هک واتس‌اپ بدون نفوذ؛ سوءاستفاده هکرها از یک قابلیت رسمی

به گزارش اخبار زنده، بر اساس گزارشی که وب‌سایت فناوری TechRadar منتشر کرده است، مهاجمان سایبری با استفاده از قابلیتی که به‌طور رسمی در واتس‌اپ ارائه شده و به‌صورت گسترده توسط کاربران مورد استفاده قرار می‌گیرد، به روش‌های تازه‌ای برای دسترسی غیرمجاز به حساب‌های کاربری دست یافته‌اند؛ روشی که بدون نیاز به نفوذ فنی یا حملات مخرب انجام می‌شود.

پژوهشگران امنیت سایبری تأیید کرده‌اند که هکرها از قابلیت «اتصال دستگاه‌های خارجی» سوءاستفاده می‌کنند؛ قابلیتی که به کاربران امکان می‌دهد به‌صورت هم‌زمان از چند دستگاه مختلف به حساب واتس‌اپ خود دسترسی داشته باشند.

در صورت سوءاستفاده از این قابلیت، مهاجمان می‌توانند به‌سرعت به مکالمات، فایل‌های چندرسانه‌ای و پیام‌های ردوبدل‌شده میان کاربر و مخاطبانش دسترسی پیدا کنند. افزون بر این، آن‌ها قادر خواهند بود پیام‌هایی را مستقیماً از حساب قربانی ارسال کرده و خود را به‌جای وی جا بزنند.

کارشناسان امنیتی این شیوه حمله را «GhostPairing» نام‌گذاری کرده‌اند؛ اصطلاحی که به ماهیت پنهانی این روش اشاره دارد، چرا که بدون اطلاع کاربر و به‌صورت نامحسوس انجام می‌شود.

این حمله معمولاً با دریافت یک پیام کوتاه آغاز می‌شود که ظاهراً از سوی یکی از مخاطبان شناخته‌شده قربانی ارسال شده است. پیام حاوی لینکی خارجی است که از نظر ظاهری شباهت زیادی به لینک‌های فیس‌بوک دارد، اما در واقع کاربر را به یک نشانی جعلی هدایت می‌کند؛ نشانی‌ای که فرایند سرقت و نفوذ به حساب واتس‌اپ را تسهیل می‌کند.

لینک مذکور از همان سازوکار متداول اتصال دستگاه‌های خارجی استفاده می‌کند و با پیوند دادن یک دستگاه جدید به حساب واتس‌اپ قربانی، امکان دسترسی غیرمجاز را فراهم می‌سازد.

بر اساس این گزارش، اگرچه واتس‌اپ به‌صورت شفاف اعلام می‌کند که کد یا لینک ارائه‌شده برای اتصال یک دستگاه جدید به حساب کاربری مورد استفاده قرار می‌گیرد، اما برخی کاربران بدون توجه کافی به این هشدارها، فرایند اتصال را تأیید می‌کنند.

خطر اصلی این است که قربانی تا مراحل پایانی متوجه هک شدن حساب خود نمی‌شود؛ چرا که گوشی همراه هیچ‌یک از نشانه‌های رایج نفوذ یا دست‌کاری را نشان نمی‌دهد.

در همین راستا، کارشناسان امنیت سایبری توصیه می‌کنند کاربران به‌طور منظم فهرست دستگاه‌های متصل به حساب واتس‌اپ خود را بررسی کرده و از شناسایی تمامی دستگاه‌ها و نبود هرگونه دستگاه ناشناس یا غیرمجاز اطمینان حاصل کنند.