גל התקפות חדש כנגד חשבונות ווטסאפ מאיים על מיליוני ישראלים המשתמשים באפליקציה. במהלך התקיפה, המשתמשים מאבדים גישה לחשבונות שלהם, ואולי גרוע מכך, הפורצים מקבלים שליטה מלאה, לרבות כזו המאפשרת להם לשלוח הודעות בשם הקורבן. חוקר אבטחה ישראלי מחברת קספרסקי שם לב לפעילות חשודה בקבוצת הווטסאפ הבית ספרית שבה הוא חבר. מספר הטלפון של אחת מחברי הקבוצה השתנה לאחר, בעל קידומת סורית (963+). דקות ספורות לאחר מכן, שם הקבוצה השתנה ל-"Only Virus" והתברר היקף הנזק. ההאקר קיבל גישה לחשבון הווטסאפ ושלח הודעות בשמה לאנשי קשר ולקבוצות בהן היא חברה.
עידו נאור, החוקר שזיהה את הפריצה, הסביר כי לא מדובר בוירוס, או בסוס טרויאני, אלא בשיטה הנקראת "הנדסה חברתית". "מטרתה להתל בקורבן כדי לשכנעו לציית לבקשות התוקף על מנת שיבצע פעולה שאינו מודע להשלכותיה". נאור אז ראה מקרוב את דרך הפעולה של התוקף כשהחל לפנות לשאר חברי הקבוצה. "במצב כזה, כאשר נפל קורבן אחד בקבוצה, החוכמה היא לעצור את השטף". מאחר ובמקרים רבים התוקף אינו משנה את שם החשבון, הפניה מהתוקף תיראה כפניה תמימה של חבר או אחד מאנשי הקשר, מה שיגדיל את הסבירות להיענות לבקשתו.
ווטסאפ הינה פלטפורמת העברת המסרים הגדולה בעולם עם מעל למיליארד משתמשים פעילים מדי חודש, ומיליוני ישראלים עושים שימוש בפלטפורמה. לכן, היקף גל ההתקפות, עלול להשפיע על מספר גדול של ישראלים. מבדיקה שעשה נאור, נראה כי אין דרך להשיב את השליטה על החשבון שנפרץ. כלומר, לתוקף תישאר הגישה לכל פרטי חשבון הווטסאפ, ההודעות ואנשי הקשר, והוא יכול להמשיך וליצור קשר, ללא הפרעה, עם אנשי הקשר איתם מיודד הקורבן, תחת זהותו. בעל החשבון המקורי יכול אומנם לפתוח חשבון ווטסאפ חדש, ללא כל הקבוצות שהיה חבר בהן, אך פרטי החשבון, על כל המשתמע מכך, נשארים ברשות החוטף.
עוד בנושא:
נלחמת בפייק ניוז: ווטסאפ הודיעה כי הסירה שני מיליון חשבונות מזוייפים
3,405 שקלים מפריצות לווטסאפ: האקרים משתלטים על חשבונות הווטסאפ בבריטניה
העדכון שכולם חיכו לו סוף סוף הגיע לווטסאפ אבל יש לנו גם בשורות רעות
זו אינה הפעם הראשונה שמקרה כזה מדווח בישראל ובעולם. למעשה, גל ההתקפות הראשון דווח עוד בחודש אוקטובר אשתקד, כשמשתמשים בבריטניה החלו לאבד את הגישה לחשבון הווטסאפ שלהם. פורומים מקומיים החלו לקבל עשרות רשומות של משתמשים תמימים ומתוסכלים, ונראה שבשבוע האחרון, המקרים הללו הגיעו גם לישראל. פניות לקו התמיכה של ווטסאפ לא נענו, והקורבנות נותרו ללא גישה לחשבון שלהם וללא שום יכולת לשחזר אותו.
כך תגנו על החשבון מפני האקרים
גניבת החשבון נעשית בצורה פשוטה למדי, וכמעט שלא ניתן לחשוד בה: התוקף מוריד את האפליקציה למכשיר שלו ומצהיר שהמספר שלכם הוא למעשה שלו. בעת תהליך האימות בהרשמה הראשונית, נשלחת הודעת טקסט למכשירו של הקורבן יחד עם קוד המונה שש ספרות, שנועד למניעת מצבי חטיפה של חשבונות. בו בזמן, התוקף פונה לקורבן ומשדל אותו לשלוח לו את שש הספרות המופיעות בהודעה או ללחוץ על הלינק המופיע בה. ולמרות שבהודעה נכתב במפורש לא לשתף את הקוד עם אדם אחר, בפועל, לא מעט משתמשים נופלים קורבן ומשתפים את הקוד עם התוקף. לאחר שהתוקף מאמת את הקוד, הוא מקבל שליטה מלאה על חשבון הווטסאפ של הקורבן. לכן, אם אתם מקבלים הודעה המכילה קוד אימות כפי שמופיע בתמונה, אין לשלוח אותה לאף אחד.