קישורים מסוכנים ב-WhatsApp Web: סיכונים, הונאות וכיצד להגן על עצמך

אינטרנט WhatsApp זהו כיום כלי חיוני עבור אלו שעובדים או משוחחים מהמחשבים שלהם. אבל נוחות זו גם פתחה את הדלת לצורות חדשות של הונאה ותוכנות זדוניות. לרוע המזל, פושעי סייבר מנצלים את שניהם. קישורים מסוכנים בוואטסאפ ווב כגון גרסאות מזויפות של האתר עצמו, כמו גם הרחבות דפדפן וקמפיינים המוניים של ספאם המנצלים אמון בין אנשי קשר.

חקירות אחרונות של חברות אבטחת סייבר שונות חשפו אתרים המחקים את WhatsApp Web, תוספים הונאה ותוכנות זדוניות תוכנן במיוחד להפצה דרך הפלטפורמה. בנוסף לכך, WhatsApp הוא אחד המותגים המזוהים ביותר בעולם, מה שמגדיל מאוד את הסבירות לקבל קישור זדוני בדרך זו. במאמר זה נסקור כיצד פועלים איומים אלה, כיצד לזהות אותם ואילו צעדים ניתן לנקוט כדי להגן על החשבון והמכשיר שלך.

סיכונים ספציפיים בשימוש ב-WhatsApp Web במחשב

וואטסאפ לא עובד רק בטלפונים ניידיםגרסאות האינטרנט והמחשב מאפשרות לך לקשר את החשבון שלך למחשב אישי להקלדה נוחה יותר, שיתוף קבצים גדולים או עבודה תוך כדי צ'אט. הבעיה היא שהשימוש בדפדפן פותח חזית התקפה חדשה שבה [פגיעויות/פגיעויות] נכנסות לתמונה. דפים מזויפים, תוספים זדוניים וסקריפטים מוזרקים שלא קיימים באפליקציה המסורתית לנייד.

אחת הסכנות הנפוצות ביותר מתעוררת כאשר המשתמש מנסה לגשת לשירות, ובמקום להקליד ישירות את הכתובת הרשמית, חפשו "WhatsApp Web" בגוגל או לחצו על קישורים שהתקבלושם חלק מהתוקפים מציבים אתרים מזויפים שמעתיקים את העיצוב המקורי, מציגים קוד QR מניפולטיבי, וכאשר סורקים אותם, לוכדים את הסשן כדי... קרא הודעות, גש לקבצים שנשלחו וקבל את רשימת אנשי הקשר.

וקטור התקפה מרכזי נוסף הוא תוספי דפדפן שמבטיחים "לשפר את WhatsApp Web"כדי להגביר את הפרודוקטיביות או להפוך משימות עסקיות לאוטומטיות. תחת מסווה של כלי CRM או ניהול לקוחות, רבים מקבלים גישה מלאה לדף האינטרנט של WhatsApp, מה שמאפשר להם לקרוא שיחות, לשלוח הודעות ללא רשות או לבצע קוד זדוני ללא ידיעת המשתמש.

בנוסף, WhatsApp Web משמש כשער עבור תוכנה זדונית המופצת באמצעות קבצים דחוסים, סקריפטים וקישורים נשלח מחשבונות שנפרצו. התוקף זקוק רק לדפדפן פתוח כדי שהתוכן הזדוני יפעל, יועבר לאנשי קשר אחרים ובסופו של דבר יהפוך את המחשב שלך לנקודת הפצה.

זה לא אומר שלא כדאי להשתמש ב-WhatsApp Web.במקום זאת, עליכם לנקוט באמצעי זהירות נוספים בנוגע לאפליקציה לנייד: בדקו תמיד את כתובת האתר, עקבו אחר התוספים המותקנים והיזהרו מכל קישור או קובץ שלא ציפיתם לקבל, לא משנה כמה "רגיל" ההודעה עשויה להיראות.

גרסאות מזויפות של WhatsApp Web וכיצד לזהות אותן

אחת ההונאות המסוכנות ביותר מדובר באתרים שמחקים כמעט בצורה מושלמת את ממשק האינטרנט הרשמי של WhatsApp. העיצוב, הצבעים וקוד ה-QR אולי נראים זהים, אבל אתם למעשה טוענים עותק מניפולטיבי שכאשר אתם סורקים את הקוד עם הטלפון שלכם, זה לא פותח את הסשן שלך בשרת WhatsApp, אלא שולח את הנתונים שלך לתוקפים..

כשאתה נופל בפח של אתר אינטרנט משוכפל, פושעי סייבר יכולים לחטוף את הסשן שלךהם יכולים לקרוא צ'אטים בזמן אמת, להוריד מסמכים ששלחת או קיבלת, ואפילו לייצא את רשימת אנשי הקשר שלך כדי להשיק קמפיינים חדשים של פישינג. כל זאת מבלי שתבחין במשהו חריג במבט ראשון, מעבר לפרטים קטנים בכתובת האתר או בתעודת האבטחה.

כדי לעזור למשתמשים לדעת אם הם נמצאים במקום בו הם אמורים להיות, WhatsApp ו-Meta ממליצות להשתמש בתוסף אימות קוד, זמין בחנויות הרשמיות של Google Chrome, Mozilla Firefox ו-Microsoft Edgeתוסף זה מנתח את הקוד של דף האינטרנט של WhatsApp שפתחת ומאמת שהוא תואם במדויק את המקור שסופק על ידי WhatsApp עצמה, ללא שינויים או הזרקות של צד שלישי.

אם Code Verify מזהה שאתם משתמשים בגרסה שנפגעה, זה יציג לך מיד אזהרה גלויה בבירור. דבר המעיד על כך שהאתר אינו אמין. במקרה כזה, הדבר הנבון לעשות הוא לסגור את הכרטיסייה, לא לסרוק קודי QR ולבדוק אם כבר הזנת את פרטי הגישה שלך או קישרת את המכשיר. נקודה מרכזית היא ש לתוסף אין גישה להודעות או לתוכן שלך.זה רק משווה את קוד האתר למה שגרסה לגיטימית צריכה לכלול.

בנוסף לשימוש ב-Code Verify, מומלץ להתרגל ל... יש להתחבר תמיד על ידי הקלדה ידנית של "https://web.whatsapp.com/" בשורת הכתובת, לא דרך קישורים או פרסומות. ודאו שאתם רואים את מנעול האתר המאובטח, שהדומיין הוא בדיוק הרשמי, ושהדפדפן שלכם לא מציג התראות על אישורים חשודים לפני סריקת קוד ה-QR.

קישורים חשודים בוואטסאפ: כיצד האפליקציה עצמה מסמנת אותם

וואטסאפ משלבת מערכת זיהוי בסיסית משלה של קישורים חשודים בתוך צ'אטים. תכונה זו בודקת אוטומטית את כתובות ה-URL שאתם מקבלים, ואם היא מוצאת דפוסי פישינג אופייניים או תווים יוצאי דופן בדומיין, היא יכולה להציג אזהרה אדומה כדי להתריע בפניכם שהקישור עלול להיות מסוכן.

דרך ברורה מאוד לראות את זה במחשב היא רחף עם העכבר מעל הקישור מבלי ללחוץכאשר WhatsApp מחשיבה כתובת URL כחשודה, היא מציגה מחוון אדום מעל הקישור, המזהיר מפני סיכון פוטנציאלי. זהו אימות אוטומטי שפועל ברקע ושימושי מאוד לחשיפת... מלכודות חזותיות קטנות שזה יברח מאיתנו במבט ראשון.

בין הטריקים הנפוצים ביותר הוא החלפת אותיות בתווים דומים מאוד, כמו למשל... "ẉ" במקום "w" או שימוש בנקודות ובטעמים שאינם ברורים במיוחד בתוך הדומיין. דוגמה אופיינית עשויה להיות משהו כמו "https://hatsapp.com/free-tickets", שבו משתמש תמים רואה את המילה "whatsapp" ומניח שהיא רשמית, כשלמעשה הדומיין שונה לחלוטין.

מטא הוסיפה גם טריק קטן ושימושי: העבר את הקישור החשוד לצ'אט האישי שלך. (הצ'אט עם עצמך) כדי שהמערכת תוכל לנתח אותו מחדש. אם הקישור יזוהה כקישור פוטנציאלי להונאה, WhatsApp תציין זאת באזהרה אדומה, גם אם הוא מגיע מאיש קשר מהימן או מקבוצה שאתה משתתף בה בדרך כלל.

פונקציה זו אינה חד משמעית, אך יש לה מספר יתרונות: אתה לא צריך להתקין כלום בטלפון שלךזה עובד בתוך האפליקציה עצמה ומסתמך על מנגנונים פנימיים לגילוי קישורים מסוכנים. עם זאת, עדיין חיוני להשתמש בשכל הישר: אם משהו נראה חשוד, עדיף לא ללחוץ עליו, גם אם המערכת לא הנפיקה התראות.

תוספי כרום הונאה שתוקפים את WhatsApp Web

תחום רגיש במיוחד נוסף הוא תוספי דפדפן שנועדו להשתלב עם WhatsApp Web. חקירות אחרונות חשפו קמפיין ספאם ענק שהשתמש, לא פחות, 131 תוספי כרום מזויפים כדי להפוך את שליחת ההודעות ב-WhatsApp Web לאוטומטית, ולהגיע ליותר מ-20.000 משתמשים ברחבי העולם.

הרחבות אלו הוצגו כ כלי CRM, ניהול אנשי קשר או אוטומציה של מכירות עבור WhatsApp. מותגים כמו YouSeller, Botflow ו-ZapVende הבטיחו להגדיל את ההכנסות, לשפר את הפרודוקטיביות ולהקל על שיווק ב-WhatsApp, אך מתחת למכסה המנוע הם הסתירו את אותו בסיס קוד שפותח על ידי חברה ברזילאית אחת, DBX Tecnologia, שהציעה את התוספים במודל עסקי. מותג לבן.

העסק עבד כך: חברים שילמו בערך 2.000 יורו מראש כדי לשנות את שם ההרחבה עם המותג, הלוגו והתיאור שלהם, הובטחה להם הכנסה חוזרת שנעה בין 5.000 ל-15.000 אירו לחודש באמצעות קמפיינים של מסרים המוניים. המטרה הבסיסית הייתה כדי לשמור על דיוורי ספאם בקנה מידה גדול תוך עקיפת מערכות האנטי-ספאם של וואטסאפ.

כדי להשיג זאת, התוספים הופעלו לצד סקריפטים לגיטימיים של WhatsApp Web ו- הם קראו לפונקציות פנימיות של האפליקציה עצמה. כדי להפוך את שליחת ההודעות לאוטומטית, הם הגדירו מרווחי זמן, השהיות וגודל קבוצות. זה דימה התנהגות "אנושית" יותר והפחית את הסבירות שאלגוריתמים לזיהוי שימוש לרעה יחסמו את החשבונות שבהם נעשה שימוש בקמפיינים אלה.

הסכנה היא כפולה: למרות שרבות מההרחבות הללו אינן תואמות להגדרה הקלאסית של תוכנה זדונית, הייתה להם גישה מלאה לדף האינטרנט של וואטסאפזה למעשה איפשר להם לקרוא שיחות, לשנות תוכן או לשלוח הודעות אוטומטיות ללא אישור מפורש של המשתמש. הוסיפו לכך את העובדה שהם היו זמינים בחנות האינטרנט של כרום במשך תשעה חודשים לפחות, והחשיפה הפוטנציאלית הייתה עצומה.

גוגל כבר הסירה את התוספים המושפעים.אבל אם אי פעם התקנתם כלי אוטומציה, CRM או כלי עזר אחרים הקשורים ל-WhatsApp, מומלץ לגשת ל-"chrome://extensions" ולסקור בעיון את הרשימה: הסירו את כל התוספים שאתם לא מזהים, כבר לא משתמשים בהם, או שמבקשים... הרשאות מיותרות לקריאה ושינוי נתונים בכל אתרי האינטרנטוזכרו: רק בגלל שהרחבה נמצאת בחנות הרשמית, זה לא מבטיח שהיא בטוחה.

וואטסאפ כאחת המותגים המזויפים ביותר בעולם

לפופולריות של וואטסאפ יש גם צד שליליעם למעלה מ-2.000 מיליארד משתמשים, הפלטפורמה מהווה מגנט לתוקפים המעוניינים להגיע במהירות למיליוני קורבנות פוטנציאליים. על פי דו"ח הפישינג של מותגים של Check Point Research, WhatsApp היא בין המותגים הנפוצים ביותר בשימוש על ידי פושעי סייבר למטרה זו. יצירת דפי פישינג, מיילים מזויפים וקמפיינים להתחזות.

במדינות כמו ספרד, ההשפעה כבר ניכרת בבירור: ההערכה היא ש כ-33% מכלל מתקפות הסייבר שתועדו השנה היה להם קשר כלשהו להעברת מסרים או למותגים מוכרים, כולל וואטסאפ. השילוב של בסיס משתמשים עצום והאמון שהמותג מייצר הופך את זה לקלה יחסית להקים הונאות המבוססות על פרסים לכאורה, הגרלות, אימות חשבון או עדכונים דחופים.

הודעות הונאה יכולות להגיע אליכם בדרכים רבות: החל מהודעת SMS הטוענת שהיא מ"תמיכה רשמית של וואטסאפ" ועד למייל המחקה את לוגו המטא, וכן הלאה. קישורים ברשתות חברתיות, פרסומות מטעות או קודי QR המוצבים במקומות ציבורייםבכל המקרים, המטרה זהה: לגרום לך ללחוץ על כתובת URL מזויפת, להזין את הנתונים שלך או להוריד קובץ נגוע.

זו הסיבה שמומחים מתעקשים על הצורך לחזק את הגדרות האבטחה של האפליקציה ומעל הכל, למדו לקרוא הודעות בעין ביקורתית. פרטים כמו הדומיין שממנו הן כותבות, טון הטקסט, שגיאות כתיב או הלחץ לעשות משהו "עכשיו" הם בדרך כלל רמזים ברורים לכך שאתם מתמודדים עם ניסיון פישינג ולא עם תקשורת רשמית.

במקרה הספציפי של וואטסאפ, חשוב לזכור ש החברה לעולם לא תבקש את קוד האימות שלך באמצעות הודעה או שיחהושלא צריך ללחוץ על קישורים חיצוניים כדי לשמור על חשבונך פעיל או "למנוע את סגירתו". אם הודעה מזכירה איומים מסוג זה, יש סיכוי גבוה מאוד שמדובר בהונאה גמורה.

פרצות אבטחה נפוצות בוואטסאפ שהופכות אתכם לפגיעים

מעבר לקישורים מסוכנים, משתמשים רבים מסכנים את עצמם. למתקפות פשוט בגלל תצורת אבטחה מוזנחת. צ'ק פוינט עצמה ריכזה מספר טעויות נפוצות מאוד שמגבירות את הסיכון שתוקף יחטוף את החשבון שלך או ינצל את המידע האישי שלך.

• אל תפעיל אימות דו-שלביתכונה זו מוסיפה קוד סודי נוסף הנדרש כאשר מישהו מנסה לרשום את המספר שלך במכשיר חדש. משמעות הדבר היא שגם אם תוקף יקבל את קוד ה-SMS שלך, הוא לא יוכל להשלים את תהליך ההתחברות מבלי לדעת את קוד ה-PIN. ניתן להפעילו בהגדרות > חשבון > אימות דו-שלבי.
• שיתוף מיקום בזמן אמת ללא שליטהלמרות שזוהי תכונה שימושית מאוד לקביעת פגישות עם חברים או ליידע אותם שהגעתם בשלום, השארתה פעילה במשך שעות או עם אנשים שאתם לא סומכים עליהם לחלוטין יכולה לחשוף יותר מדי מידע על שגרת יומכם. עדיף להשתמש בה רק בעת הצורך ולבטל אותה ברגע שכבר אינכם זקוקים לה.
• שמור על הורדה אוטומטית של תמונות, סרטונים ומסמכים בכל סוג של רשתאם תקבלו כל מה שמגיע אליכם ללא סינון, אתם מגדילים את הסיכוי שקובץ זדוני או מסמך שנועד לנצל פגיעויות יחלחל. בהגדרות > אחסון ונתונים, תוכלו להגביל הורדות אוטומטיות ולבחור אילו קבצים נשמרים באופן ידני.
• לא בודק את הגדרות הפרטיות והסטטוסים של הפרופילמתן אפשרות לכל אחד לראות את התמונה, התיאור או הסיפורים שלך יכול להקל על מישהו לאסוף מידע עליך, להתחזות למישהו שאתה מכיר או להשתמש במידע זה להתקפות ממוקדות. באופן אידיאלי, עליך להתאים את מי שיכול לראות את המידע שלך בהגדרות > פרטיות, ולהגביל את הגישה לאנשי הקשר שלך או לרשימות ספציפיות.
• לא שמור על אפליקציית וואטסאפ מעודכנת מדי פעם בדקו את ההרשאות שניתנו בטלפון שלכם (גישה למצלמה, מיקרופון, אנשי קשר וכו'). כל עדכון כולל בדרך כלל תיקוני אבטחה שסוגרים פגיעויות הניתנות לניצול, והרשאות מיותרות יכולות להוות נקודת כניסה אם מתעוררת פגיעות או שאפליקציה זדונית מנסה לנצל אותה.

כיצד לזהות קישורים זדוניים בתוך ומחוץ לוואטסאפ

קישורים זדוניים אינם מוגבלים לוואטסאפהם יכולים ליצור איתך קשר באמצעות דוא"ל, SMS, מדיה חברתית, פרסומות מטעות, תגובות בפורומים או אפילו קודי QR. עם זאת, הדפוס הוא בדרך כלל זהה: הודעה חפוזה, הצעה שנראית טובה מכדי להיות אמיתית, או דחיפות כביכול שדוחפת אותך ללחוץ בלי לחשוב.

קישור זדוני הוא בדרך כלל כתובת URL שנוצרה בכוונה להפנות אותך לאתר אינטרנט הונאה, להוריד תוכנות זדוניות או לגנוב את פרטי הגישה שלךלעתים קרובות המראה מחקה בנקים, חנויות ידועות או שירותים פופולריים, אך כשמסתכלים על הכתובת המדויקת, תראו דומיינים מוזרים, אותיות שהשתנו או סיומות יוצאות דופן כמו .xyz, .top או אחרות שאינן תואמות את הרשמיות.

אנחנו צריכים להיות קשובים גם ל- כתובות אתרים מקוצרות (כמו bit.ly, TinyURL וכו'), מכיוון שהם מסתירים את הכתובת האמיתית שאליה הם יפנו אותך. תוקפים משתמשים בהם כדי להסוות דומיינים חשודים ולמנוע ממשתמשים לזהות בקלות שמדובר באתר זדוני. אותו הדבר נכון לגבי קודי QR רבים: פשוט סרקו אחד, ואם אין לכם אפליקציה שמציגה את כתובת האתר לפני פתיחתו, אתם עלולים להגיע לאתר אינטרנט פרוץ מבלי לשים לב לכך.

סימנים אופייניים לכך שמערכת יחסים עלולה להיות מסוכנת כוללים: שגיאות כתיב או דקדוק בהודעה הנלוויתשימוש בשמות גנריים כמו "לקוח" או "משתמש" במקום שמך האמיתי וקידומי מכירות לא מציאותיים ("זכית באייפון רק בגלל השתתפותך"). למרות שפשעי סייבר הפכו מקצועיים יותר ופרטים אלה נלקחים בחשבון בקפידה רבה יותר, שגיאות רבות שחושפות את ההונאה עדיין חומקות.

כדי להפחית סיכונים, מומלץ להשתמש בכלים חינמיים כגון VirusTotal, גלישה בטוחה של גוגל, PhishTank או URLVoidכל השירותים הללו מאפשרים לך לנתח כתובת URL לפני פתיחתה, ולבדוק אם דווח עליה כתוכנה זדונית, פישינג או פעילות חשודה. במקרה של כתובות URL מקוצרות, שירותים כמו Unshorten.It עוזרים לך לראות את היעד בפועל מבלי לטעון את הדף הסופי.

על ידי יישום הנחיות אלו ושילובן עם ההתראות הפנימיות של WhatsApp על קישורים חשודים, אתם מפחיתים משמעותית את הסיכוי ליפול קורבן להונאה.הן בתוך הצ'אטים שלכם והן בעת ​​גלישה בערוצים דיגיטליים אחרים שבהם גם מלכודות מסוג זה שופעות.

אבטחה בוואטסאפ ווב ובקישורים הנמצאים באפליקציה זה תלוי בשילוב של טכנולוגיה, שכל ישר ושיטות עבודה מומלצות: שימוש בתוספים כמו Code Verify כדי לוודא שאתם באתר הנכון, צמצום אפליקציות ותוספים של צד שלישי למינימום, זהירות מקישורים וקבצים שאינם מתאימים להקשר, הפעלת אפשרויות האבטחה של הפלטפורמה עצמה ושמירה על עדכניות המכשירים שלכם. אם תשלבו את ההרגלים האלה בשגרה הדיגיטלית שלכם, תוכלו לגלוש ולשוחח בצ'אט עם הרבה יותר שקט נפשי.