Hacker’lar, WhatsApp hesaplarını bu biçimde ele geçiriyorlar Dijital risk muhafaza şirketi CloudSEK’in kurucusu ve CEO’su Rahul Sasi, kimi taşınabilir hizmetlerin sunduğu otomatik davet yönlendirmeyi ve sesli arama yoluyla tek seferlik parola (OTP) doğrulama kodu gönderme seçeneğini kullanan bir saldırganın neredeyse tüm WhatsApp hesaplarını ele geçirebileceğini keşfettiğini deklare etti.
Saldırıyı başarılı bir biçimde gerçekleştirmek için, korsanın evvel kurbanı İnsan-Makine Arayüzü (MMI) koduyla başlayan bir numarayı aramaya ikna etmesi gerekiyor. Bu numara çoklukla taşınabilir operatör tarafınca ayarlanıyor ve arama iletmeyi aktifleştirmek için kullanılıyor.
Numara, çoklukla bir yıldız yahut kare sembolü ile başlıyor. Bu kodlar kolaylıkla bulunuyor ve büyük taşınabilir ağ operatörlerinin birden fazla bunları destekliyor.
Bu numarayı aramak, gelecekteki tüm aramaları saldırganın sahip olduğu uç noktaya iletiyor. Bundan daha sonra, saldırgan kendi aygıtında WhatsApp kayıt sürecini başlatabileceği ve sesli arama yoluyla OTP’yi alabileceği için süreç nispeten kolaylaşıyor.
Bunu test eden BleepingComputer, birkaç ihtarla birlikte genel olarak işe yaradığını söylüyor. birinci vakit içinderda, saldırganın, sırf sınır meşgulken yapılan aramaları değil, tüm aramaları ileten bir MMI kodu kullanımı için kurbanı kandırması gerekiyor. Akabinde, kurbanın WhatsApp uygulamasının diğer bir aygıta kaydedildiğini bildiren kısa iletisi kaçıracak kadar uzun müddet meşgul olduğundan emin olmaları gerekiyor. Ayrıyeten, kurban esasen davet yönlendirmeyi etkinleştirmişse, saldırganlar “daha fazla toplumsal mühendislik gerektirebilecek küçük bir rahatsızlık” olan farklı bir telefon numarası kullanmalı. Yayın, sistemin Verizon ve Vodafone üzerinde çalıştığını doğruladı.
Saldırıyı başarılı bir biçimde gerçekleştirmek için, korsanın evvel kurbanı İnsan-Makine Arayüzü (MMI) koduyla başlayan bir numarayı aramaya ikna etmesi gerekiyor. Bu numara çoklukla taşınabilir operatör tarafınca ayarlanıyor ve arama iletmeyi aktifleştirmek için kullanılıyor.
Numara, çoklukla bir yıldız yahut kare sembolü ile başlıyor. Bu kodlar kolaylıkla bulunuyor ve büyük taşınabilir ağ operatörlerinin birden fazla bunları destekliyor.
Bu numarayı aramak, gelecekteki tüm aramaları saldırganın sahip olduğu uç noktaya iletiyor. Bundan daha sonra, saldırgan kendi aygıtında WhatsApp kayıt sürecini başlatabileceği ve sesli arama yoluyla OTP’yi alabileceği için süreç nispeten kolaylaşıyor.
Bunu test eden BleepingComputer, birkaç ihtarla birlikte genel olarak işe yaradığını söylüyor. birinci vakit içinderda, saldırganın, sırf sınır meşgulken yapılan aramaları değil, tüm aramaları ileten bir MMI kodu kullanımı için kurbanı kandırması gerekiyor. Akabinde, kurbanın WhatsApp uygulamasının diğer bir aygıta kaydedildiğini bildiren kısa iletisi kaçıracak kadar uzun müddet meşgul olduğundan emin olmaları gerekiyor. Ayrıyeten, kurban esasen davet yönlendirmeyi etkinleştirmişse, saldırganlar “daha fazla toplumsal mühendislik gerektirebilecek küçük bir rahatsızlık” olan farklı bir telefon numarası kullanmalı. Yayın, sistemin Verizon ve Vodafone üzerinde çalıştığını doğruladı.