Ett enkelt WhatsApp-användarfel kan leda till stora problem

Zak Doffman, verkställande direktören för ett säkerhetsföretag med namnet Digital Barriers och en Forbes-bidragsgivare, snubblat nyligen över en kontoövertageangrepp riktad mot WhatsApp-användare. Det visar återigen att för cyberbrottslingar kan det vara ännu viktigare för att kunna hacka den mänskliga psyken än att kunna hacka en onlinetjänst.

Doffman fick reda på attacken när en vän till hans klagade i en gruppchatt att hennes WhatsApp-konto hade hackats. Hon berättade för de andra att vara försiktiga med de meddelanden som förmodligen kommer från henne, och hon varnade alla för att inte ge bort sexsiffriga nummer som de kan få som text. Det lät lite konstigt till en början, men snart visste Zak Doffman exakt vad som hade hänt, och han blev ganska förvånad över hur enkel och smart attacken är.

En masterclass för socialteknik

Det är omöjligt att säga hur utbredd bluff är eller om den riktar sig till en viss uppsättning användare. Hur attacken fungerar tyder dock på att den som organiserade den är fast besluten att ta över så många konton som möjligt.

Människor som är oroliga för att få sina privata konversationer komprometterade kan andas ett lättnad. WhatsApps användning av en-till-ende-kryptering innebär att om någon loggar in på ditt konto från en annan enhet, kan de inte se dina chattar om de inte också har stulit din säkerhetskopia. Men vad de kan se är dina vänner telefonnummer och de kan också försöka kompromissa med sina konton.

Det gör de uppenbarligen från en tidigare okänd enhet, vilket innebär att det är omöjligt att logga in utan en sexsiffrig kod som kontoägaren får som ett SMS. Angriparen använder ditt redan komprometterade konto för att efterge dig dig, och de ber på ett artigt sätt om ovannämnda kod. Angriparna hoppas att det förtroende som upprättats mellan dig och din vän skulle räcka för att koden ska överlämnas utan att tveka. I de flesta fall med detta kan skurkarna ta över din väns konto.

Det är en klassisk attack inom socialteknik, och hur det fungerar visar att offerräkningen lätt kan spira ur kontroll. Det faktum att det inte krävs några enorma finansiella investeringar gör det desto mer tilltalande för icke-sofistikerade cyberbrottslingar, varför vi förmodligen bör prata om vad du kan göra för att skydda dig själv.

Hur hittar jag den senaste WhatsApp-bedrägeriet?

Det handlar om att veta hur WhatsApp fungerar. Om du gör det skulle du vara medveten om att den sexsiffriga koden du just har skickat eftersom någon försöker komma åt ditt konto från en annan enhet. Med det i åtanke kommer det inte att vara svårt att misstänka att något är fel när någon i din kontaktlista begär nämnda kod, även om någon gömmer sig bakom din bästa väns telefonnummer.

Om du känner till WhatsApps inloggningsprocess, vet du också att appen erbjuder ett tvåfaktors autentiseringsalternativ som kan aktiveras från Kontosektionen i appens inställningar. Med tvåfaktorsautentisering kräver inloggning på en ny enhet inte bara den sexsiffriga koden vi pratade om i föregående stycken, utan också en PIN-kod som du skapar och kommer ihåg själv.

Även om attackens design är smart, beror dess framgång i slutändan på att du gör en serie enkla misstag. Det är upp till dig att bevisa att du är bättre än så.