Wiadomość przychodzi z konta osoby zapisanej w telefonie. Nadawca prosi o głos na dziewczynkę walczącą o stypendium i podaje link do konkursu. Potem pojawia się fałszywa weryfikacja przez WhatsApp. Zeskanowanie kodu QR lub przepisanie kodu z aplikacji pozwala oszustowi powiązać własne urządzenie z kontem ofiary.
W sobotę dostałem na WhatsAppie wiadomość od znajomego dziennikarza. Prosił o zagłosowanie na Zofię, córkę swoich przyjaciół. Główną nagrodą miało być stypendium na bezpłatną naukę. Prośba przyszła ze znanego konta. Zgadzały się zdjęcie profilowe i wcześniejsza historia czatu. Link prowadził jednak do domeny `ballet-pl.com`.
Po kliknięciu nie zobaczyłem strony konkursu. Połączenie zatrzymała CyberTarcza Orange. Operator oznaczył wskazany adres jako fałszywą stronę podstawioną przez oszustów. Na ekranie pojawiła się informacja, że witryna może próbować wyłudzić dane logowania lub nakłonić użytkownika do działania zagrażającego urządzeniu.
Komunikat CyberTarczy nie pokazuje, co dokładnie znajdowało się na kolejnych podstronach. Odpowiedź daje ostrzeżenie opublikowane 2 sierpnia przez CERT Polska. Zespół opisał kampanię, w której przestępcy przejmują konta WhatsApp, a później rozsyłają z nich prośby o udział w fikcyjnym głosowaniu.
Warunkiem oddania głosu jest rzekoma weryfikacja przez WhatsApp. Ofiara ma zeskanować w aplikacji przygotowany przez oszustów kod QR albo przepisać kod służący do powiązania urządzenia. W obu wariantach dodaje do swojego konta sprzęt kontrolowany przez przestępcę.
Nie jest to luka pozwalająca włamać się na konto po samym kliknięciu. Oszust wykorzystuje legalną funkcję komunikatora i przekonuje użytkownika, że wykonuje zwykłą weryfikację konkursową. Meta ostrzegała przed tym mechanizmem już w marcu. Jako przykład podała fałszywy konkurs, stronę żądającą numeru telefonu oraz kod do połączenia WhatsAppa z kolejnym urządzeniem.
Po uzyskaniu dostępu przestępca rozsyła tę samą prośbę do następnych kontaktów. Odbiorca widzi znane nazwisko i zdjęcie. Nie pisze z nieznajomym numerem, dlatego łatwiej przechodzi do głosowania bez dodatkowego sprawdzania linku.
Wiadomości wysłano z kont osób publicznych
O kampanii zrobiło się głośno po ostrzeżeniu Arkadiusza Myrchy. 2 sierpnia wiceminister sprawiedliwości poinformował, że z jego konta na WhatsAppie wysłano wiadomości z linkiem do głosowania. Prosił odbiorców, aby go nie otwierali. Według relacji Wirtualnej Polski chodziło o głos na Zofię, rzekomą córkę znajomych walczącą o stypendium.
Interia podała, że podobną wiadomość pokazał też były szef CBA Paweł Wojtunik. Ostrzeżenie CERT Polska udostępniły MSWiA oraz Kancelaria Premiera.
Samo kliknięcie to jeszcze nie przejęcie konta
Użytkownik, który otworzył link, lecz nie wpisał kodu i nie zeskanował kodu QR, nie wykonał operacji wskazanej przez CERT jako sposób przejęcia konta. Powinien zamknąć stronę i niczego na niej nie podawać.
Po przejściu fałszywej weryfikacji trzeba otworzyć WhatsApp, wejść do sekcji „Połączone urządzenia” i wylogować wszystkie nierozpoznane sesje. CERT Polska zaleca odparowanie dodanych urządzeń, ponieważ w ten sposób można odciąć przestępcę od konta.
Kontakty należy ostrzec innym kanałem. Dalsze pytania zadawane na tym samym czacie mogą trafić do oszusta.
Podejrzaną stronę można zgłosić przez formularz incydent.cert.pl lub usługę „Bezpiecznie w sieci” w aplikacji mObywatel. CERT przyjmuje podejrzane SMS-y pod bezpłatnym numerem 8080.
