Раскрытие переписки в WhatsApp Йонатана Уриха, советника премьер-министра Нетаньяху, вызвало опасения среди пользователей приложения, в частности — может ли это случиться и со мной? WhatsApp сегодня является центральным коммуникационным узлом нашей повседневной жизни; там мы ведем текущую и интимную переписку с членами семьи и друзьями, общаемся с коллегами по работе, получаем информацию из групп, обращаемся в службу поддержки и так далее. Утечка и раскрытие этой информации в лучшем случае могут стать источником смущения, а в худшем — открыть путь к краже личности и финансовому ущербу.
Но случай Орика является крайним случаем, и для обычного пользователя риск аналогичной утечки информации особенно низок и стремится к нулю, если предпринять несколько базовых мер предосторожности.
Все еще неясно, как были раскрыты переписки в WhatsApp Ориха, но, как стало известно в последние недели в изданиях «Гаарец» и «Калькалист», он совершил несколько действий, которые сделали его аккаунт особенно уязвимым, или даже сам привел к его взлому. Около двух недель назад в «Калькалист» было раскрыто, что Орих подключил свой аккаунт WhatsApp к сервису управления компании из Объединенных Арабских Эмиратов под названием ultramsg и предоставил сервису полный незашифрованный доступ ко всей переписке и медиафайлам, которые через него проходили. Эта переписка могла быть доступна также властям ОАЭ благодаря местным законам, которые предоставляют им широкий доступ к контенту такого типа без необходимости получения судебного ордера. За сервисом, вероятно, стоит не организованная компания, а частное лицо, которое живет или жило в прошлом в Сирии и Саудовской Аравии, при этом существует вероятность, что он управлял этим проблемным сервисом из одной из этих стран.
Использование Орихом сервиса ultramsg было выявлено после разоблачения газеты Haaretz кода инструмента для мониторинга СМИ, который Орихом разработал для супругов Нетаньяху. Инструмент в режиме реального времени отслеживал упоминания супругов в СМИ и, при необходимости, отправлял уведомления в специальные группы WhatsApp. Орихом разработал этот инструмент с помощью Claude от Anthropic, и он был раскрыт, так как Орихом опубликовал код на сайте для разработки GitHub. Код раскрыл секретную информацию и различные технические детали, а также уникальные идентификаторы и токены подключения к группам WhatsApp, в которые отправлялись уведомления; использование которых может раскрыть участников группы и их номера, а также позволить выкачивать содержимое группы и отправлять из нее сообщения.
Каждый из этих сбоев — небезопасный код, раскрытый на GitHub, или подключение его аккаунта WhatsApp к ненадежному сервису из ОАЭ — мог стать точкой входа или первым шагом в процессе, который сделал возможной утечку переписки Ориха. И хотя речь идет о серьезных сбоях, их актуальность для конечного пользователя ничтожна.
Чаты в WhatsApp зашифрованы сквозным методом. Это означает, что никто, кроме отправителя и его собеседника (или участников группы, в которой он пишет), включая саму компанию WhatsApp, не имеет возможности видеть содержимое переписки. Информация полностью скрыта при передаче между конечными точками и доступна для чтения только в самом приложении. Даже если злоумышленнику удастся перехватить связь между двумя устройствами или проникнуть на серверы WhatsApp и отслеживать проходящую через них переписку, он не сможет прочитать информацию.
При условии, что пользователь не ведет себя безответственно, как ваш Ори, не публикует конфиденциальную информацию на GitHub и не предоставляет стороннему сервису полный и неограниченный доступ к своему аккаунту WhatsApp, возможность злоумышленника получить доступ к этим данным крайне ограничена. На самом деле, единственными способами прочитать содержимое WhatsApp являются использование уязвимости в конечном устройстве пользователя (например, с помощью таких инструментов атаки, как Pegasus от NSO) или применение методов социальной инженерии, которые позволят злоумышленнику отслеживать аккаунт или захватить контроль над ним.
Это упражнение может быть выполнено различными способами. Например, можно получить доступ к аккаунту WhatsApp через браузер, перейдя по адресу https://web.whatsapp.com/ и отсканировав QR-код с помощью WhatsApp. Злоумышленник может создать фишинговую страницу, имитирующую легитимный сервис, требующий аутентификации через WhatsApp, и таким образом убедить жертву отсканировать код и подключиться к своему аккаунту. Захватив аккаунт, злоумышленник может обмануть механизм проверки WhatsApp, введя номер телефона жертвы для входа в приложение, а затем обратившись к ней (с сообщением вроде «Я случайно отправил код на ваш номер вместо своего») с просьбой переслать код, полученный по SMS.
От этих сценариев также можно защититься. Во-первых, используя здравый смысл и избегая таких действий, как отправка полученного на ваш номер кода другому человеку или сканирование QR-кодов на неизвестных сайтах. Кроме того, можно активировать дополнительные механизмы защиты. В WhatsApp на странице настроек можно зайти в Linked Devices и увидеть список устройств, связанных с аккаунтом. Есть неизвестное устройство или вы в нем не уверены? Удалите его.
Чтобы затруднить захват аккаунта, необходимо зайти в Two-step verification и активировать эту опцию. Вас попросят выбрать короткий пароль, который будет обязательно вводить каждый раз при попытке активировать WhatsApp на новом смартфоне, в дополнение к коду, отправленному по SMS.
И наконец, следует помнить: если кто-то достаточно искушенный, умелый и решительный решил сделать вас своей целью и взломать ваш WhatsApp, смартфон или другой ваш личный аккаунт, шансы на его успех очень высоки. Если у вас есть причина полагать, что такой человек или организация существует, необходимо сохранять бдительность и остерегаться любых необычных запросов или странного поведения.
