حمله هکری جدید علیه حساب‌های واتساپ بدون  شکستن رمزگذاری

باشگاه خبرنگاران جوان؛ جواد فراهانی - محققان شرکت امنیت سایبری Avast توضیح دادند که این کلاهبرداری که با نام GhostPairing شناخته می‌شود، از ویژگی‌های قانونی درون برنامه برای فریب کاربران جهت جفت‌سازی حساب‌هایشان با دستگاهی که توسط مهاجم کنترل می‌شود، استفاده می‌کند. این کار به مهاجم دسترسی مستقیم به پیام‌ها، عکس‌ها، ویدیو‌ها و یادداشت‌های صوتی را می‌دهد.

این فرآیند با ارسال پیامی به قربانی آغاز می‌شود که به نظر می‌رسد از یک مخاطب مورد اعتماد است و حاوی پیوندی است که معمولاً ادعا می‌کند یک تصویر را نمایش می‌دهد. این پیوند کاربر را به یک صفحه ورود جعلی فیس‌بوک هدایت می‌کند که از او می‌خواهد شماره تلفن خود را وارد کند.

این صفحه به جای نمایش محتوای مورد نظر، با نمایش کدی که از قربانی خواسته می‌شود در برنامه وارد کند، ویژگی جفت‌سازی دستگاه واتس‌اپ را فعال می‌کند.

این وضعیت، بدون اطلاع کاربر، یک دستگاه ناشناخته را به حساب متصل می‌کند و بدون نیاز به رمز عبور یا هرگونه اعتبارنامه دیگری، به مهاجم دسترسی کامل می‌دهد.

پس از هک شدن حساب، مهاجم می‌تواند پیام‌هایی را به مخاطبین قربانی ارسال کند و از اعتماد متقابل برای گسترش حمله و انجام نقض‌های بیشتر و گسترده‌تر سوءاستفاده کند.

لوئیس کرونز، متخصص امنیت در Avast، گفت که این کمپین «نشان‌دهنده تغییر رو به رشد در جرایم سایبری است، جایی که سوءاستفاده از اعتماد کاربران به اندازه هک کردن خود سیستم‌ها اهمیت پیدا می‌کند.»

او افزود که کلاهبرداران «با سوءاستفاده از ابزار‌های آشنایی مانند کد‌های QR، درخواست‌های اتصال دستگاه و صفحات تأیید به ظاهر روتین، کاربران را متقاعد می‌کنند که خودشان به آنها دسترسی بدهند.»

او خاطرنشان کرد که کلاهبرداری‌هایی از این نوع «فقط مشکل واتس‌اپ نیستند، بلکه علامت هشداری برای هر پلتفرمی هستند که به اتصال سریع دستگاه بدون توضیح کافی کاربر متکی است.»

در این زمینه، Avast از کاربران واتس‌اپ خواست که با رفتن به «تنظیمات» و سپس «دستگاه‌های مرتبط» به طور منظم دستگاه‌های متصل به حساب‌های خود را بررسی کنند و فوراً هرگونه دستگاه ناشناخته را حذف کنند.

کورونز در پایان تأکید کرد که «تکامل روش‌های کلاهبرداری، بازنگری در سازوکار‌های احراز هویت را ضروری می‌سازد، به طوری که آنها محدود به کاری که کاربر عمداً انجام می‌دهد، نباشند، بلکه آنچه را که می‌توان کاربر را به انجام آن فریب داد نیز در نظر بگیرند، به خصوص زمانی که اعتماد خودکار به دستگاه‌ها به نقطه‌ای آسیب‌پذیر برای سوءاستفاده تبدیل می‌شود.»

منبع: ایندیپندنت