הודעה מחבר, קישור, וקוד קצר: כך משתלטים על חשבון וואטסאפ מרחוק

חוקרים בחברת GenDigital (החברה שמאחורי אנטי-וירוס Norton) חשפו השבוע מתקפה שמשתלטת על חשבונות וואטסאפ בלי לדעת את הסיסמה ובלי לגנוב את הטלפון. הם קראו לה GhostPairing, והיא כבר התחילה להתפשט מאירופה החוצה. הכלי שהיא מנצלת הוא דווקא תכונה לגיטימית של וואטסאפ, זו שמאפשרת לחבר לחשבון מכשיר נוסף כמו מחשב או טאבלט.

מה קרה

הכול מתחיל בהודעה קצרה ותמימה, למשל "היי, מצאתי פה תמונה שלך" עם קישור. ההודעה מגיעה לרוב מאיש קשר אמיתי שאתם מכירים, כי החשבון שלו כבר נפרץ קודם. הקישור מוביל לעמוד מזויף שמבקש מכם להזין את מספר הטלפון. ברגע שאתם מזינים אותו, התוקף מפעיל בצד שלו את האפשרות של וואטסאפ לחבר מכשיר חדש לפי מספר טלפון, ווואטסאפ מייצרת קוד בן שמונה ספרות. העמוד המזויף מציג לכם את הקוד ומבקש שתקלידו אותו בתוך וואטסאפ שלכם, כאילו זה חלק מהתהליך. אם הקלדתם, בלי לשים לב אישרתם למכשיר של התוקף להתחבר לחשבון.

מאותו רגע יש לתוקף חלון חי לכל מה שקורה אצלכם: היסטוריית השיחות, התמונות, ההודעות הקוליות, וגם קודים חד-פעמיים שהבנק שולח בוואטסאפ. הוא יכול לקרוא בשקט במשך ימים, ללמוד איך אתם מדברים ולמי אתם מאמינים, ואז לפנות לאנשי הקשר שלכם ולבקש מהם כסף בשמכם. GenDigital מדגישה שרוב הקורבנות כלל לא מבחינים שנוסף מכשיר ברקע, וזה מה שהופך את התרמית למסוכנת.

למה זה חשוב לכם

וואטסאפ היא אפליקציית ההודעות המרכזית בישראל, וכמעט כולם משתמשים בה גם למשפחה, גם לעבודה וגם לקבלת קודים מהבנק. מתקפה שמתפשטת דרך אנשי קשר אמיתיים מגיעה בקלות גם לכאן, כי היא נראית כמו הודעה רגילה מחבר. אין צורך בסיסמה שלכם ואין צורך בגישה לטלפון, מספיקה טעות קטנה של הקלדת קוד.

מה עושים?

אף פעם אל תקלידו קוד קצר בתוך וואטסאפ בעקבות בקשה מאתר או מהודעה. חיבור מכשיר חדש צריך להתחיל רק אצלכם, כשאתם סורקים קוד QR ביוזמתכם.

בדקו עכשיו מי מחובר לחשבון: וואטסאפ, הגדרות, מכשירים מקושרים. אם יש שם מכשיר שאתם לא מזהים, הקישו עליו והסירו אותו מיד.

הפעילו אימות דו-שלבי בוואטסאפ (הגדרות, חשבון, אימות דו-שלבי). זה מוסיף קוד PIN קבוע שרק אתם יודעים ומקשה על השתלטות.

אם קיבלתם הודעה מוזרה עם קישור, גם מחבר, אל תלחצו. שאלו אותו בשיחה או בטלפון אם באמת שלח, כי ייתכן שהחשבון שלו כבר נפרץ.

הכלל הפשוט: כל בקשה פתאומית להקליד קוד או ללחוץ על קישור היא סימן אזהרה, גם כשהיא מגיעה ממישהו שאתם מכירים.