اخیرا محققان امنیت سایبری هشداری مهم درباره واتس‌اپ منتشر کرده‌اند: هکرها می‌توانند حساب‌های کاربران را بدون نیاز به شکستن رمزگذاری یا عبور از احراز هویت به‌طور کامل تصاحب کنند. این روش جدید که به نام GhostPairing شناخته می‌شود، از ویژگی رسمی واتس‌اپ سوءاستفاده می‌کند و قربانی را فریب می‌دهد تا بدون دانستن خطر، دسترسی کامل به حسابش را به مهاجم بدهد. در این مقاله آموزشی این موضوع را بررسی می‌کنیم و راهکارهای لازم را آموزش می‌دهیم.
GhostPairing چیست؟
GhostPairing یک نوع حمله فیشینگ یا سوءاستفاده از ویژگی‌های رسمی واتس‌اپ است که طی آن مهاجم به جای هک‌کردن فنی برنامه، از کاربر می‌خواهد خودش به طور ناخواسته دستگاه مهاجم را به حسابش لینک کند؛ به طوری که هیچ رمز عبوری رد و بدل نمی‌شود، اما دسترسی کامل حاصل می‌شود.
چگونه این حمله اجرا می‌شود؟
- پیام فریب‌دهنده فرستاده می‌شود: مهاجم پیامی می‌فرستد که شبیه پیام یک مخاطب آشنا به نظر می‌رسد، مثلا «دیدی عکس جدید منو؟ این‌جا کلیک کن».
- لینک جعلی ظاهر می‌شود: لینک مخاطب را به یک صفحه جعلی اما بسیار مشابه صفحه Facebook یا پلتفرمی معتبر هدایت می‌کند.
- صفحه، کد مرتبط با واتس‌اپ را می‌خواهد: به جای احراز هویت فیس‌بوک، این صفحه جعلی از ویژگی لینک‌کردن دستگاه با واتس‌اپ وب سوءاستفاده می‌کند و قربانی را ترغیب می‌کند کدی را در واتس‌اپ وارد کند.
- اتصال دستگاه مهاجم برقرار می‌شود: با واردکردن کد، کاربر در واقع به طور ناخواسته دستگاه مهاجم را به حساب خود متصل می‌کند. مهاجم می‌تواند پیام‌ها را بخواند، رسانه‌ها را دانلود کند و حتی پیام بفرستد.
چرا این حمله خطرناک است؟
چون این تکنیک:
- نیازی به شکستن رمزعبور یا شکستن احراز هویت ندارد
- از قابلیت‌های رسمی واتس‌اپ سوءاستفاده می‌کند
- در بسیاری مواقع کاربر متوجه نمی‌شود حسابش هک شده است
- دسترسی مهاجم تا زمانی که کاربر خودش آن دستگاه را از لیست حذف نکند باقی می‌ماند.
چگونه بفهمیم حساب واتس‌اپ ما هک شده است؟
برای بررسی بخش Linked Devices بروید. از قسمت تنظیمات (Settings) به دستگاه‌های متصل (Linked Devices) بروید و هر دستگاهی را که نمی‌شناسید حذف (Log out) کنید.
اگر دستگاه ناشناسی دیدید فورا آن را قطع کنید و رمز واتس‌اپ و شماره تلفن خود را امن‌تر کنید.
راهکارهای اصلی برای جلوگیری از هک
۱. هیچ‌وقت روی لینک‌های مشکوک کلیک نکنید. پیام‌هایی که حتی از مخاطبین آشنا می‌آید هم می‌تواند جعلی باشد.
۲. بخش Linked Devices را مرتب چک کنید. این ساده‌ترین راه برای تشخیص اتصال‌های غیرمجاز است.
۳. احراز هویت دو مرحله‌ای (2FA) را فعال کنید. از بخش تنظیمات (Settings) به حساب (Account) و بعد تایید هویت دومرحله‌ای (Two-step verification) بروید و یک PIN مطمئن انتخاب کنید.
۴. هرگز کد احراز هویت‌تان را برای هیچ کس نفرستید. واتس‌اپ هیچ وقت از شما نمی‌خواهد کد را جایی وارد کنید، جز در خود اپلیکیشن.
۵. از نرم‌افزار آنتی‌ویروس و امنیتی استفاده کنید. نرم‌افزارهای معتبر می‌توانند لینک‌ها و صفحات فیشینگ را شناسایی کنند.
اگر حسابتان هک شد چه کنید؟
- تمام دستگاه‌های متصل را از طریق بخش Linked Devices حذف کنید.
- احراز هویت دو مرحله‌ای را فعال کنید.
- رمزها و ایمیل‌های بازیابی را تعویض کنید.
- به مخاطبانتان اطلاع دهید که ممکن است پیام‌های جعلی از طرف شما ارسال شود.
GhostPairing نشان می‌دهد حتی قابلیت‌های رسمی یک اپلیکیشن امن مثل واتس‌اپ هم می‌تواند با مهندسی اجتماعی و فریب کاربر به ابزاری برای هک تبدیل شود. در نتیجه همیشه آگاه باشید، لینک‌های ناشناس را باز نکنید و تنظیمات امنیتی را فعال کنید.
این نوع حمله با این‌که نیازی به شکستن قفل احراز هویت حساب ندارد، اما می‌تواند کل حساب شما را در اختیار مهاجم قرار دهد. بنابراین هوشیاربودن مهم‌ترین دفاع شماست.