WhatsApp网页版上的危险链接：风险、诈骗及保护方法

WhatsApp的网站 如今，对于那些在电脑上工作或聊天的人来说，它已成为必不可少的工具。但这种便利也为新型诈骗和恶意软件的滋生打开了方便之门。不幸的是，网络犯罪分子正在利用这两方面。 WhatsApp网页版上的危险链接 例如，网站本身的虚假版本，以及利用联系人之间信任的浏览器扩展程序和大规模垃圾邮件活动。

近期多家网络安全公司的调查发现 模仿 WhatsApp Web 的网站、欺诈性扩展程序和恶意软件 这些恶意链接是专门设计用于通过该平台传播的。此外，WhatsApp 是世界上最常被冒充的品牌之一，这大大增加了通过该平台收到恶意链接的可能性。在本文中，我们将对此进行评述。 这些威胁如何运作、如何检测它们以及您可以采取哪些措施 为了保护您的帐户和设备。

在电脑上使用 WhatsApp Web 的特定风险

WhatsApp 不仅仅适用于手机它的网页版和桌面版都允许用户将账户关联到电脑，以便更方便地打字、共享大文件或边聊天边工作。问题在于，使用浏览器会打开一个新的攻击面，[漏洞/漏洞] 会发挥作用。 欺诈页面、恶意扩展程序和注入脚本 传统移动应用中不存在的功能。

最常见的危险之一是用户尝试访问服务时，没有直接输入官方地址，而是使用了其他方式。 在谷歌上搜索“WhatsApp Web”，或点击收到的链接。一些攻击者会在那里放置虚假网站，这些网站复制原始设计，显示篡改过的二维码，并在扫描后捕获会话，从而…… 阅读邮件、访问已发送文件和获取联系人列表.

另一个关键攻击途径是 声称可以“改善 WhatsApp Web”的浏览器扩展程序为了提高生产力或实现业务任务自动化，许多不法分子伪装成客户关系管理 (CRM) 或客户管理工具，最终却获得了对 WhatsApp 网页版的完全访问权限，从而能够读取对话、未经许可发送消息，或在用户不知情的情况下执行恶意代码。

此外，WhatsApp Web 还可用作以下网关： 通过压缩文件、脚本和链接传播的恶意软件 邮件来自被盗账户。攻击者只需打开您的浏览器即可运行恶意内容，并将其转发给其他联系人，最终将您的计算机变成传播点。

但这并不意味着你不应该使用 WhatsApp Web。相反，您需要对移动应用程序采取一些额外的预防措施：始终检查 URL，监控已安装的扩展程序，并警惕任何您未预料到会收到的链接或文件，无论消息看起来多么“正常”。

WhatsApp网页版的假冒版本以及如何识别它们

最危险的骗局之一 它指的是那些几乎完美模仿官方 WhatsApp 网页版界面的网站。设计、颜色和二维码看起来可能一模一样，但实际上你加载的是一个经过篡改的副本，当你用手机扫描二维码时， 它不会在 WhatsApp 服务器上打开您的会话，而是将您的数据发送给攻击者。.

当你误入克隆网站时，网络犯罪分子可能会…… 劫持你的会话他们可以实时读取聊天记录，下载你发送或接收的文件，甚至导出你的联系人列表来发起新的网络钓鱼活动。所有这一切，你乍一看都不会察觉到任何异常，除了网站地址或安全证书上的一些细微差别。

为了帮助用户了解自己是否身处正确位置，WhatsApp 和 Meta 建议使用扩展程序。 代码验证可在官方商店购买 Google Chrome、Mozilla Firefox 和 Microsoft Edge此扩展程序会分析您打开的 WhatsApp 网页的代码，并验证它是否与 WhatsApp 本身提供的原始代码完全匹配，没有进行任何修改或注入第三方代码。

如果代码验证检测到您使用的是篡改过的版本， 它会立即显示清晰可见的警告。 这表明该网站不可信。在这种情况下，明智的做法是关闭标签页，不要扫描任何二维码，并检查您是否已输入凭据或关联设备。关键在于…… 该扩展程序无法访问您的消息或内容。它只会将网站的代码与合法版本应有的代码进行比较。

除了使用代码验证之外，养成以下习惯也是个好主意： 请始终手动输入“https://web.whatsapp.com/”登录。 请在地址栏中输入网址，不要通过链接或广告访问。扫描二维码前，请确认网站安全图标（挂锁图标）已显示，域名是否为官方网站，并确保浏览器没有显示任何关于可疑证书的警告。

WhatsApp上的可疑链接：应用本身是如何标记它们的

WhatsApp内置了自己的基本检测系统 聊天记录中的可疑链接。此功能会自动检查您收到的 URL，如果发现典型的网络钓鱼模式或域名中的异常字符，则会显示红色警告，提醒您该链接可能存在风险。

在电脑上查看它的一个非常清晰的方法是： 将鼠标悬停在链接上，无需点击当 WhatsApp 认为某个 URL 可疑时，会在链接上方显示红色指示器，警告潜在风险。这是在后台运行的自动验证功能，对于发现可疑链接非常有用…… 小型视觉陷阱 乍一看，我们很容易忽略这一点。

最常见的伎俩之一是用非常相似的字符替换字母，例如 a 用“ẉ”代替“w” 或者使用了域名中不太明显的句点和重音符号。一个典型的例子是“https://hatsapp.com/free-tickets”，不知情的用户看到“whatsapp”这个词，就会误以为它是官方网站，但实际上域名完全不同。

Meta 还添加了一个很实用的小技巧： 将可疑链接转发到你的私人聊天中。 （与自己的聊天记录），以便系统重新分析。如果链接被检测为潜在的欺诈链接，即使它来自您信任的联系人或您经常参与的群组，WhatsApp 也会发出红色警告。

此功能并非万无一失，但它有几个优点： 你不需要在手机上安装任何东西它内置于应用程序内部，依靠内部机制来检测危险链接。但是，运用常识仍然至关重要：如果某些内容看起来可疑，即使系统没有发出任何警报，最好也不要点击。

攻击 WhatsApp Web 的欺诈性 Chrome 扩展程序

另一个特别敏感的领域是旨在与 WhatsApp Web 集成的浏览器扩展程序。最近的调查揭露了一场大规模的垃圾邮件活动，该活动使用了…… 131 个欺诈性 Chrome 扩展程序 在 WhatsApp Web 上自动发送消息，覆盖全球超过 20.000 名用户。

这些扩展被呈现为 CRM工具、联系人管理或销售自动化 针对 WhatsApp 的 YouSeller、Botflow 和 ZapVende 等品牌都承诺可以提高收入、提升生产力并促进 WhatsApp 营销，但实际上，它们都使用了同一套代码库，而这套代码库是由一家巴西公司 DBX Tecnologia 开发的，该公司以商业模式提供这些扩展程序。 白牌子.

这种商业模式是这样的：会员缴纳大约 预付2.000欧元 为了让他们用自己的品牌、标志和描述重新命名扩展程序，他们被承诺通过群发信息活动获得每月 5.000 欧元至 15.000 欧元的持续收入。其根本目的是 在绕过 WhatsApp 反垃圾邮件系统的同时，继续大规模发送垃圾邮件。.

为了实现这一点，这些扩展程序与合法的 WhatsApp Web 脚本一起运行， 他们调用的是应用程序自身的内部函数。 为了实现消息自动发送，他们设置了发送间隔、暂停时间和批量大小。这模拟了更“人性化”的行为，降低了滥用检测算法封禁这些营销活动中所用账户的可能性。

危险体现在两个方面：虽然这些扩展程序中的许多并不符合恶意软件的经典定义， 他们可以完全访问 WhatsApp 网页版。这实际上使他们能够在未经用户明确授权的情况下读取对话、修改内容或发送自动消息。再加上这些插件在 Chrome 网上应用商店上架至少九个月，潜在的风险暴露范围极其巨大。

谷歌已经移除了受影响的扩展程序。但如果您曾经安装过与 WhatsApp 相关的自动化工具、CRM 或其他实用程序，最好访问“chrome://extensions”并仔细检查列表：删除任何您不认识、不再使用或要求您提供详细信息的扩展程序。 拥有对所有网站数据的过度读取和修改权限请记住：即使某个扩展程序在官方商店中，也不能保证它是安全的。

WhatsApp是世界上被冒充最多的品牌之一。

WhatsApp 的流行也有其弊端。WhatsApp拥有超过2.000亿用户，这使其成为攻击者快速接触数百万潜在受害者的理想平台。根据Check Point Research的品牌钓鱼报告，WhatsApp是网络犯罪分子最常用于此类目的的品牌之一。 创建钓鱼页面、虚假电子邮件和冒充活动.

在西班牙等国家，这种影响已经非常明显：据估计， 约占当年记录在案的所有网络攻击的33% 与即时通讯软件或知名品牌（包括 WhatsApp）存在某种联系。庞大的用户群体和品牌所带来的信任度，使得基于这些平台的诈骗活动相对容易滋生。 所谓的奖品、抽奖、账户验证或紧急更新.

欺诈信息可以通过多种方式联系到您：从声称来自“WhatsApp官方支持”的短信到模仿Meta徽标的电子邮件等等。 社交媒体上的链接、误导性广告或张贴在公共场所的二维码在所有情况下，其目的都是一样的：诱使你点击伪造的网址、输入你的数据或下载受感染的文件。

这就是为什么专家们坚持认为有必要 加强应用程序的安全设置 最重要的是，要学会用批判的眼光阅读信息。诸如发件域名、语气、拼写错误或催促“立即”采取行动等细节，通常都是明显的线索，表明你遇到的是网络钓鱼而非官方信息。

以 WhatsApp 为例，需要记住的关键一点是： 公司绝不会通过短信或电话向您索取验证码。而且，他们声称你不需要点击外部链接来保持账户活跃或“防止账户被关闭”。如果消息中提到这类威胁，那很可能就是彻头彻尾的骗局。

WhatsApp 常见的安全漏洞，让您容易受到攻击

除了危险链接之外，许多用户也让自己处于危险之中。 仅仅因为疏忽了安全配置，就可能导致攻击。Check Point 自己也汇总了一些非常常见的错误，这些错误会增加攻击者劫持您的帐户或利用您的个人信息的风险。

• 不要激活两步验证此功能会添加第二个安全 PIN 码，当有人尝试在新设备上注册您的号码时，系统会要求您输入该 PIN 码。这意味着即使攻击者获得了您的短信验证码，他们也无法在不知道 PIN 码的情况下完成登录过程。您可以在“设置”>“帐户”>“两步验证”中启用此功能。
• 共享实时位置而无法控制虽然这个功能对于安排与朋友见面或告知他们你已安全到达非常实用，但如果长时间开启，或者与你不完全信任的人一起使用，可能会泄露太多关于你日常生活的信息。最好只在必要时使用，并在不再需要时立即关闭。
• 在任何类型的网络上保持照片、视频和文档的自动下载。如果您不加筛选地接受所有内容，恶意文件或旨在利用漏洞的文档就更容易漏网。您可以在“设置”>“存储和数据”中限制自动下载，并手动选择要保存的文件。
• 未查看个人资料隐私设置和状态允许任何人查看您的照片、个人简介或动态，可能会使他人更容易收集您的个人信息、冒充您认识的人，或利用这些信息进行定向攻击。理想情况下，您应该在“设置”>“隐私”中调整谁可以查看您的信息，限制只有您的联系人或特定列表才能访问。
• 没有 保持 WhatsApp 应用更新 定期检查手机上授予的权限（例如访问摄像头、麦克风、联系人等）。每次更新通常都包含安全补丁，用于修复可利用的漏洞，而不必要的权限可能会成为漏洞出现或恶意应用试图利用漏洞时的入口。

如何识别 WhatsApp 内外的恶意链接

恶意链接并非仅限于 WhatsApp。他们可以通过电子邮件、短信、社交媒体、误导性广告、论坛评论，甚至二维码联系你。然而，套路通常都一样：信息传递仓促，优惠好得令人难以置信，或者营造一种紧迫感，诱使你不假思索地点击。

恶意链接通常是出于某种目的而创建的URL。 将您重定向到欺诈网站、下载恶意软件或窃取您的凭据这些网站的外观通常模仿银行、知名商店或热门服务，但当你查看确切地址时，你会发现奇怪的域名、更改的字母或不寻常的后缀，例如 .xyz、.top 或其他与官方域名不符的后缀。

我们还需要注意…… 缩短的网址 （例如 bit.ly、TinyURL 等），因为它们会隐藏实际重定向到的地址。攻击者利用它们来伪装可疑域名，防止用户轻易识别恶意网站。许多二维码也是如此：只需扫描一个二维码，如果您没有安装能在打开前显示网址的应用程序，就可能在不知不觉中访问到被入侵的网站。

一段关系可能存在危险的典型迹象包括： 随附信息中的拼写或语法错误使用“客户”或“用户”等通用名称而非您的真实姓名，以及不切实际的促销活动（例如“参与即可赢取iPhone”），这些都是常见的诈骗手段。尽管网络犯罪分子越来越专业化，这些细节也越来越谨慎，但许多暴露骗局的错误仍然会悄然出现。

为了降低风险，建议利用一些免费工具，例如： VirusTotal、Google 安全浏览、PhishTank 或 URLVoid所有这些服务都允许您在打开 URL 之前对其进行分析，检查其是否已被报告存在恶意软件、网络钓鱼或其他可疑活动。对于短链接，像 Unshorten.It 这样的服务可以帮助您在无需加载最终页面的情况下查看实际目标地址。

通过应用这些准则，并将其与 WhatsApp 内部针对可疑链接的警报相结合， 这样可以大大降低成为诈骗受害者的概率。无论是在聊天中还是在浏览其他数字渠道时，这类陷阱都比比皆是。

WhatsApp网页版及其应用内链接的安全问题 这取决于技术、常识和最佳实践的结合：使用代码验证等扩展程序来确保您访问的是正确的网站；尽量减少第三方应用程序和扩展程序的使用；警惕与上下文不符的链接和文件；启用平台自身的安全选项；并保持设备更新。如果您将这些习惯融入到您的数字生活中，您就能更安心地浏览网页和聊天。