Suomalaisten WhatsApp-tilien vahvistuskoodeja kalastellaan aktiivisesti - Tietoturva - Ilta-Sanomat

Varo! Suomalaisten WhatsApp-tilejä kaapataan uusin keinoin – tee tämä muutos heti

WhatsApp-tilien vahvistuskoodeja ongitaan uusilla koukuilla. Käyttäjien tulee harkita vakavasti kaksivaiheista tunnistusta.

Tekstiviestiä seuraa WhatsApp-viesti vahvistuskoodin hankkimiseksi.­

23.1. 9:50

Suomalaisten WhatsApp-tilien vahvistuskoodeja kalastellaan aktiivisesti, Traficomin tietoturvaviranomainen Kyberturvallisuuskeskus kertoo. Kalastelua on tapahtunut Suomessa jo ainakin viime toukokuusta lukien, mutta rikolliset ovat keskuksen mukaan keksineet uusia juonia käyttäjien päänmenoksi.

Huijaus on toiminut siten, että WhatsApp-tilin haltuunsa saanut hyökkääjä alkaa muuntaa puhelimessa olevien yhteystietojen WhatsApp-tilejä WhatsApp Business -tiliksi. Tästä tulee potentiaalisen uhrin puhelimeen tekstiviestitse aito kuusinumeroinen vahvistuskoodi, joka tarvitaan muuntoprosessin ja sitä myöten kaappaamisen onnistumiseksi.

Tämän jälkeen hyökkääjä lähettää aiemmin kaappaamansa tilin omistajan nimissä uhrille WhatsApp-viestin, jossa hän pyytää ”lähettämään takaisin” tekstiviestitse tulleen kuusinumeroisen koodin – joka on WhatsAppin lähettämä ja jota tarvitaan tilin kaappaamiseen.

Jos uhri lähettää vahvistuskoodin, huijari kaappaa tilin ja jatkaa hyökkäystään juuri kaappaamiensa tilien yhteystietoihin.

Lue lisää:

Huijausta on nähty myös WhatsAppin asiakaspalvelun nimissä. Uusimpana esimerkkinä ulkomailta Kyberturvallisuus kertoo vahvistuskoodien kalastelusta puhelinvastaajan kautta.

Rikollinen syöttää tarkoituksella vääriä vahvistuskoodeja yrittäessään kirjautua uhrin WhatsApp-tilille. Kun vääriä vahvistuskoodeja syötetään toistuvasti, tarjoaa WhatsApp mahdollisuutta puhelulla tapahtuvaan tunnistautumiseen.

WhatsAppin puhelutunnistautuminen soittaa uhrille puhelun ja luettelee tarvittavan vahvistuskoodin. Jos uhri jättää puhelun huomioimatta tai puhelin on suljettu, puhelu voi tallentua uhrin puhelinvastaajaan.

Tämän jälkeen rikollinen yrittää kirjautua uhrin puhelinvastaajaan oletussalasanan avulla. Jos vastaajan oletussalasanaa ei ole muutettu, rikollinen voi päästä kuuntelemaan WhatsAppin soittaman puhelun, ja saada haltuunsa kuusinumeroisen vahvistuskoodin. Sen jälkeen rikollinen käyttää vahvistuskoodia kaappaamaan uhrin WhatsApp-tilin, keskus selvittää.

Mikä on seuraus?

Onnistunut kalasteluyritys johtaa oman WhatsApp-tilin hallinnan menetykseen. Hyökkääjä voi saada haltuunsa kaapatun WhatsApp-tilin yhteystiedot ja uusien viestien sisällön. Kaapatulla tilillä voidaan luoda yhteystietojen pohjalta uusia keskusteluryhmiä, joissa jaetaan lisää kalastelua ja roskapostia.

Kaapatun tilin voi saada takaisin kirjautumalla uudelleen tililleen avaamalla WhatsApp-sovelluksen. Tällöin saat WhatsAppilta 6-numeroisen koodin sisältävän vahvistustekstiviestin. Syötä se sovellukseen, niin tilin kaappaaja kirjataan automaattisesti ulos.

Omaa WhatsApp-vahvistuskoodia ei tule koskaan jakaa muiden kanssa.

Miten voin estää?

Käyttäjien kannattaa ottaa kaksivaiheinen tunnistautuminen käyttöön. Se tarkoittaa, ettei pelkkä salasana riitä tilille kirjautumiseen. Mene WhatsApp-sovelluksessa asetuksiin painamalla oikean yläkulman kolmea pistettä. Valitse Tili > Kaksivaiheinen tunnistus > Ota käyttöön. Valitse pin-koodi ja vahvista se.

WhatsAppin tapauksessa kaksivaiheisesta tunnistusta voi varjostaa emoyhtiö Facebookin taannoinen tapa käyttää sitä puhelinnumeroiden hankkimiseen mainontaa varten. WhatsApp tosin tietää puhelinnumerosi jo muutenkin.

Mutta jos kaksivaiheista tunnistusta ei ota käyttöön, sen voi tehdä rikollinen tilin kaapattuaan. Tällä tavalla aidon omistajan voi lukita ulos.

Osion tuoreimmat

Luitko jo nämä?