מערך הסייבר הלאומי יצא בהודעה מבהילה אמש "בשעות האחרונות קיבלנו מספר דיווחים אודות פריצות לחשבונות WhatsApp פרטיים". ההשערה של מערך הסייבר הייתה שמדובר בניצול פירצה לתא הקולי. במשך הלילה והבוקר התבררו עוד פרטים על הפירצה וההיקף שלה. אתם יכולים להיות רגועים, אבל חשוב מאוד להתגונן.
קודם כל מה עושים?
מתקשרים עכשיו לשירות הלקוחות של חברת הסלולר ומבטלים את התא הקולי. יכול להיות שיש לכם כזה ואתם לא זוכרים. יכול להיות שניידתם את הקו לחברת סלולר חדשה והיא נתנה לכם אחד מתנה ושכחתם מזה. אם אתם עדיין צריכים תא קולי, לחצו לחיצה ארוכה על המקש 1 בחייגן, עקבו אחרי ההוראות והחליפו סיסמה. מה קשור תא קולי? הסבר בהמשך.
זה לא מספיק! קבעו סיסמה. על פי מטה הסייבר, חלק מהאנשים ננעלו מחוץ לחשבון הוואטסאפ שלהם כי התוקפים בחרו עבורם סיסמה שאין להם דרך לשחזר. כן. שיש סיסמה לוואטסאפ. עזבו הכל ובחרו לעצמכם סיסמה עכשיו. במקרה שכן ינסו לגנוב לכם את החשבון, תוכלו להחזיר אותו לעצמכם.
תפריט - הגדרות - חשבון - אימות דו-שלבי - הפעל. שם בחרו סיסמה, ותתבקשו להקיש אותה שוב. אחר כך בחרו מייל (שאתם יודעים את הסיסמה אליו, כן? לא סתם כתובת ישנה ולא פעילה) והקישו אותו שוב.
אז מה קרה?
מה זה "מספר דיווחים:? לפי רפאל פרנקו ראש מכלול עמידות במערך הסייבר, יחד עם המשטרה הם קיבלו כ-20 דיווחים בלבד. עבור ה-20 האלה, זו באסה עצומה, אבל זה לא אירוע סייבר שצריך להכנס בגללו למקלטים. לשם השוואה - בכל יום נפרצות בישראל 48 דירות, בממוצע. נכון, למי שפרצו לוואטסאפ (או לדירה, האמת) לא אכפת אם יש עוד 19 כמוהו או עוד מיליון וחצי כמוהו, אבל מי שזה לא קרה לו יכול לדעת שהוא לא בסכנה מידית, אם יעשה כמה דברים פשוטים.
איך זה נעשה? הסוג הזה של התקיפה לא חדש. בשביל להתקין וואטסאפ בטלפון חדש ששייך לכם, אתם נדרשים להקיש קוד שמגיע בסמס או בשיחת טלפון. התוקף מנצל את זה - הוא מתקין וואטסאפ בטלפון שרכש, ובמקום המספר שלו, רושם את המספר שלכם. אבל בשביל שלא תקבלו סמס או שיחה, הוא רושם את מספר התא הקולי שלכם (אפשר לחייג ישירות לתא קולי של כל אחד ולדגל על השיחה). שלב ב' במזימה - הוא נכנס לתא הקולי שלכם (שאולי לא ידעתם שיש לכם בכלל) בשביל למשוך הודעות. מה כל אחד יכול להיכנס ולמשוך הודעות? כן. כל אחד יכול. מכל טלפון. כל מה שהוא צריך זה את סיסמת ברירת המחדל שלא טרחתם להחליף.
מתקפה לאומית? גניבה של וואטסאפ באמצעות פריצה לתא קולי היא פעולה שאפשר לעשות ידנית. זה לא בלתי-אפשרי, אבל זה מורכב יותר מאשר למשל לעשות לכם פישינג - כלומר לשלוח מייל מתחזה שמבקש מכם להקיש שם וסיסמה. במטה הסייבר מסבירים, זה כנראה לא משתלם במיוחד לנסות לתקוף מדינה שלמה, אלא לעשות את זה בהקיפים נמוכים.
כמה זה מסוכן? אי אפשר לאטום הרמטית גניבה של חשבונות. אפשר לשלוח לכם וירוס לטלפון. אפשר ליירט, במאמץ מסויים גם סמסים, אבל אפשר להפחית סיכונים. "חשוב להבין שהניצול של התא הקולי לצורך חטיפת חשבונות יכול להתבצע לא רק בהקשר של וואטסאפ", מסביר לנו אמיר כרמי, מנהל טכנולוגיות ב-ESET, "ניתן להשתמש בשיטה זהה כדי לחטוף חשבונות של גוגל, מיקרוסופט, אפל ו- Paypal".
למרות כל ההגנות וכל המנגנונים שלהם, אם התא הקולי שלכם עדיין קיים, ולא מוגן בסיסמה, הוא החוליה החלשה בשרשרת. אם נחזור לדוגמת הדירות, זה המפתח ששכחתם שהשארתם בארון חשמל, עבור השכן שישקה את העציצים. קחו את המפתח חזרה הביתה.