El mecanismo se apoya en la viralidad propia de las aplicaciones de mensajería: quien recibe el enlace confía en el remitente y lo reenvía sin comprobarlo, lo que multiplica el alcance del ataque en poco tiempo. La web de destino imita el formato de un concurso de fotografía o popularidad, con un sistema de votación que exige registrarse con nombre, correo electrónico y, en algunos casos, número de teléfono antes de poder participar.
El phishing es una técnica de ingeniería social que suplanta a una entidad o persona de confianza para inducir a la víctima a entregar datos o credenciales. Cuando se distribuye en cadena por mensajería, prescinde del correo masivo tradicional y se apoya en el reenvío entre particulares, que elimina las barreras de los filtros antispam y hace que el enlace llegue avalado por un contacto conocido.
El hacker español Rave advirtió sobre los peligros de utilizar un correo electrónico que incluya nombre y apellidos reales para este tipo de registros, al considerar que exponer así la identidad facilita ataques posteriores. Esa recomendación cobra sentido en fraudes como el del concurso de «Eliska» o «Sophie», cuyo formulario busca vincular un correo identificable con otros datos para habilitar suplantaciones o nuevas campañas dirigidas a la víctima.
La fórmula del concurso o la votación popular es recurrente porque apela a la curiosidad y a la participación social, dos elementos que favorecen la viralización sin que el usuario perciba riesgo. El formato de encuesta, sorteo o votación permite captar datos a gran escala combinando el alcance de WhatsApp con la ausencia de filtros de seguridad en los enlaces compartidos entre particulares.
Las pautas básicas frente a este tipo de ataques pasan por desconfiar de enlaces recibidos por mensajería que redirijan a formularios externos, verificar la URL completa antes de introducir cualquier dato y evitar direcciones de correo que contengan información identificativa en registros de dudosa procedencia. Son recomendaciones que las fuerzas de seguridad vienen difundiendo también en otros ámbitos cotidianos, como las advertencias sobre fraudes y normas estacionales donde se insiste en el desconocimiento generalizado de reglas básicas de convivencia y seguridad.
La Agencia Española de Protección de Datos recomienda no facilitar información personal en webs no verificadas y recuerda que la entrega de nombre, correo y teléfono permite elaborar perfiles comerciales o lanzar campañas de suplantación más precisas. La recogida de datos sin información clara sobre su finalidad choca con el Reglamento General de Protección de Datos vigente en la Unión Europea, que exige consentimiento informado para cualquier tratamiento.
