El Ministerio de Tecnologías de la Información (MITIC) informó que el secuestro del buzón de voz es una técnica utilizada por los atacantes para tener acceso a las cuentas de los usuarios. Las recomendaciones son desactivar el buzón de voz o cambiar la contraseña por defecto a dígitos que sean difíciles de descifrar, entre otros.
El Centro de Respuestas a Incidentes Cibernéticos (CERT-PY), la oficina especializada en este tipo de casos del MITIC, explicó que el buzón de voz es un sistema centralizado de manejo de mensajes que ofrecen las compañías telefónicas. Permite a los usuarios recibir, almacenar y gestionar mensajes de voz de las personas que llaman cuando se encuentran ausentes, con la línea ocupada o en una zona fuera de cobertura.
Este sistema de buzón de voz o contestador puede ser un gran recurso para que los atacantes consigan obtener acceso a las cuentas de usuarios de una víctima, mediante una técnica conocida como secuestro del sistema de buzón de voz (voicemail system hacking, en inglés).
Las compañías telefónicas permiten el acceso al buzón de voz no solo desde el propio número telefónico de un usuario, sino también a través de números de teléfono externo, con el fin de facilitar a sus usuarios el acceso a su sistema de buzón de voz, si se encuentran por ejemplo fuera del país.
El acceso se protege con un código de seguridad, sin embargo, los códigos del contestador suelen ser poco seguros, muchos usuarios utilizan los códigos establecidos por defecto por el operador, que suelen ser o los últimos dígitos del número de teléfono o algo tan simple como 0000, 1111 o 1234, lo que facilita a un atacante el acceso al sistema de buzón de voz de un usuario con una clave débil. Se podría atacar al sistema de buzón de voz a través de fuerza bruta (por una secuencia de comandos), no requiere muchos recursos.
Muchas veces al momento de registro o restablecimiento de contraseñas, las plataformas online más importantes (Whatsapp, Telegram, Twitter, PayPal, etc) ofrecen dos opciones, llamada a un número de teléfono registrado o el envío de un SMS, ambos con el fin de brindar al usuario un código de verificación de seguridad. El atacante solicita el restablecimiento de contraseña o el registro de una cuenta nueva, dependiendo de la plataforma al cual desea obtener acceso.