ההונאה שגונבת וואטסאפ, וכולם נופלים בה

התסריט, כמעט מילה במילה

השעה שתיים עשרה בלילה. מגיע קוד אימות של וואטסאפ שלא ביקשת. שנייה אחר כך מגיעה הודעה מחברה מהעבודה: סליחה, שלחתי לך בטעות קוד, תעביר לי אותו רגע.

אתה מכיר אותה. התמונה שלה, הניסוח שלה, השעה מסבירה את הבלבול. אתה מעתיק שש ספרות ושולח. תוך שניות הוואטסאפ שלך מתנתק, וההודעה הבאה כבר יוצאת בשמך לכל מי שאתה מכיר.

מה באמת קרה שם

התוקף הזין את המספר שלך בהתקנה חדשה של וואטסאפ. השרת שלח את הקוד אליך, כי אתה בעל המספר. החלק היחיד שחסר לו היה שאתה תמסור לו אותו במו ידיך, וזה בדיוק מה שההודעה נועדה להשיג.

החשבון של אותה חברה נחטף קודם, באותה שיטה. לכן ההודעה מגיעה מאדם אמיתי, עם היסטוריית שיחה אמיתית. זו הסיבה שהיא עובדת: לא נשברה שום הצפנה, נשברה האמינות.

מכאן זה מתפשט כמו שרשרת. כל חשבון חטוף הופך לכלי לחטיפת הבא, וזו הסיבה שההונאה הזאת מחזיקה שנים ולא נעלמת.

אין מצב לגיטימי שבו מישהו זקוק לקוד שהגיע אליך. שום שירות, שום נציג, שום חבר.

למה זה עובד דווקא על אנשים זהירים

אנשים זהירים בודקים מי שלח, והנה, שלח מישהו מוכר. הם בודקים אם מבקשים כסף, ולא מבקשים כסף. הם בודקים אם יש קישור חשוד, ואין קישור בכלל.

כל סימני האזהרה שאנחנו מלמדים לזהות פשוט נעדרים כאן. מה שנשאר זה כלל אחד יבש שצריך לזכור מראש, בלי לנתח: קוד לא מועבר. נקודה.

מה עושים אם זה כבר קרה

1. התקן מחדש את וואטסאפ והתחבר עם המספר שלך. עצם ההתחברות מנתקת את המכשיר של התוקף, כי החשבון פעיל במקום אחד בלבד.
2. אם הוא הספיק להפעיל אימות דו שלבי משלו, תצטרך להמתין עד שבעה ימים. אין קיצור דרך.
3. במקביל, פרסם בסטטוס ובקבוצות שהחשבון נחטף ושלא להעביר כסף או קודים בשמך.
4. התקשר, ולא תכתוב, לשלושה אנשים הקרובים ביותר. שיחה אחת עוצרת את הגל הבא.
5. אחרי שחזרת, הפעל אימות דו שלבי ובדוק את המכשירים המקושרים.

ההגדרה שמחסנת אותך בשלוש דקות

הגדרות, חשבון, אימות דו שלבי, הפעל. בוחרים קוד בן שש ספרות שרק אתה יודע, ומזינים כתובת מייל לשחזור.

מרגע זה, גם אם תמסור בטעות את קוד ה-SMS, אף אחד לא נכנס בלי הקוד הקבוע שלך. את המייל חובה למלא, אחרת שכחה של הקוד נועלת אותך בחוץ לשבוע.

גרסאות נוספות של אותו תרגיל

ההונאה מתעדכנת כל הזמן, אבל הליבה נשארת: לגרום לך למסור משהו שהגיע אליך, או לאשר משהו שלא יזמת.

• בקשה להצטרף לקבוצה שדורשת אישור בקוד, כשמאחוריה בקשת התחברות אמיתית.
• הודעה על חשבון שיושבת אלא אם תאמת את עצמך, עם קישור לעמוד שנראה כמו וואטסאפ.
• פנייה מנציג תמיכה של וואטסאפ. אין דבר כזה, וואטסאפ אינה פונה אליך בצאט.
• בן משפחה עם מספר חדש שמבקש העברה דחופה. גם זו חטיפה, רק בשלב מאוחר יותר.

המכנה המשותף: לחץ, היכרות, ובקשה קטנה שנראית לא מזיקה.

ומה עם המשפחה

ההונאה הזאת עוברת דרך אנשים שסומכים זה על זה, ולכן ההגנה הטובה ביותר היא שיחה אחת בבית. לא הרצאה על סייבר, רק משפט אחד: אם מישהו מבקש ממך קוד, גם אם זה אני, אל תעביר ותתקשר אליי.

משפט אחד נזכר. רשימת כללים נשכחת.