Duży atak hakerów przez WhatsApp. „Uderzenie na wielu poziomach”

Atak hakerów przez WhatsApp w Opolu – rozmowa

Anna Konopka: – Zmasowany atak hakerów dotknął wielu użytkowników aplikacji WhatsApp w środowy (17 września) poranek w Opolu. I choć co chwilę słyszymy ostrzeżenia o tym, aby nie klikać w podejrzane wiadomości, na to oszustwo nabrało się mnóstwo osób. Potwierdzają to wpisy w social mediach. Czy to dlatego, iż wiadomość przyszła od „znajomego” i oszuści bardzo skutecznie uśpili naszą czujność?

Adam Czubak: – Ten atak był skuteczny z dwóch powodów. Po pierwsze, rzeczywiście wiadomości otrzymaliśmy od osób, które znamy. A WhatsApp w jakimś stopniu traktujemy jako źródło zaufane, a wiadomości tam odbierane za prywatne. Kierowane konkretnie do nas. Zdecydowanie bardziej im ufamy, niż np. wiadomościom e-mail. Co do zasady – wiadomościom z komunikatorów bardziej wierzymy.

A po drugie?

– Atakujący zastosowali wysoce wyrafinowaną metodę socjotechniczną. Napisali do nas inaczej niż jak do zwykłych użytkowników internetu. Zwrócili się jak np. do rodziców albo przyjaciół jakiś rodziców. Atak polegał na tym, iż poproszono nas o zagłosowanie na Dorotkę, która ćwiczy gimnastykę artystyczną i walczy w konkursie.

To skuteczniejszy haczyk niż np. prośba o głosy, bo ktoś zbiera punkty w grze znanej marki, jakiegoś marketu? Tego typu oszustwo nie tak dawno krążyło po komunikatorach.

– Zdecydowanie. Dlatego, iż tu w naturalny sposób chcemy pomóc komuś znajomemu. Albo też znajomemu naszego znajomego: np. rodzicowi, kuzynowi, wujkowi itp. Chcemy żeby ta jego córka, siostrzenica, bratanica itp., wygrała w tym konkursie. Bo ona przecież się stara, ćwiczy, poświęca swój czas na pracę na parkiecie. Każdy z nas wspiera takie inicjatywy, prawda? Po ludzku chcemy pomóc. Przekaz był tak skuteczny, ponieważ uderzył w nas prywatnie na wielu poziomach.

Po analizie wiadomości, która przyszła na WhatsApp, można też zauważyć, iż nie wzbudzała większych podejrzeń, nikt nie myślał, iż to atak hakerów. Sam link do konkursu, także sugerował bezpieczną stronę. Nie było tam podejrzanych znaków, „krzaczków”, charakterystycznych dla zawirusowanych wiadomości i linków.

– Tak, rzeczywiście domena wyglądała zwyczajnie, zupełnie tak, jak domeny systemów do głosowania lub podobnych systemów dostępnych online. A cała kampania była bardzo ładnie graficznie i językowo przygotowana.

Użyto idealnej polszczyzny, stroje dzieci podkreślały lokalność, słowiańską kulturę – generalnie nasz region. W dodatku, to nie była tylko Dorotka, bo widoczna była jeszcze inna uczestniczka. To był dla nas dodatkowy bodziec. Nasz głos jest na wagę, prawda? Jednocześnie to pewna nowość w tego typu atakach: otrzymaliśmy znak, iż jesteśmy istotni, naszą wartość wyniesiono wyżej.

Ta sytuacja pokazuje, iż nasz numer prywatny wcale takim nie jest. choćby jeżeli dobrowolnie go nie udostępniliśmy. I często nie mamy o tym świadomości. Jak dochodzi do takich zmasowanych ataków, jak wyciekają nasze dane – telefony, maile?

– Tak. Otóż często staramy się żeby mieć jeden numer telefonu przez długi czas. Powód jest prosty: jesteśmy pod tym jednym numerem dostępni dla wszystkich osób z naszego otoczenia. W związku z tym bardzo często jest tak, iż Polacy mają jeden numer 10, 15, a choćby i 20 lat. Ale po 10, 15, 20 latach, nasz numer jest w książkach adresowych być może setek osób… Na przykład wyląduje w książce adresowej ślusarza albo hurtowni, która do nas dzwoniła i oddzwaniała, czy 50 klinik medycznych i nie tylko. I ten numer nie będzie już tylko w książce matki, ciotki, babci, syna itd.

To nam się wydaje, iż nasz numer jest prywatny i nieznany, bo nie jest ogólnie dostępny być może w internecie. Ale za to jest dostępny w setkach innych książek adresowych. Innych ludzi, innych telefonów.

A tego typu atak hakerów przez aplikację w telefonie taką, jak WhatsApp, udostępnia go jeszcze szerzej…

– Gdy oszust przejmie – w tym przypadku aplikację WhatsApp – to z automatu przejmuje on dostęp do niej, czyli danych w niej zawartych. To znaczy, iż ma dostęp do całej książki adresowej, którą ktoś zbierał latami. A ta książka ma dużą wartość, prawda? Wiadomo, do kogo możemy zadzwonić. To może być ktoś, z kim zetknęliśmy się dosłownie raz w życiu, 20 lat temu. Ale on ma nasz numer w swojej książce adresowej i to wystarczy hakerom.

Wygląda na to, iż choćby jak dbam o ochronę moich danych i jestem ostrożna, to ktoś, kto ma mój numer i padł ofiarą ataku, to bezwolnie przekaże go dalej…

– Nie do końca. Współcześnie każdy powinien zachowywać ostrożność. choćby jeżeli otrzymujemy wiadomość od znanej nam osoby, której ufamy, w mniejszym czy większym stopniu. Przejęcia kont na WhatsApp, Facebooku, LinkedIn, OLX czy Allegro są po prostu są codziennością. Dostając wiadomość prywatną na tych platformach społecznościowych, musimy się liczyć z tym, iż ona nie jest od tej osoby, od której myślimy, iż ona jest. Nie da się tego zmienić.

Wszystkich obowiązuje więc zasada ograniczonego zaufania. Trochę jak na drodze…

– Żyjemy w takich czasach, iż nie można mieć stuprocentowego zaufania do czyichś prywatnych profili. Ich system też jest dość złożony. Bo przecież ludzie mają czasem po trzy, cztery profile…

Można być oczywiście ostrożnym, ale nasuwa się pytanie, jak przeciętny człowiek ma się w tym połapać…

– Świat informatyzacji jest teraz bardzo, bardzo złożony. On powoduje choćby pewne zamglenie… Ja dziś także tę wiadomość na WhatsApp otrzymałem. I choć jestem informatykiem z branży bezpieczeństwa, w pierwszej kolejności chciałem oczywiście naturalnie pomóc. Przecież my Polacy lubimy pomagać, wspierać. Zatrzymałem się dopiero w momencie, kiedy strona mnie poprosiła o przepisanie kodu do WhatsAppa. Dopiero wtedy zauważyłem, iż ta platforma jest złośliwa. Ale cała strona była świetnie zrobiona.

Kiedy więc następuje reale zagrożenie dla naszych urządzeń i informacji wrażliwych? Czy samo kliknięcie w – jak się zwykle po fakcie okazuje feralny – link, jest już drogą do przejęcia naszych komórek czy komputerów, a w dalszej perspektywie danych czy pieniędzy z konta? Czy następuje to dopiero w kolejnych etapach?

– To zależy. Czasami samo kliknięcie już doprowadza do czegoś, co my nazywamy kompromitacją hosta, czyli przejęciem kontroli nad hostem. Nie ma znaczenia, czy chodzi o telefona, komputer stacjonarny, laptop czy tablet. telefon to jest komputer, tylko wygląda inaczej. To są jednak rzadkie sytuacje, bo przed tym chronią nas producenci komputerów i telefonów poprzez aktualizację. Pod warunkiem, iż wszystkie elementy systemu operacyjnego są aktualizowane, czyli i system operacyjny, telefona, komputera, tabletu i aplikacje na nich zainstalowane. W przypadku, gdy tej ochrony bieżącej nie ma, to fakt – jedno kliknięcie może wystarczyć.

Co czeka tych, którzy nie zorientowali się, iż otrzymali fałszywą wiadomość i przeszli kolejne etapy? Gdy w środę był atak hakerów przez WhatsApp platforma prosiła o przepisanie kodu…

– W tym konkretnym przypadku atak technicznie polegał na skonfigurowaniu drugiego dowiązanego urządzenia do konta WhatsApp. Ogólnie oznacza to tyle, iż mamy drugie urządzenie (drugi telefon, drugi komputer, – red.), na którym możemy wysyłać, odbierać i czytać wiadomości. Innymi słowy tak, jak gdyby ktoś miał klon swojego WhatsApp na innym komputerze. Tak na to można popatrzeć.

Ktoś powie, iż taki atak to nic takiego, bo nasze dane i tak krążą w różnych bazach. To jakie więc realnie mogą być z tego problemy?

– Przede wszystkim proszę zwrócić uwagę, iż współcześnie z różnych komunikatorów, w tym z WhatsAppa korzystamy trochę jak z maila czy z SMS-a. Oznacza to, iż w historii wiadomości są choćby prywatne zdjęcia z wakacji. Ale to jest najmniejszym problemem…

To kiedy będzie poważniejszy?

– Np. jechaliśmy w jakąś podróż i zostawiliśmy na komunikatorze zdjęcia dowodów osobistych, paszportów, ubezpieczenia. Albo wysyłaliśmy hasła – przez WhatsApp, SMS – które są potrzebne do otworzenia spakowanego maila. Na co dzień dzielimy się w aplikacji poufnymi ustaleniami na grupach prywatnych, jak i roboczych w pracy. Piszemy np. o planach budżetowych, biznesowych, naszych zadaniach w administracji publicznej.

Gdy ktoś przejmuje naszą aplikację, ma dostęp do wszystkiego, o czym myśmy pisali tam w różnych wiadomościach, dajmy na to przez dziesięć lat. Oszust poznaje informacje tajne: dane naszej mamy, córki, szefa, pracowników itp. To jest bardzo poważna sprawa.

Kiedy i jak te informacje hakerzy mogą wykorzystać?

– Tego nigdy nie wiemy. Ale gdyby ktoś chciał się podszyć pod nas, to on wie o nas bardzo wiele z tych dziesięciu ostatnich lat, czyli nasza tożsamość cyfrowa przestała być poufna. I to jest już samo w sobie dramatyczną sytuacją. Takimi danymi można np. nauczyć model AI, żeby nas skutecznie udawał.

To już wystarczy, by odczuwać niepokój i zagrożenie.

– Ale to nie jest jedyny problem. Drugie zagrożenie jest takie, iż każde konto przejęte, od razu jest używane do przejmowania innych kont. Nasze dane są automatycznie kopiowane: wiadomości, zdjęcia… – cała historia jest zachowywana. Momentalnie atak przeprowadzany jest na całą książkę adresową. I tak cały scenariusz się powiela, kolejna osoba jest atakowana w ten sam sposób. Atakujący wiedzą, iż mają bardzo małe okno czasowe, zanim ktoś się zorientuje, iż coś jest nie w porządku. Dlatego nie marnują czasu.

Warto więc kasować wiadomości na komunikatorach, szczególnie dotyczące wrażliwych tematów.

– Absolutnie nie powinniśmy takich wiadomości przechowywać na poczcie e-mail czy na takich platformach komunikacyjnych, jak np. WhatsApp, Messenger itd. Raz jeszcze podkreślę, iż nie możemy tam przechowywać takich rzeczy jak: zdjęcia dowodów, paszportu, blankiety ubezpieczeń, blankiety wniosków do urzędów. Nie tylko naszych, ale też tych, które dostajemy mimowolnie od znajomych, od przyjaciół, od współpracowników.

I tu pojawia się ważna, choć bagatelizowana kwestia zmiany haseł naszej poczty e-mail.

– jeżeli ktoś nam przejmie skrzynkę, bo mamy na przykład słabe hasło albo to hasło wypłynęło w jakimś wycieku danych, to my nie odzyskamy choćby dostępu do tego konta e-mail. Bywa tak, iż nie jesteśmy w stanie udowodnić, iż jesteśmy tak naprawdę jego właścicielem.

Dobre hasło do konta jest…

– … przede wszystkim długie. Na dziś przyjmuje się, iż bezpieczne hasło jest wtedy gdy ma ok. szesnaście znaków. Nie musi być skrajnie skomplikowane, ale powinno być nieoczywiste.

Co może zrobić osoba, której konto zostanie tak przejęte?

– Niezależnie od tego, czy przejęte jest konto na WhatsAppie, Facebooku, czy gdziekolwiek indziej, to po pierwsze trzeba to zgłosić firmie, która tą platformą zarządza. Ona ma odpowiednią procedurę, żeby zabezpieczyć innych użytkowników tej platformy.

Akurat konta WhatsApp-owe są sparowane z naszym numerem telefonu, prawdopodobnie po dobie odzyskamy dostęp do tego konta, ponieważ my możemy się uwierzytelnić. Dlatego, iż tylko my mamy numer telefonu. I tylko my mamy tę kartę SIM. jeżeli oczywiście mamy skonfigurowany numer telefonu do tego konta.

Czy mamy jeszcze jakiś obowiązek?

– Jak najszybciej musimy wysłać informację o tym, iż byliśmy ofiarą ataku, a nasze konto na WhatsAppie zostało przejęte. Kierujemy ją do wszystkich pozycji z naszej książki adresowej, która była użyta przez przestępców do skalowania tego ataku. Ważne, by zrobić to innym kanałem, czyli SMS-em, a nie WhatsAppem.

Metody hakerów stale się zmieniają. Jakie teraz są na topie?

– Atakujący widzą, iż od jakiegoś czasu jesteśmy bardziej odporni na ataki przez OLX. Wtedy przerzucili się na ataki przez Allegro i LinkedIn. A teraz, jak widać, przerzucili się na komunikatory, w szczególności na WhatsAppa, Messengera na Facebooku. I to cały czas jeszcze działa.

Czy jesteśmy w stanie w ogóle ustrzec się przed takimi tymi oszustwami?

– Korzystając z cyfrowych mediów, musimy wciąż weryfikować pojawiające się tam informacje. A my tego nie lubimy robić, to jest też duży problem. Dlatego, gdy otrzymamy podejrzaną lub nietypową wiadomość czy link, nie bójmy się dzwonić, nie bójmy się rozmawiać z ludźmi. Nie ma w tym nic złego. A choćby ostatnie doświadczenia pokazały, iż naprawdę łatwo dać się złapać. Dlatego warto być świadomym, znać bieżące metody ataków, śledzić je.

***