El engaño OTP en Snapchat: anatomía de un ataque que comprometió más de 750 cuentas

Introducción

Un joven de 26 años de Illinois fue condenado a seis años y cuatro meses de prisión por orquestar, entre 2020 y 2021, una campaña masiva de intrusión en Snapchat. El atacante se dirigió a más de 4.500 posibles víctimas, logrando vulnerar las cuentas de unas 750 mujeres y robar imágenes íntimas, a menudo para revenderlas o por encargo de terceros. El caso ilustra cómo las técnicas de ingeniería social pueden hacer ineficaces incluso los mecanismos de seguridad más comunes, como los códigos de un solo uso (OTP).

Análisis técnico

El ataque se basó en una cadena de phishing psicológico (vishing y smishing). El hacker obtenía números de teléfono o nombres de usuario de mujeres activas en Snapchat a través de redes sociales y canales públicos. Luego, usando números anónimos o aplicaciones de mensajería, contactaba a cada víctima haciéndose pasar por un empleado oficial de Snap Inc. Con pretextos de emergencia (accesos sospechosos, verificaciones de seguridad) convencía a la víctima para que leyera el código OTP que la plataforma enviaba a su teléfono, activado por el intento de acceso del atacante desde un nuevo dispositivo.

Una vez obtenido el código, el hacker completaba la autenticación y tomaba el control total de la cuenta. Inmediatamente descargaba todas las imágenes privadas (incluidas historias y mensajes) y activaba una nueva autenticación de dos factores (2FA) con un método bajo su control (por ejemplo, una aplicación de autenticación), excluyendo así a la propietaria legítima.

El atacante no se limitaba a acumular botín: en Kik Messenger –plataforma cifrada– promocionaba su “servicio” de hacking por encargo e intercambiaba el material robado. Además de fotos de adultas, almacenaba y distribuía material de abuso sexual infantil (CSAM) a través de cuentas de Mega, donde acumulaba más de 1.100 archivos. En al menos un caso, vulneró las cuentas de estudiantes universitarias a petición de un exentrenador, luego condenado a su vez.

Desde el punto de vista técnico, el elemento más peligroso es la manipulación del factor humano. La 2FA basada en OTP pierde su eficacia si la víctima entrega voluntariamente el código, y la posterior activación de una 2FA hostil complica la recuperación de la cuenta, ya que el propietario legítimo ya no puede superar la verificación.

Impacto

El impacto en las víctimas fue profundo: además del robo de datos personales y la difusión no consentida de imágenes íntimas, muchas sufrieron daños psicológicos y reputacionales. La exclusión forzada de las cuentas amplificó la sensación de impotencia. Desde el punto de vista penal, el caso puso el foco en el tráfico de CSAM, el ciberacoso y la sextorsión. Para Snap Inc., el incidente representa un daño reputacional y una llamada de atención sobre la necesidad de reforzar las defensas contra el phishing dirigido y de educar de manera más contundente a los usuarios.

Mitigación

Para los usuarios:

• No comunicar nunca a terceros, por teléfono o mensaje, códigos OTP, contraseñas o PIN, incluso si quien los solicita afirma ser del soporte técnico.
• Sustituir, siempre que sea posible, la 2FA por SMS con aplicaciones de autenticación (TOTP) o llaves de hardware, más difíciles de interceptar socialmente.
• Verificar siempre la identidad de quien contacta utilizando canales oficiales (correo electrónico certificado, notificaciones dentro de la aplicación) y reportar inmediatamente los intentos sospechosos.
• Monitorear las notificaciones de acceso y cambios en la configuración de seguridad; si se detectan modificaciones no autorizadas, contactar de inmediato al soporte legítimo.

Para las plataformas:

• Reforzar los motores de detección de anomalías, como accesos desde dispositivos o ubicaciones geográficas inusuales, o la activación de una nueva 2FA inmediatamente después de un inicio de sesión.
• Enviar notificaciones push y correos electrónicos claros ante cada cambio crítico (por ejemplo, cambio de contraseña, nueva 2FA), incluyendo un enlace para deshacer la operación en pocos minutos.
• Invertir en campañas educativas permanentes que expliquen a los usuarios que el personal oficial nunca solicitará códigos OTP.
• Agilizar los procedimientos de bloqueo y eliminación de las cuentas que suplantan a la empresa.

Preguntas frecuentes

1. ¿Cómo conseguía el hacker los códigos OTP si no tenía físicamente el teléfono de la víctima?
El atacante utilizaba ingeniería social: contactaba a la víctima haciéndose pasar por Snapchat y la convencía para que revelara el código que la app generaba en ese momento. Como la propia víctima entregaba el código, todas las protecciones criptográficas quedaban eludidas.

2. ¿Por qué la autenticación de dos factores no protegió a las víctimas?
La 2FA con OTP solo funciona si el código permanece secreto. Convencida de estar hablando con un responsable de seguridad, la víctima compartió voluntariamente el código, anulando el factor de protección. Posteriormente, el hacker configuró su propia 2FA, tomando el control exclusivo de la cuenta.

3. ¿Qué lecciones debe aprender una plataforma como Snapchat?
Debe dejar inequívocamente claro que ningún operador pedirá jamás un OTP o una contraseña. Además, es crucial implementar sistemas automáticos que reconozcan comportamientos sospechosos (por ejemplo, la activación de una nueva 2FA inmediatamente después de un acceso) y proporcionar a los usuarios herramientas rápidas de recuperación y soporte especializado antifraude.