A Avast, líder global em produtos de segurança digital, compartilha dicas sobre como os usuários podem proteger as suas contas do WhatsApp contra uma clonagem indesejada. Os golpistas estão usando a engenharia social para induzir as pessoas a fornecer o código de verificação de seis dígitos e, assim, dar a eles o controle das contas do WhatsApp.

Verificação falsa

O WhatsApp verifica o número do telefone, para garantir que esse número pertence à pessoa que está configurando a conta. Para isso, envia um código de verificação de seis dígitos ao número via SMS. Então, os golpistas estão aproveitando esse processo de verificação para ter o controle das contas do WhatsApp das pessoas, inserindo o número do telefone que desejam atacar no aplicativo e fazendo o uso da engenharia social para induzir a vítima a compartilhar a verificação de seis dígitos recebida via SMS.

“Vimos vários relatos de táticas que os golpistas estão usando para enganar a pessoa a compartilhar o seu código de verificação, inclusive se passando por celebridades que a vítima segue no Instagram, chamando-a e convidando-a para uma festa. Neste caso, o golpista solicita que a vítima envie o seu código de verificação do WhatsApp, para confirmar a sua presença na festa. Também ouvimos falar de vigaristas que usam a mesma tática, mas se apresentam como parceiros de negócios, deixando escapar nomes de colegas com os quais a vítima trabalha para parecerem confiáveis”, explica Vojtech Bocek, engenheiro sênior de segurança para dispositivos móveis da Avast. “Os golpistas também estão usando as contas invadidas para acessar os contatos da vítima inicial, tentando obter o controle de outras contas, o que pode ser muito eficaz já que a maioria das pessoas confia em seus amigos e familiares e, portanto, pode não pensar duas vezes em compartilhar o código de verificação com outras pessoas”.

Informações do grupo

Depois que alguém controla a conta do WhatsApp de uma outra pessoa, ela tem acesso a todos os grupos de bate-papo do WhatsApp aos quais a vítima pertence. As mensagens registradas anteriormente no bate-papo em grupo não aparecem, mas os números dos telefones dos outros membros desse grupo são visíveis, assim como as novas mensagens enviadas ao número que está sendo controlado.

“Há várias coisas que os impostores podem fazer depois que assumem uma conta do WhatsApp, incluindo a coleta de novas mensagens recebidas pelo número controlado, a coleta de informações sigilosas da vítima, de seus amigos e de familiares ou até mesmo da empresa onde a vítima trabalha. Os golpistas podem enviar mensagens para os contatos da vítima pedindo dinheiro, credenciais de login para as contas compartilhadas e outras informações confidenciais. Informações como essas podem ser usadas para chantagear ou invadir outras contas”, completa Vojtech Bocek.

Como os usuários podem se proteger?

Vojtech Bocek compartilha as seguintes dicas para que os usuários possam seguir e, assim, ajudar a evitar golpes de clonagem do WhatsApp:

• Ativar a verificação de dois fatores. Os usuários devem ativar a autenticação de dois fatores nas configurações do WhatsApp. Dessa forma, o invasor também precisará inserir o PIN de autenticação de dois fatores do usuário, além do código SMS, dificultando muito o sequestro de uma conta.

• Compartilhar nem sempre é uma forma de cuidado. Os usuários nunca devem compartilhar os códigos de autenticação com ninguém, nem mesmo com os amigos e familiares. Ninguém deve solicitar um código de verificação de qualquer tipo via WhatsApp. Se alguém diz que precisa verificar uma conta, é provável que seja um golpe. Os códigos de autenticação e verificação de dois fatores devem ser tratados como senhas, o que significa que nunca devem ser publicados ou compartilhados com ninguém.

• Atenção com a privacidade. Os usuários devem evitar compartilhar o seu número de telefone em plataformas públicas, a qualquer custo possível. Caso uma pessoa precise ser contatada, ela deverá fornecer o seu endereço de e-mail. Os números de telefone que o WhatsApp usa, para identificar as pessoas, são fáceis de obter. A maioria das pessoas não considera um número de telefone como informação secreta. Por isso, o número do telefone pode estar disponível no perfil de mídia social, ser enviado para diferentes serviços e depois vendido para ações de marketing ou fazer parte de vazamentos de bancos de dados que são vendidos na darknet.

• Retome o controle. O usuário que suspeitar que a sua conta do WhatsApp foi invadida, deve entrar no aplicativo do WhatsApp com o seu número de telefone e verificá-lo, inserindo o código que recebe via SMS. Isso desconectará os outros usuários, devolvendo ao proprietário o controle real da sua conta. O usuário que teve a sua conta invadida também deve falar com os seus contatos por outros canais, informando-os sobre as suas suspeitas e pedindo que ignorem as mensagens provenientes da sua conta do WhatsApp invadida até que o problema seja resolvido.