Een eenvoudige WhatsApp-gebruikersfout kan tot grote problemen leiden

Zak Doffman, de CEO van een beveiligingsbedrijf met de naam Digital Barriers en een Forbes-medewerker, stuitte onlangs op een accountovernameaanval gericht op WhatsApp-gebruikers. Het laat nogmaals zien dat voor cybercriminelen het kunnen hacken van de menselijke psyche zelfs belangrijker kan zijn dan het kunnen hacken van een online service.

Doffman hoorde over de aanval toen een vriend van hem in een groepschat klaagde dat haar WhatsApp-account was gehackt. Ze zei tegen de anderen dat ze op hun hoede moesten zijn voor de berichten die zogenaamd van haar zouden komen, en ze waarschuwde iedereen om geen zescijferige nummers weg te geven die ze als sms konden ontvangen. Het klonk eerst wat vreemd, maar al snel wist Zak Doffman precies wat er was gebeurd en hij was nogal verbaasd over hoe eenvoudig en slim de aanval is.

Een masterclass social engineering

Het is onmogelijk om te zeggen hoe wijdverbreid de zwendel is of dat deze op een bepaalde set gebruikers is gericht. De manier waarop de aanval werkt, suggereert echter dat degene die deze heeft georganiseerd vastbesloten is om zoveel mogelijk accounts over te nemen.

Mensen die bezorgd zijn om hun privégesprekken in gevaar te brengen, kunnen opgelucht ademhalen. WhatsApp's gebruik van end-to-end encryptie betekent dat als iemand inlogt op uw account vanaf een ander apparaat, ze uw chats niet kunnen zien tenzij ze ook uw back-up hebben gestolen. Wat ze echter kunnen zien, zijn de telefoonnummers van je vrienden, en ze kunnen ook proberen hun accounts te compromitteren.

Ze doen dat uiteraard vanaf een eerder niet-herkend apparaat, wat betekent dat aanmelden zonder een zescijferige code die de accounteigenaar als sms ontvangt, onmogelijk is. De aanvaller gebruikt echter uw reeds gecompromitteerde account om u na te doen en ze vragen beleefd om de bovengenoemde code. De aanvallers hopen dat het vertrouwen tussen u en uw vriend voldoende is om de code zonder aarzeling over te dragen. In de meeste gevallen kunnen de boeven hiermee het account van je vriend overnemen.

Het is een klassieke social engineering-aanval en de manier waarop het werkt, laat zien dat het aantal slachtoffers gemakkelijk uit de hand loopt. Het feit dat het niet lukt om een enorme financiële investering te doen, maakt het des te aantrekkelijker voor niet-geavanceerde cybercriminelen. Daarom moeten we waarschijnlijk praten over wat u kunt doen om uzelf veilig te houden.

Hoe vind je de nieuwste WhatsApp-zwendel?

Het gaat erom te weten hoe WhatsApp werkt. Als u dit doet, weet u dat de zescijferige code die u zojuist hebt ontvangen, is verzonden omdat iemand probeert toegang tot uw account te krijgen vanaf een ander apparaat. Met dat in gedachten, zal het niet moeilijk zijn om te vermoeden dat er iets mis is wanneer iemand in uw contactpersonenlijst om de bovengenoemde code vraagt, zelfs als die zich verbergt achter het telefoonnummer van uw beste vriend.

Als je bekend bent met het inlogproces van WhatsApp, weet je ook dat de app een tweefactorauthenticatie- optie biedt die kan worden geactiveerd vanuit het gedeelte Account in de instellingen van de app. Met tweefactorauthenticatie vereist het inloggen op een nieuw apparaat niet alleen de zescijferige code waar we het in de vorige paragrafen over hadden, maar ook een pincode die u zelf maakt en onthoudt.

Hoewel het ontwerp van de aanval slim is, is het succes ervan uiteindelijk afhankelijk van het maken van een aantal eenvoudige fouten. Het is aan jou om te bewijzen dat je beter bent dan dat.