מתנה לפסח: האקרים משתלטים על חשבונות ווטסאפ של ישראלים

ביממה האחרונה זוהה גל של מתקפות לא מתוחכמות שנועד לזכות בשליטה על חשבונות ווטסאפ של משתמשים מישראל - כך לפי מידע שהגיע ל"כלכליסט". במערך הסייבר אישרו את קיומו של גל כזה, השלישי מסוגו בשנה האחרונה.

המתקפה נחשבת לבסיסית ביותר, ואינה מצריכה שום ידע טכני על מנת לבצעה. אחד הקרבנות של המתקפה סיפר ל"כלכליסט" שאתמול, במהלך הסדר, קיבל הודעת ווטסאפ ממכרה שביקשה ממנו להעביר לה קוד שנשלח אליו בהודעת SMS. הוא נענה ושלח לה את הקוד. מה שהקרבן לא ידע הוא שמדובר בקוד האימות ששולחת ווטסאפ למספר טלפון בעת התקנת האפליקציה על מכשיר חדש, ושהפנייה לא הגיעה מהמכרה אלא מתוקף שקודם לכן השתלט לה על החשבון. ברגע שהעביר הקרבן את הקוד, השתמש בו התוקף על מנת להשתלט על חשבונו ולחסום את הגישה אליו.

מתווה נוסף של המתקפה הוא קבלת הקוד באמצעות שיחה קולית. אם הקרבן לא יענה לשיחה, היא תנווט לתא הקולי שלו, ובמידה שהקרבן לא שינה את סיסמת ברירת המחדל של התא הקולי (1234 או 0000) כל שצריך התוקף לעשות הוא לגשת לתא הקולי ולשלוף תא ההודעה שמכילה את הקוד. הפתרון היחיד לשני המתווים לנסות ולהתחבר לאפליקציה מחדש, ואולם בגלל הגדרות אבטחה בווטסאפ הגישה ליישום תיחסם במקרה זה ל-10 שעות (הן לקרבן והן לתוקף), ורק לאחר מכן ניתן יהיה לגשת שוב לחשבון.

ווטסאפ צילום: Chris Ratcliffe

ממערך הסייבר נמסר בתגובה לפניית "כלכליסט" שאכן זוהה ביום האחרון גל של מתקפה זו. "ביממה האחרונה היו כמה עשרות דיווחים אלינו", נמסר. "מדובר במתווה תקיפה שעליו התרענו כבר לפני כשנה. הוא חוזר בגלים כל פעם, מדובר בגל שלישי השנה". סביר להניח שאם מערך הסייבר לבדו קיבל כמה עשרות פניות בנושא היקף המתקפה גדול יותר, שכן קרבנות רבים לא טורחים לפנות למערך.

כך תתגוננו

ניתן להתגונן נגד את המתקפה בכמה אמצעים פשוטים. ראשית, לעולם לא להעביר לגורם אחר, אפילו אדם שאנו מכירים היטב, קודים שהתקבלו ב-SMS. אין שום תרחיש סביר שבו קוד התחברות ב-SMS שנשלח לטלפון שלנו יכול לשמש אדם אחר. שנית, מומלץ לשנות את סיסמת ברירת המחדל בתא הקולי לסיסמה אחרת, ועדיף אפילו לפנות לחברת הסלולר ולבטל את התא הקולי לחלוטין (גם ככה אף אחד לא משתמש בו כיום).

בנוסף, יש להיכנס לעמוד ההגדרות בווטסאפ, לבחור בחשבון>>>אימות דו-שלבי ולעקוב אחר ההוראות במהלכן תדרשו לבחור קוד אישי בן שש ספרות. את קוד זה יהיה צורך להזין בנוסף לקוד שמתקבל ב-SMS בכל פעם שמתחברים לווטסאפ ממכשיר חדש, וכך גם אם הצליח תוקף להערים עלינו ולקבל את קוד ה-SMS, עדיין לא יוכל להשתלט על החשבון.