Policie opět varuje před WhatsApp podvody

Aplikaci WhatsApp používají tři miliardy aktivních uživatelů ze 180 zemí světa, přičemž je velmi snadné tato telefonní čísla získat například scrapingem. To je automatizované získávání dat pomocí botů, skriptů, crawlerů, fungující jako mechanismus vyhledávání kontaktů pomocí adresáře uživatele, který dokáže najít další uživatele podle jejich telefonního čísla. Aktivitu těchto účtů mohou podvodníci ověřit následným hovorem, který uživatel přijme, nebo zmeškaným hovorem, na který zavolá zpět. Tímto způsobem podvodníci zjistí, že účet uživatel skutečně používá a přidělí ho na seznam možných obětí.

Vzhledem k tomu, že si kyberšmejdi uvědomili potenciál avizované aplikace, začali se zabývat sociálním inženýrstvím, což je manipulace lidí za účelem provedení určité akce, nebo získání určité informace, v čemž jsou každým dnem lepší a lepší.

Nové taktiky podvodného jednání

Modelovým příkladem uživatelského účtu této aplikace bude paní Nováková, která vzhledem ke svému věku není příliš obezřetná a začíná se věnovat investování do kryptoměn. Nalezne na sociální síti Facebook od uživatele K. Anděl inzerát týkající se těchto investic slibující vysoké výnosy, a proto mu napíše zprávu, na níž muž ihned reaguje a zeptá se jí, zda má aplikaci WhatsApp. A protože jde paní Nováková s dobou, pochopitelně jmenovanou aplikaci používá. Pan Anděl ji s velkou radostí pochválí a požádá ji, aby mu sdělila své telefonní číslo, kdy ji pak obratem přidá do své investiční WhatsAppové skupiny.

Paní Nováková mu telefonní číslo poskytne. Poté jí pan Anděl napíše, že nyní potřebuje šestimístný kód, který paní Novákové přijde SMS zprávou, kdy se má jednat o autorizační jedinečný vstupní kód do investiční skupiny, na čemž jí nepřijde nic zvláštního a tento autorizační kód zašle panu Andělovi a ten následně získá přístup k jejímu účtu, o čemž samozřejmě paní Nováková nemá tušení. Potom odvede pozornost paní Novákové od jejího WhatsApp účtu například telefonátem a začne všem jejím kontaktům rozesílat zprávu ve znění: „Ahoj, můžeš mi prosím půjčit 50 000 Kč? Potřebuji to na účet, zítra ti je vrátím.“ A protože má paní Nováková ve svých kontaktech spoustu přátel, kteří ji mají rádi, pošlou na zadaný účet požadovanou platbu. Pan Anděl po získání peněz smaže konverzace týkající se půjčky a s paní Novákovou přestane komunikovat.

Další podvodné způsoby

1. Pan Anděl vytvoří webové stránky, které se zabývají seznamováním lidí opačného pohlaví. Pan Mošt tuto stránku navštíví a zaregistruje se pomocí jména, telefonního čísla, kdy se po kliknutí na „zaregistrovat“ objeví tabulka, že pro dokončení registrace mu bude SMS nebo WhatsApp zprávou zaslán 6místný kód, který pan Mošt vyplní na webových stránkách. Tím pan Anděl získá přístup do aplikace jmenovaného.

2. Pomocí ankety o hlasování, kdy po kliknutí na odkaz bude pan Mošt přesměrován na fiktivní webovou stránku, kde zadá své údaje a dále bude následovat postup jako v bodu číslo 1.

3. Pomocí QR kódu, který pan Mošt naskenuje, pan Anděl spáruje účet pana Mošta se svým prohlížečem.

4. Pomocí spyware, nainstalováním škodlivé aplikace například jevící se jako hra s puzzle, která bude shromažďovat informace a následně pomocí tohoto získá pan Anděl přístup do aplikace pana Mošta.

Existují mnohé další způsoby, jak mohou kyberšmejdi získat přístup do aplikace WhatsApp, avšak bez interakce uživatele, který musí kliknout na odkaz, vyplnit, zadat nebo potvrdit údaje, není možné přístup získat.

Aplikace WhastApp je při obezřetném používání bezpečná. Její problém tkví v množství uživatelů, kteří ji používají, a dále, že je propojená s telefonním číslem uživatele.

Závěrem policie doporučuje uživatelům avizované aplikace nastavení dvoufázového ověřování. Také apeluje, aby lidé nepůjčovali peníze na základě jedné zprávy. Bezpečnější alternativou je aplikace Threema, což je sice placená aplikace, avšak funguje pouze na základě přiděleného ID, bez emailu či telefonního čísla.

Autor: nprap. Bc. Ondřej ŠKOP, MOP Strašnice