Résen kell lenniük a WhatsApp csevegőszolgáltatást használóknak, az F-Secure biztonsági cég szerint a bűnözők új módon veszik át az irányítást a felhasználói fiókok felett.

A megoldás a social engineering kategóriába tartozik, azaz valamiféle hackelés helyett a felhasználók megtévesztésére épül.

A hírek szerint a támadók elsőként valamilyen úton-módon átveszik az irányítást valaki normál felhasználói fiókja felett, majd azt üzleti típusú fiókká konvertálják.

Ezután elkezdik hozzárendelni az fiókban lévő whatsappos kontaktok fiókjait a céges flottájukhoz, hogy azokat is ellophassák.

Itt van némi csavar a történetben, hiszen mikor a támadók megpróbálják hozzáadni a saját flottájukhoz mások fiókjait, akkor a leendő áldozatok kapnak egy hatjegyű biztonsági kódot a WhatsApptól.

A támadóknak ismerniük kell ezt a kódot ahhoz, hogy át tudják venni az irányítást a fiókjaik felett.

Ezen a ponton jön a képbe a social engineering: a támadók ráírnak a leendő áldozataikra, hogy a WhatsApp rossz helyre küldte ki a kódjukat, legyenek kedvesek visszaküldeni azt egy üzenetben. A potenciális áldozatok valószínűleg nem tudják, hogy valaki ellopta az ismerősük felhasználói fiókját, más küldözgeti az üzeneteket a nevükben. Ha gyanúsnak is találják a helyzetet, jóhiszeműen mégis átküldhetik a kódot, mire a támadó pillanatokon belül kizárja őket a saját fiókjukból.

A fióklopás megakadályozható azzal, hogy nem szabad visszaküldeni a kódokat.

Emellett amennyiben aktív a kétlépcsős hitelesítés a felhasználói fókban, akkor a kód naiv elküldése ellenére is megállítható a támadás, csak persze nem szabad odaadni a támadónak a kétlépcsős hitelesítőrendszer kódját.