Исследователи описали атаку, которая позволяет злоумышленникам захватить чужую учетную запись в WhatsApp, получив доступ к личным сообщениям и списку контактов. Все дело в функциональности WhatsApp, которая позволяет передавать одноразовые пароли посредством голосовых вызовов.
Об этом способе взлома рассказали специалисты компании CloudSEK. Для такой атаки хакеру потребуется всего несколько минут, хотя для захвата чужой учетной записи нужно знать телефон жертвы и быть готовым применить социальную инженерию.
Сначала злоумышленнику нужно будет убедить жертву позвонить на номер, который начинается с MMI-кода, который оператор связи использует для активации переадресации вызовов. В зависимости от оператора, код MMI может включить перенаправление всех вызовов на другой номер или лишь в тех случаях, когда линия занята или абонент недоступен. Как правило, такие коды начинаются со звездочки (*) или решетки (#), и их поддерживают все основные операторы связи.
Когда злоумышленник убедил жертву переадресовывать звонки на свой номер, он запускает процесс регистрации WhatsApp на своем устройстве, выбирая вариант получения одноразового кода с помощью голосового вызова.
Получив код, хакер может зарегистрировать учетную запись WhatsApp жертвы на своем устройстве и включить двухфакторную аутентификацию, которая не позволит настоящему владельцу аккаунта восстановить доступ.
Следует отметить, что во время атаки на целевое устройство будут приходить текстовые сообщения, информирующие о том, что WhatsApp регистрируется на другом устройстве. Но пользователь может упустить эти предупреждения из виду, особенно если злоумышленник прибегнет к социальной инженерии и вовлечет жертву в телефонный разговор, пока получает одноразовый пароль от мессенджера.
Эксперты отмечают, что защититься от атак такого типа весьма просто: достаточно включить двухфакторную аутентификацию в WhatsApp.
