A nova burla no WhatsApp não precisa necessariamente de roubar a tua palavra-passe, clonar o cartão SIM ou convencer-te a enviar um código por mensagem.
O truque explora uma função legítima do próprio WhatsApp: “Dispositivos associados”.
O ataque, conhecido como GhostPairing, começa normalmente com uma mensagem aparentemente enviada por alguém conhecido, muitas vezes sobre uma fotografia, votação ou conteúdo que “precisas de ver”. O link leva a uma página falsa que imita serviços conhecidos e conduz a vítima para um processo de associação de dispositivo.
Aqui está a parte perigosa: o criminoso não precisa de receber o teu código por WhatsApp. A vítima é induzida a introduzir um código de emparelhamento ou a confirmar a ligação de um novo dispositivo, pensando que está apenas a verificar uma página ou participar numa votação. Na prática, acabou de autorizar o browser do atacante como mais um dispositivo da sua própria conta.
Depois disso, o atacante pode ler mensagens, descarregar fotografias e áudios, escrever em teu nome e usar a tua conta para atacar os teus próprios contactos enquanto o WhatsApp continua a funcionar normalmente no teu telemóvel. É precisamente essa normalidade que torna o ataque difícil de perceber.
Há, portanto, uma nuance importante em relação ao título que circula: não é “sem código nenhum”. O GhostPairing dispensa o roubo tradicional de OTP, password ou SIM, mas normalmente depende de a vítima autorizar um emparelhamento através de código ou QR Code.
A defesa mais simples demora segundos:
WhatsApp → Definições → Dispositivos associados.
Se aparecer ali um computador ou browser que não reconheces, termina imediatamente essa sessão. Também convém ativar a verificação em dois passos e nunca iniciar associações de dispositivos a partir de links recebidos por mensagem. O WhatsApp já introduziu avisos adicionais precisamente para reduzir este tipo de fraude.
Se uma burla usa uma função oficial do WhatsApp para entrar na tua conta, ainda sabes distinguir “verificação” de autorização?
VOTEUP — Sim. O problema continua a ser engenharia social.
VOTEDOWN — Não. As plataformas precisam de tornar estas ligações muito mais difíceis.
Fonte original: TSF — Nova burla no WhatsApp permite assumir total controlo de contas sem que sejam pedidos códigos.
Confirmação técnica: Gen Digital / Norton — investigação sobre o ataque GhostPairing.
Comentários
Ainda não há comentários. Seja o primeiro a participar.
Para comentar, entra com a tua conta Google.