WhatsApp ma niezałataną lukę. Można manipulować czatami grupowymi

WhatsApp, najpopularniejszy komunikator świata, ma poważną lukę. Specjaliści pokazali, jak można się pod ciebie podszyć w czacie grupowym. To otwiera drogę do oszustw, dezinformacji i ataków kierowanych przeciwko konkretnej osobie. Luka została odkryta rok temu i wciąż można ją wykorzystać.

Analitycy, którzy znaleźli lukę w komunikatorze, wymyślili też kilka sposobów na jej wykorzystanie. Jednym z nich jest wkładanie słów w twoje usta… o ile można tak powiedzieć przy komunikacji tekstowej. Cyberprzestępcy mogą wysyłać wiadomości, które będą wyglądały, jakby pochodziły od ciebie.

Są dwa sposoby na oszustwo. Atakujący może wykorzystać cytowanie w rozmowie grupowej i zmienić identyfikator użytkownika na swój. Tekst napisany przez ciebie będzie wtedy wyglądał jak wiadomość od niego. Nie musisz nawet być członkiem tej grupy.

Drugi sposób to podmiana tekstu w twojej odpowiedzi. To, co napisałeś, może być edytowane przez atakującego przy cytowaniu. Oryginalna wypowiedź, którą widzisz, pozostanie bez zmian, ale do adresata cytatu dotrze wersja zmodyfikowana.

Podatność znaleźli analitycy z firmy Check Point. Efekty działania exploitów pokazali podczas konferencji dla etycznych hakerów „Black Hat” w USA.

Dodatkowo specjaliści znaleźli sposób na oszukiwanie przez mieszanie wiadomości prywatnych i publicznych. Ta luka została już załatana przez Facebooka i nie stwarza zagrożenia. Dwie podatności opisane powyżej prawdopodobnie nie zostaną załatane, przynajmniej nie w najbliższym czasie.

Zawodowi hakerzy poinformowali Facebooka rok temu. Naprawienie wad cytowania jest jednak z punktu widzenia Facebooka „niepraktyczne”. Szyfrowanie rozmów end-to-end w tym przypadku jest wadą komunikatora. Atak podmieniający treść wiadomości wykorzystuje fakt, że uczestnicy czatu mają dostęp do odszyfrowanej wersji wiadomości. Facebook zaś nie ma do niej dostępu, więc nie może sprawdzić, czy została zmieniona.

Na szczęście przeprowadzenie ataku wymaga czegoś więcej niż cytowania kogoś w rozmowie. Atakujący muszą najpierw przechwycić klucze kryptograficzne. Mogą to zrobić przy parowaniu WhatsAppa w przeglądarce z telefonem z użyciem kodu QR.

Klucz prywatny i klucz publiczny są generowane tuż przed pokazaniem kodu QR. Po zeskanowaniu kodu aplikacja na telefonie przesyła tajny parametr do aplikacji w przeglądarce. Ten zestaw pozwala w locie odszyfrować wiadomości wysyłane przez WhatsApp.

Następnie atakujący musi skupić się na przechwytywaniu ruchu sieciowego z twoimi rozmowami grupowymi. Te dane pomogą przygotować narzędzia do manipulowania twoimi wypowiedziami.

Ryzyko, że ta luka będzie wykorzystywana do prawdziwych ataków, jest niskie. Nie jest to jednak niemożliwe. Im więcej osób rozmawia w grupie, tym mniej bezpieczny jest czat.