Contul dvs. WhatsApp este foarte ușor de dezactivat pentru străini

Cercetătorii au descoperit că este alarmant de ușor să blochezi pe cineva din contul lor WhatsApp, chiar și cu autentificarea cu doi factori (2FA) activată.

Așa cum am menționat pentru prima dată înainte Forbes, Dezactivarea contului necesită exploatarea a două procese WhatsApp destul de slabe. Deși acest lucru nu este la fel de rău ca hacking-ul live al acestuia, rămâne totuși îngrijorător faptul că este ușor să blochezi pe oricine din contul lor WhatsApp.

Este demn de remarcat faptul că WhatsApp vă permite să căutați orice număr de telefon pentru a vedea dacă este conectat la un cont WhatsApp. Nu vă puteți dezabona de la această căutare, așa că nu trebuie decât să vă știe numărul pentru a vă altera contul.

Acum, să aruncăm o privire la modul în care funcționează această vulnerabilitate.

Exploatați contul WhatsApp nr. 1

Primul este legat direct de numărul dvs. de telefon. Pentru a configura WhatsApp pe telefon (fie pentru prima dată, fie când comutați dispozitivele), va fi atribuit un cod din șase cifre în scopul verificării.

Problema aici este că nimic nu împiedică un actor rău să introducă numărul dvs. de telefon în aplicație, chiar dacă îl aveți deja.

Acest lucru va avea ca rezultat trimiterea textelor de cerere de jeton. Dacă ați crezut că acest lucru îl va opri pe atacator, vă înșelați. Nu au nevoie de coduri de verificare.

Iata de ce.

Există o limită a procesului de verificare. După ce a solicitat codurile de un anumit număr de ori, contul WhatsApp al atacatorului va spune: „Ați ghicit de câteva ori … Încercați din nou peste 12 ore”.

Așa este, va fi trimis la telefonul atacatorilor, nu la al tău. În acest moment, dacă nu înregistrați cererea de jeton, este posibil să nu observați nimic din acest lucru.

Și dacă observați, este prea târziu. Atacatorul v-a blocat capacitatea de a trimite noile coduri pentru a schimba dispozitivul.

Exploatarea contului nr. 2

Acum trecem la pasul următor: interzicerea contului dvs.

Ei pot face acest lucru creând o adresă de e-mail și un e-mail fals [email protected] Despre un cont pierdut / furat.

Ca Forbes În exemplul său, indică el, tot ce are nevoie atacatorul este să vă citeze numărul de telefon și cere WhatsApp să dezactiveze contul.

Nu există nicio verificare în acest sens, iar contul va fi probabil dezactivat (deși se speră că aceste schimbări vor avea loc în curând acum, când aceste defecte au fost dezvăluite).

De aici, WhatsApp nu va mai funcționa pe telefonul dvs. Mesajul automat scrie „Numărul dvs. de telefon nu mai este înregistrat în WhatsApp pe acest telefon”. „Acest lucru se poate datora faptului că l-ați înregistrat pe alt telefon. Dacă nu ați făcut-o, verificați numărul de telefon pentru a vă conecta din nou la contul dvs.”

Dar cu siguranță vă puteți verifica numărul din nou, așa cum spune mesajul automat? Nu. Deoarece codurile de verificare au fost blocate timp de 12 ore, așa cum se arată în exploit.

„Am încercat să mă înregistrez [number] Recent, „Aplicația va citi.” Așteptați înainte de a solicita un SMS sau un apel.

Dar asta nu înseamnă că puteți obține pur și simplu codul de verificare după încheierea numărătorului invers de 12 ore? Da, dar aici încep adevăratele probleme.

După cum au descoperit cercetătorii, dacă un atacator a repetat acest ciclu de 12 ore de trei ori, a apărut o mare vulnerabilitate de securitate. Aplicația nu va mai spune că trebuie să așteptați 12 ore. Acum va spune:

Ați ghicit de câteva ori … încercați din nou în -1 sec.

Dacă atacatorul știe ce face, va aștepta până la acest al treilea ciclu pentru a trimite un e-mail către serviciul de asistență WhatsApp pentru a dezactiva numărul, deoarece nu veți putea să îl reînregistrați pur și simplu din cauza acestei ciudate erori.

Nu știm dacă sau când va fi remediat acest lucru

Forbes Am vorbit cu WhatsApp despre această problemă și nu pare să se facă prea multe despre asta.

Un purtător de cuvânt al postării a spus: „Furnizarea unei adrese de e-mail cu un proces de verificare în doi pași ajută echipa noastră de servicii pentru clienți să asiste oamenii în cazul în care se confruntă cu această problemă puțin probabilă în orice moment”.

„Circumstanțele identificate de acest cercetător încalcă condițiile noastre de furnizare a serviciilor și încurajăm pe oricine are nevoie de ajutor să trimită un e-mail echipei noastre de asistență, astfel încât să putem investiga”.

Acesta este doar cel mai recent hit pentru WhatsApp. În ianuarie, o modificare a politicii sale de confidențialitate a dus la Ieșirea în masă a utilizatorilor din aplicație. Și pe această notă, dacă sunteți în căutarea unei aplicații alternative de mesagerie sigure, Avem un pic pentru tine aici.