Po WhatsAppu se Českem šíří nový podvod. Je zákeřný a útočí na city
Představte si, že vám na WhatsApp přistane zpráva od kolegyně z práce. Prosí vás o maličkost: kliknout na odkaz a podpořit její neteř v taneční soutěži. Celá věc zní naprosto přirozeně, protože odesílatelem je skutečně člověk, kterého znáte. Problém je v tom, že vaše kolegyně o zprávě vůbec neví.
Bezpečnostní tým CERT-AGID upozorňuje na novou vlnu kybernetických útoků, která se šíří Evropou včetně Česka. Útočníci vsadili na lidskou ochotu pomoci blízkým a vytvořili past, která na první pohled připomíná běžné internetové hlasování. Kampaň zasáhla kromě českých uživatelů také Polsko, Německo či Itálii – v Polsku na ni dokonce naletěl náměstek ministra spravedlnosti.
Propracovaná iluze soutěže, která nic nestojí
Odkaz vás zavede na webovou stránku, jež vypadá jako standardní hlasovací portál. Najdete tam fotografie dvou finalistek, jejich jména, průběžné počty hlasů i údaje o pražské taneční škole. Vše působí důvěryhodně a profesionálně.
Zákeřnost celé akce tkví v tom, že po vás nikdo nežádá platební kartu, heslo ani peníze. Stačí vybrat soutěžící a potvrdit svůj hlas prostřednictvím WhatsAppu. Právě v tomto okamžiku se nevinná podpora mění v past, která vám otevře dveře do soukromé komunikace.
Po zadání telefonního čísla web vyžaduje osmimístný kód. Ten však nemá nic společného s hlasováním. Jde o párovací kód, který WhatsApp generuje při připojování dalšího zařízení k vašemu účtu – stejnou funkci používáte třeba při otevření aplikace na počítači. WhatsApp umožňuje k jednomu profilu připojit až čtyři taková zařízení. Falešná soutěž však tento kód vydává za potvrzení hlasu.
Tichý vetřelec, který vás nevyhodí
Zadáním kódu schválíte připojení cizího přístroje, který kompletně ovládá útočník. Na rozdíl od starších podvodů, kdy vás hackeři vyhodili z aplikace přeregistrováním čísla na jiný telefon, zde váš WhatsApp zůstane funkční a na první pohled se nezmění vůbec nic. Tento typ útoku se v kyberbezpečnostním prostředí označuje jako *GhostPairing*.
Cizí zařízení ticho zaznamenané v nastavení však získá přístup k části nedávné historie a začne mu chodit veškerá nová komunikace. Útočníci navíc často jako první krok ztlumí notifikace příchozích zpráv, takže zpočátku ani nepostřehnete, že vaším jménem odchází podvodné zprávy dalším lidem.
Společnost Meta na podobné triky s falešnými talentovými soutěžemi upozorňuje a v rizikových případech může uživatele varovat, že se k jeho účtu někdo pokouší připojit další zařízení. Přestože šifrování zpráv nikdo neprolomil, WhatsApp po úspěšné autorizaci považuje útočníkův přístroj za jedno z vašich zařízení.
Podvodník tak může pohodlně číst vaši komunikaci a zároveň váš profil využít k oslovování dalších kontaktů ze seznamu. Později může z vašich blízkých zkusit vylákat peníze nebo jinou pomoc.
Jak zjistit, jestli vám někdo nakoukává do zpráv
Pokud jste v nedávné době na podobný odkaz klikli a zadávali jakýkoliv kód, prověřte zabezpečení svého telefonu. V aplikaci se podívejte do sekce Propojená zařízení. Na Androidu ji najdete v menu pod třemi tečkami v pravém horním rohu, na iPhonu přímo v nastavení aplikace.
Prohlédněte si seznam aktivních relací a všechna neznámá zařízení okamžitě odhlaste – jde o nejrychlejší způsob, jak útočníkovi odebrat přístup. Pokud už z vašeho profilu mezitím odešly zprávy, kontaktujte lidi ve svém okolí a upozorněte je, že váš účet mohl být zneužit.
Jako účinnou prevenci doporučuje CERT-AGID zapnout dvoufázové ověření. WhatsApp tuto funkci postupně upravuje a u vybraných účtů nahrazuje původní šestimístný PIN silnějším heslem. Využít můžete také modernější bezpečnostní prvky, mezi které patří například takzvané passkeys.
Pamatujte na základní pravidlo: pokud jakékoliv internetové hlasování vyžaduje zadání párovacího kódu, QR kódu nebo propojení zařízení, nejedná se o hlasování, ale o správu účtu. Jakmile se na stránce takový požadavek objeví, celou akci ihned ukončete. Pokud vám navíc přijde podezřelá zpráva od někoho známého, raději si ji ověřte mimo WhatsApp – například krátkým telefonním hovorem.
