Νέα απάτη στο WhatsApp με δόλωμα διαγωνισμό – Τι να προσέξετε

Μία νέα μέθοδος απάτης μέσα από την εφαρμογή WhatsApp έφτασε και στη χώρα μας, όπου με πρόσχημα την ψηφοφορία σε κάποιον διαγωνισμό οι δράστες αποκτούν πρόσβαση στον λογαριασμό των θυμάτων.

Πώς λειτουργεί η απάτη

Το μήνυμα φτάνει στο WhatsApp, υποτίθεται, από κάποιον φίλο ή γνωστό σας και ζητά μια μικρή χάρη: να ψηφίσετε σε έναν διαδικτυακό διαγωνισμό χορού, ώστε να κερδίσει η κόρη μιας φίλης του.

Ωστόσο, ο σύνδεσμος δεν οδηγεί σε πραγματική ψηφοφορία. Το ελβετικό Εθνικό Κέντρο Κυβερνοασφάλειας (NCSC) περιγράφει μια ψεύτικη σελίδα που μοιάζει με πραγματική σελίδα ψηφοφορίας ή σχολείου, ενώ τα μηνύματα δημιουργούν πίεση χρόνου, με φράσεις του τύπου «η ψηφοφορία λήγει σύντομα». Το πρόσχημα μπορεί να είναι διαφορετικό ανά περίπτωση, καθώς έχουν αναφερθεί παραλλαγές με παράσταση μπαλέτου, διαγωνισμό σκύλων ή σχολική εκδήλωση.

Το μήνυμα φαίνεται αληθινό επειδή προέρχεται πράγματι από μια επαφή σας, που, όμως, έχει ήδη πέσει θύμα της απάτης και ο λογαριασμός έχει συνήθως ήδη καταληφθεί. Έτσι η απάτη περνά από λογαριασμό σε λογαριασμό. Η μέθοδος αυτή είχε καταγραφεί στην Ελβετία από τον Μάιο και στις ΗΠΑ τον Αύγουστο, πρόκειται, επομένως, για διεθνές κύμα που έφτασε τώρα και στην Ελλάδα.

Οι δύο παγίδες και τι κερδίζουν οι δράστες

Η απλή ανάγνωση του μηνύματος δεν σημαίνει ότι έχει παραβιαστεί ο λογαριασμός. Ωστόσο, το μήνυμα συνήθως συνοδεύεται από κάποιον σύνδεσμο για την ψεύτικη σελίδα, η οποία, όπως αναφέρεται, προσφέρει συνήθως δύο τρόπους να «ψηφίσετε», και οι δύο επικίνδυνοι:

1. Κωδικός SMS. Σας ζητούν τον αριθμό κινητού και έπειτα έναν κωδικό που θα λάβετε με SMS. Στην πραγματικότητα είναι ο εξαψήφιος κωδικός εγγραφής του WhatsApp, με τον οποίο οι δράστες στήνουν τον λογαριασμό σας στη δική τους συσκευή.
2. QR code. Η σελίδα σας καλεί να ανοίξετε το WhatsApp, να μπείτε στις «Συνδεδεμένες συσκευές» και να σκανάρετε έναν κωδικό. Έτσι συνδέετε εσείς οι ίδιοι τη συσκευή τους με τον λογαριασμό σας, μέσω της λειτουργίας που χρησιμοποιείται κανονικά για το WhatsApp Web.

Και στις δύο περιπτώσεις οι δράστες αποκτούν πλήρη έλεγχο: λίστα επαφών, ιστορικό μηνυμάτων, φωτογραφίες και ομάδες. Στη συνέχεια, στέλνουν από τον λογαριασμό σας το ίδιο μήνυμα σε όλες τις επαφές σας και μπορούν να τον χρησιμοποιήσουν για νέες απάτες ή για παραπληροφόρηση σε ομάδες.

Η εταιρεία κυβερνοασφάλειας Malwarebytes επισημαίνει ότι, επειδή δεν γίνεται κανονική σύνδεση με κωδικό, δεν εμφανίζεται κάποια ειδοποίηση παραβίασης. Έτσι, αν δεν ελέγξετε τις συνδεδεμένες συσκευές, η παραβίαση μπορεί να περάσει απαρατήρητη για καιρό.

Τι να κάνετε αν έχετε πατήσει τον σύνδεσμο

Το ελβετικό Εθνικό Κέντρο Κυβερνοασφάλειας (NCSC) παρέχει οδηγίες για την περίπτωση που έχετε προχωρήσει τη διαδικασία και ο λογαριασμός σας έχει εκτεθεί.

1. Αν έχετε ακόμη πρόσβαση στην εφαρμογή: μπείτε στις Ρυθμίσεις > Συνδεδεμένες συσκευές, πατήστε κάθε άγνωστο πρόγραμμα περιήγησης ή συσκευή και επιλέξτε «Αποσύνδεση». Αν υποψιάζεστε παραβίαση, η Malwarebytes συνιστά αποσύνδεση όλων των συσκευών.
2. Αν σας έχουν αποσυνδέσει από την εφαρμογή: συνδεθείτε ξανά με τον αριθμό σας. Θα λάβετε νέο εξαψήφιο κωδικό με SMS και μόλις τον εισαγάγετε, οι δράστες αποσυνδέονται αυτόματα.
3. Αν οι δράστες έχουν ορίσει δικό τους PIN επαλήθευσης δύο βημάτων, θα χρειαστεί να περιμένετε επτά ημέρες πριν συνδεθείτε χωρίς αυτό.
4. Ορίστε δικό σας PIN επαλήθευσης δύο βημάτων μόλις ανακτήσετε τον λογαριασμό (Ρυθμίσεις > Λογαριασμός > Επαλήθευση δύο βημάτων).
5. Ειδοποιήστε τις επαφές σας από άλλο κανάλι (SMS, τηλεφώνημα, email): να αγνοήσουν μηνύματα από εσάς και να μην πατήσουν συνδέσμους.

Αν έχετε δώσει προσωπικά ή οικονομικά στοιχεία ή έχετε χάσει χρήματα, μπορείτε να υποβάλετε καταγγελία στη Διεύθυνση Δίωξης Ηλεκτρονικού Εγκλήματος της Ελληνικής Αστυνομίας, που δέχεται καταγγελίες για κυβερνοεγκλήματα.

Πώς παραμένετε ασφαλείς

• Διατηρήστε την αμφιβολία για «ψηφοφορίες» και διαγωνισμούς μέσω μηνυμάτων, ακόμη και από στενούς φίλους. Καλό είναι να επιβεβαιώσετε το αίτημα με τον αποστολέα από άλλο κανάλι, π.χ. τηλεφωνικά.
• Ο εξαψήφιος κωδικός του WhatsApp δεν δίνεται σε κανέναν και δεν εισάγεται ποτέ σε άγνωστες ιστοσελίδες.
• Συνδεδεμένες συσκευές επιτρέπονται μόνο όταν εσείς ξεκινάτε τη διαδικασία, για παράδειγμα για WhatsApp Web στον δικό σας υπολογιστή. Ποτέ μην σκανάρετε QR code που σας στάλθηκε ή εμφανίζεται σε άγνωστη σελίδα.
• Επαλήθευση δύο βημάτων: ορίστε PIN από τις Ρυθμίσεις > Λογαριασμός > Επαλήθευση δύο βημάτων, ώστε να μην μπορεί κανείς να στήσει τον λογαριασμό σας σε άλλη συσκευή χωρίς αυτό.
• Τακτικός έλεγχος σε Ρυθμίσεις > Συνδεδεμένες συσκευές και αποσύνδεση όσων δεν αναγνωρίζετε.