Cómo perdí mi cuenta de Signal: mi experiencia con phishing

Perdí mi cuenta de Signal y por aproximadamente una hora temí lo peor. Sin embargo, pude recuperar mis contactos e historial. Les cuento lo que me pasó porque esto puede servirles.

Fui víctima de un phishing, un ciberataque basado en la ingeniería social que aprovecha nuestra “vulnerabilidad humana”, no la técnica. Los atacantes suplantan la identidad de empresas, bancos o personas de confianza para robar información confidencial -como contraseñas o datos financieros- o incluso para instalar malware.

Los bancos y plataformas digitales insisten en que nunca pedirán contraseñas ni códigos de verificación. Son datos personales que no deben compartirse. Sin embargo, estos ataques están cada vez mejor diseñados y, en momentos de distracción o preocupación, cualquiera puede caer.

En mi caso, fui contactada por una supuesta cuenta de soporte: “Signal Support”. El primer mensaje era técnico y sobrio: advertía sobre “actividad sospechosa” en mi cuenta, específicamente un “intento incompleto de registro”, acompañado de datos como hora, equipo y ubicación. Fue solo información, no pidieron hacer nada. Lo leí y seguí con mi rutina.

Días después recibí otro mensaje informando que un equipo sospechoso había ingresado a mi cuenta, nuevamente con detalles técnicos. Era muy temprano en la mañana, me generó inquietud, pero tampoco actué, tenía dudas.

Poco después llegó uno más alarmante: había una solicitud para cambiar el número de teléfono asociado a mi cuenta, daban mi número actual y el nuevo: si no estaba de acuerdo, podía escribir “/cancel”. Ya preocupada, pensé que no perdía nada con hacerlo, escribí el comando.

Entonces llegó el siguiente: debía ingresar el código de verificación que me llegaría por SMS. Dudé y no respondí de inmediato. Segundos después, otro mensaje aún más grave: había una solicitud para la descarga de toda la información de mi cuenta (contactos, grupos, mensajes), indicando incluso el correo desde el cual se hacía la petición. Nuevamente podía evitarlo escribiendo “/cancel”. Volví a hacerlo. Inmediatamente me pidieron el código de verificación. Esta vez lo ingresé, a pesar de que el SMS advertía que no lo hiciera. Fue un error.

Acto seguido, me solicitaron el PIN de Signal, es decir, la clave de autenticación que protege toda la cuenta. Eso ya me pareció excesivo y no lo entregué. Insistieron, y al no hacerlo, indicaron que mi cuenta sería cerrada en todos los dispositivos y que debía reinstalar Signal para recuperar el acceso. Estaba fuera de mi cuenta.

Todo ocurrió muy rápido. Hablé con un amigo que me ayudó a entender lo sucedido y confirmamos que se trataba de un tipo de phishing que Signal ya tiene documentado. Así supe que no debía reinstalar la aplicación. Como no entregué mi PIN, registré nuevamente mi número y obtuve una nueva cuenta manteniendo mi número de celular. Como la lista de contactos e historiales se guardan en el celular y tenía el PIN para desencriptarlos el daño se mitigó.

Sin embargo, quedó activa la vieja cuenta con otro número en manos de los atacantes. Esa es una cuenta impostora con mi nombre que ven todos mis contactos y está en los grupos que tenía. He debido contactar uno a uno a los grupos para que eliminen la cuenta falsa y me vuelvan a agregar. Adicionalmente fijé en mi historia la advertencia y empecé a contarles a mis contactos, pues hasta ahora no han hecho nada pero podrían intentar suplantarme.

Leyendo sobre estos ataques entendí que cuando interactué con los atacantes, ellos iniciaron un proceso de cambio de número en Signal desde un dispositivo bajo su control. Por eso Signal envió a mi teléfono el código de verificación que ellos necesitaban para registrar esa cuenta con otro número, pero fui yo quien se los dio. Si no hubiera tenido una capa adicional de seguridad habría perdido la información. También la habría perdido si hubiera reinstalado la aplicación.

Estos ataques no explotan fallas técnicas, te manipulan para que entregues información que solo deberías conocer como dueña legítima del número. Los atacantes ganan nuestra confianza y, paso a paso, nos llevan a cometer errores. Ahí veo una paradoja en que esto ocurra en Signal, precisamente debido a su reputación como aplicación segura quizá confiamos más y bajamos la guardia con mayor facilidad.

Entonces, siempre verifica cuáles son los canales oficiales (me demoré en indagar por “Signal Support”), revisa y fortalece las configuraciones de seguridad y no olvides que ninguna plataforma solicita claves o códigos personales por chat. Aunque sea una aplicación muy segura -como Signal-, si entregamos nuestras claves no hay nada que evite que se tomen la cuenta.

En el mundo digital del siglo XXI, cualquiera, incluso quienes estamos atentos a la seguridad, es vulnerable. Hay que mantenerse alerta, desconfiar y detenerse a pensar, incluso cuando el mensaje parece legítimo. Ojalá este relato evite que le pase a alguien más.