Mesajul vine de la un prieten, cu textul lui, cu felul lui de a scrie: „scuze, am trimis din greșeală un cod pe numărul tău, mi-l dai și mie?”. Pare o neglijență banală. De fapt, prietenul respectiv și-a pierdut contul acum o oră, iar cel care scrie de pe numărul lui încearcă acum să ți-l ia și pe al tău.
Este cea mai răspândită metodă de preluare a conturilor de WhatsApp și nu implică nicio spargere tehnică. Se bazează exclusiv pe faptul că, atunci când un prieten cere o favoare mică, oamenii nu se opresc să se întrebe de ce.
Cum funcționează, pas cu pas
WhatsApp leagă contul de numărul de telefon. Când cineva instalează aplicația și introduce numărul tău, serverul trimite prin SMS un cod de șase cifre pe telefonul tău. Cine are codul, are contul – simplu ca mecanism și tocmai de aceea vulnerabil.
Atacatorul pornește procesul de înregistrare cu numărul tău, iar tu primești un SMS pe care nu l-ai cerut. Imediat după, primești și mesajul de la „prietenul” care are nevoie de cod. Dacă i-l trimiți, în secunda următoare contul se mută pe telefonul lui, tu ești deconectat, iar el începe să scrie tuturor din lista ta cerând bani sau, mai des, cerând coduri.
Există și varianta mai nouă, prin apel: în loc de SMS, codul e dictat telefonic de un robot. Atacatorul te sună înainte, se prezintă drept suport tehnic sau angajat al unei firme de curierat și te roagă să-i citești cifrele pe care le vei auzi.
Regula e una singură și nu are excepții: codul de verificare nu se dă nimănui. Nici prietenilor, nici familiei, nici suportului. WhatsApp nu cere niciodată codul prin chat sau la telefon.
Setările care blochează atacul
Există o protecție care face preluarea practic imposibilă chiar dacă cineva îți interceptează SMS-ul: verificarea în doi pași. Este un PIN de șase cifre, ales de tine, pe care aplicația îl cere în plus față de codul din SMS ori de câte ori numărul e înregistrat pe un dispozitiv nou.
O activezi din Setări, secțiunea Cont, opțiunea Verificare în doi pași. Alege un PIN pe care nu îl folosești altundeva și adaugă o adresă de e-mail de recuperare – fără ea, dacă uiți PIN-ul, rămâi blocat șapte zile.
Merită trecut și prin restul setărilor de securitate, pentru că multe sunt dezactivate implicit:
- Notificările de securitate, care te anunță când se schimbă codul de criptare al unei conversații – util ca să observi o preluare de cont la un prieten.
- Blocarea aplicației cu amprentă sau cu recunoaștere facială, ca telefonul deblocat să nu însemne automat acces la conversații.
- Restricționarea cine îți poate vedea fotografia de profil și statusul. Fotografia ta e materia primă pentru conturi false care se dau drept tine.
- Limitarea cine te poate adăuga în grupuri, la „Contactele mele”. Grupurile aleatorii sunt principalul canal de distribuție pentru escrocherii.
- Lista dispozitivelor conectate, din secțiunea Dispozitive conectate. Dacă vezi o sesiune de browser pe care nu o recunoști, deconecteaz-o.
Ultimul punct e important, pentru că există o variantă de atac în care nu îți ia contul, ci doar îl clonează prin WhatsApp Web. Cineva cu acces de câteva secunde la telefonul tău deblocat scanează un cod QR și îți citește conversațiile luni de zile. Verificarea periodică a sesiunilor rezolvă problema, iar procedura pentru toate conturile importante merită făcută o dată pe trimestru.
Dacă ai pierdut deja contul
Acționează repede, pentru că fereastra în care prietenii tăi primesc mesaje în numele tău este exact acum.
Reinstalează WhatsApp și înregistrează-ți din nou numărul. Vei primi un cod nou prin SMS, iar introducerea lui deconectează automat sesiunea atacatorului. Dacă acesta a apucat să activeze verificarea în doi pași cu PIN-ul lui, va trebui să aștepți șapte zile – perioadă în care el nu mai poate folosi contul, dar nici tu.
Scrie apoi la suportul WhatsApp de pe adresa ta de e-mail, explicând că numărul ți-a fost preluat. Și, cel mai util lucru, anunță-ți contactele pe alt canal – un mesaj pe Facebook, un SMS de grup, un telefon către cei mai probabil de păcălit. Majoritatea pagubelor nu se produc la tine, ci la persoanele care cred că vorbesc cu tine.
Ce urmează după preluare
Cine îți controlează contul nu vinde nimic. Cere. Cel mai frecvent, un transfer urgent către un cont care „e al unui coleg, al meu nu merge acum”. Sumele sunt mici, ca să nu ridice suspiciuni, dar se cer de la zeci de persoane simultan.
Semnalele de recunoaștere sunt aceleași de ani de zile: urgența, refuzul de a vorbi la telefon sau pe video, contul bancar pe alt nume, o formulare ușor diferită față de cum scrie omul de obicei. Un apel video de zece secunde rezolvă orice îndoială și e cel mai bun reflex pe care îl poți transmite familiei.
Zece minute de setări acum îți scutesc o săptămână de explicații mai târziu, iar PIN-ul acela de șase cifre e, până la urmă, singura barieră reală între numărul tău de telefon și cineva care vrea să vorbească în numele tău.
