía del sistema operativo declarado por el navegador: a Windows le entregaba VIDAR, un ladrón de información escrito en Go que se alquila como servicio y que apunta a contraseñas, cookies, datos de pago y direcciones guardados en el navegador; a macOS, ATOMIC —también conocido como AtomicStealer—, con el mismo objetivo. Al que llegaba desde otro sistema le pedía cambiar de equipo «por compatibilidad»: forma elegante de decir que el malware no estaba compilado para eso.
| Cuándo | Qué pasó | Quién lo documentó |
|---|---|---|
| Junio de 2025 | Se reporta por primera vez la campaña de contraseñas de aplicación que suplanta al Departamento de Estado de EE. UU. | Google y Citizen Lab |
| Octubre de 2025 | Reaparece el mismo PDF señuelo, con las capturas idénticas | GTIG |
| Abril de 2026 | Plugin malicioso de Excel (HEADRUSH) con descargador HTA, atribuido a UNC5976 | GTIG |
| Mayo y junio de 2026 | Operaciones de vinculación de dispositivos suplantando a WhatsApp | GTIG |
| Fines de mayo de 2026 | Campaña masiva con VIDAR y ATOMIC según el sistema operativo | GTIG |
| Julio de 2026 | Redirecciones desde portales cautivos en hoteles y centros de conferencias | ReliaQuest y Microsoft |
| 20 de agosto de 2026 | Publicación del informe que conecta los tres grupos | GTIG |
¿Y esto qué significa para vos?
Empecemos por lo que este informe no dice, porque es la parte que más se distorsiona al traducirse. GTIG no describe una campaña masiva contra usuarios comunes, ni una falla de WhatsApp, ni un robo automatizado de cuentas. Describe espionaje muy selectivo —algunas operaciones apuntaron a menos de cinco personas por vez— contra perfiles académicos, diplomáticos y de defensa. Si tu agenda no incluye foros sobre seguridad europea, nadie está armando una página a tu medida.
Lo que sí te toca es el método, porque no depende de a quién apunte. La vinculación de dispositivos existe en WhatsApp para todos: el paso que el atacante necesita —que la víctima cargue un código que la app le muestra— es idéntico tenga enfrente a un diplomático o a tu tío. Lo único que cambia es el señuelo, y nada obliga a que siga siendo tan sofisticado. El informe, eso sí, no aporta datos sobre campañas de este tipo en América Latina.
Por eso la recomendación central del informe es de una simpleza que da un poco de bronca: revisá la lista de dispositivos vinculados de tus apps de mensajería, y hacelo de forma rutinaria. GTIG suma dos cosas: activar el bloqueo de registro y la verificación en dos pasos donde estén disponibles, para que nadie registre tu cuenta con un código robado por SMS, y usar los códigos de seguridad de la app para confirmar por otro canal que hablás con quien creés. Sobre las contraseñas de aplicación es más tajante: no las recomienda, no sirven para verificar identidad, no se comparten y conviene revocar las que quedaron atadas a equipos que ya no usás.
Notá lo que no aparece en esa lista: ningún programa. Contra el phishing de vinculación no hay software que te salve, porque no hay nada malicioso instalado en tu teléfono —el atacante simplemente tiene una sesión que vos autorizaste—. Donde sí cambia el resultado tener protección instalada es en las otras dos patas del informe: el ladrón de información que la página te ofrece descargar y el tráfico manipulado del wifi de un hotel. Para ese escenario, una suite con antivirus, protección web y VPN incluida cubre las tres cosas en el mismo paquete. Es el mismo reparto que vimos en el caso de TWINLOOT, donde la puerta de entrada tampoco fue una vulnerabilidad sino una llamada de soporte técnico: la herramienta corta la segunda mitad de la cadena, pero la primera la abre siempre una persona.
Preguntas frecuentes sobre el robo de cuentas por vinculación
¿Cómo sé si alguien tiene vinculada mi cuenta de WhatsApp?
En los ajustes de la aplicación hay una sección de dispositivos vinculados que lista las sesiones abiertas además de la de tu teléfono. Si aparece alguna que no reconocés, se cierra desde ahí mismo. GTIG recomienda auditar esa lista de forma rutinaria, no solo cuando sospechás algo: es la única señal de que alguien más está leyendo tus mensajes.
¿La verificación en dos pasos me protege de este engaño?
De este en particular, no. El ataque no intenta iniciar sesión como vos: te convence de autorizar un dispositivo extra desde tu propia aplicación, que es una acción legítima y no dispara ninguna alerta. Sí sirve, y mucho, contra el registro de tu número en otro teléfono, que es un ataque distinto.
¿Los usuarios de América Latina están entre los objetivos del informe?
No. GTIG ubica los objetivos en Europa y Estados Unidos, más Ucrania y Armenia, en perfiles de academia, diplomacia, defensa y organizaciones sin fines de lucro. Lo que se traslada a cualquier región es la técnica, que no depende del país ni del perfil de la víctima.
¿Hay que desinstalar WhatsApp o cambiar de aplicación?
No hay ninguna falla que parchear ni una versión afectada. La vinculación de dispositivos es una función normal que existe para usar la cuenta en la computadora o en una tablet. El problema no es la función: es que alguien te convenza de usarla para su equipo en lugar del tuyo.
🛒 Te puede servir
¿Y vos qué opinás? Dejalo en los comentarios ⬇️
Cubrí la parte que sí depende del software →
