Nový český podvod na WhatsAppu krade uživatelům účty i bez hesel

Výzkumníci společnosti Gen objevili v Česku nový podvod, při kterém útočníci dokážou získat plný přístup k WhatsApp účtu oběti, aniž by k tomu potřebovali ukrást její heslo, kód dvoufaktorového ověřování nebo prolomit šifrování. Místo toho uživatele přesvědčí, aby jim přístup sám předal.

Podvod, který experti Genu nazvali ghostpairing, začíná zprávou od důvěryhodného kontaktu: „Ahoj, našel jsem tvoji fotku.“ Pokud uživatel klikne na přiložený odkaz, dostanou se na falešnou stránku napodobující Facebook, která požaduje ověření identity dotyčného před zobrazením fotky. Co vypadá jako neškodný bezpečnostní krok, je ve skutečnosti maskovaný proces spárování dalšího zařízení s WhatsApp účtem uživatele.

Po zadání legitimního párovacího kódu totiž oběť nevědomky přidá prohlížeč útočníka mezi připojená zařízení, čímž mu dá neomezený přístup ke svým zprávám, fotkám a kontaktům, aniž by podvodník musel měnit heslo nebo blokovat oběti přístup k účtu.

Základní vlastnosti podvodu:

• Útočníci nepotřebují krást hesla: Podvod zneužívá přirozené funkce WhatsAppu, pro uživatele je tak těžší jej rozpoznat a odhalit.
• Telefon dál normálně funguje: Oběti si často neuvědomí, že mají k účtu připojené cizí zařízení, které může v reálném čase sledovat všechny jejich konverzace.
• Podvodníci zneužívají důvěry: Jakmile získají přístup k jednomu účtu, podvod dál rozesílají přátelům, rodině a do skupinových konverzací oběti, čímž jej přirozeně šíří.
• Útok nahrává dalším podvodům: Soukromé konverzace, hlasové zprávy a fotky jsou pro kyberzločince skvělým materiálem k dalším, cílenějším podvodům, vydávání se za dotyčného nebo vydírání.

Čím je tento podvod výjimečný?

Tato kampaň ukazuje posun v přemýšlení kyberzločinců. Ti už se nesnaží prolomit bezpečnostní systémy, místo toho přesvědčují své oběti, aby jim samy daly přístup. Zneužívají přitom rutinních prvků, které lidé běžně používají, jako jsou QR kódy, požadavky na spárování zařízení a ověřování požadavků na telefonu. Ghostpairing se navíc nemusí omezovat pouze na WhatsApp. Je to varovný signál pro všechny platformy, které se spoléhají na rychlé, ne příliš transparentní připojování nových zařízení.

Jak se proti útoku chránit:

• Ve svém WhatsApp účtu jděte do Nastavení → Připojená zařízení a odstraňte všechna, která neznáte.
• Jakoukoli výzvu z webových stránek k naskenování QR kódu nebo zadání kódu pro párování zařízení považujte za podezřelou.
• Nastavte si na WhatsAppu dvoufaktorové ověření a informujte o podvodu své blízké.