Más de 56.000 personas descargaron esta "herramienta" de WhatsApp que robaba todos sus chats.

Mucho cuidado con las herramientas de terceros que utilizas para gestionar tu cuenta de WhatsApp. La seguridad de la plataforma de mensajería más usada del mundo ha vuelto a quedar en entredicho, esta vez no por un fallo de la aplicación en sí, sino por una amenaza externa que ha logrado pasar desapercibida durante medio año.

Un informe reciente de la firma de seguridad Koi Security ha hecho saltar todas las alarmas: una supuesta librería de desarrollo para WhatsApp, que acumulaba más de 56.000 descargas, era en realidad un sofisticado malware diseñado para robar absolutamente todo el contenido de las cuentas de las víctimas.

Un lobo con piel de cordero llamado 'lotusbail'

El ataque se ha producido a través de npm (Node Package Manager), el registro de software más grande del mundo utilizado por desarrolladores de JavaScript. Allí se alojaba un paquete llamado "lotusbail".

Para engañar a los desarrolladores, este paquete se presentaba como una versión legítima (un fork) de un proyecto muy popular llamado Baileys, utilizado habitualmente para crear bots o herramientas de automatización en WhatsApp Web. El problema es que, aunque "lotusbail" funcionaba y hacía lo que prometía, también hacía mucho más en segundo plano.

Según los investigadores, el código malicioso actuaba como un intermediario invisible. "Cada mensaje que fluía a través de la aplicación pasaba primero por el contenedor del malware", explican desde Koi Security. Al autenticarse, el programa capturaba las credenciales. Al recibir mensajes, los interceptaba. Y al enviarlos, los grababa.

Qué información han robado (y cómo saber si estás afectado)

El alcance del robo de datos es preocupante. La herramienta no solo interceptaba los mensajes de texto enviados y recibidos, sino que también exfiltraba:

• Listas de contactos completas.
• Archivos multimedia (fotos, vídeos, audios).
• Documentos compartidos.
• Tokens de autenticación y claves de sesión.

Pero lo más grave es su capacidad de persistencia. El malware incluía una función que vinculaba automáticamente el dispositivo del atacante a la cuenta de WhatsApp de la víctima mediante el proceso de "Dispositivos vinculados".

Esto significa que, incluso si el desarrollador o el usuario borraban la herramienta maliciosa de su equipo, el atacante seguía teniendo acceso total a la cuenta de WhatsApp de forma indefinida, ya que su dispositivo permanecía autorizado en la lista de sesiones activas.

¿Qué debes hacer?

Aunque este ataque estaba dirigido principalmente a desarrolladores que integraron esta librería en sus proyectos, los usuarios finales de dichas herramientas también podrían verse afectados.

Para asegurarte de que tu cuenta está a salvo, la recomendación es sencilla pero vital:

1. Abre WhatsApp en tu móvil.
2. Ve a los Ajustes o al menú de los tres puntos.
3. Entra en Dispositivos vinculados.
4. Revisa la lista cuidadosamente. Si ves algún navegador o dispositivo que no reconoces, o una sesión iniciada en una fecha extraña, ciérrala inmediatamente.

Los atacantes utilizaron técnicas complejas, como bucles infinitos y cifrado RSA, para ocultar el comportamiento del código durante meses. Una prueba más de que, cuando hablamos de ciberseguridad, nunca hay que bajar la guardia, ni siquiera con herramientas que parecen legítimas y populares.