פרשת אוריך חשפה את הסכנות בווטסאפ: כך תגנו על ההתכתבויות שלכם
נקודות עיקריות.כלכליסט AI
- חשיפת הודעותיו של יונתן אוריך נבעה משימוש בשירות צד ג' לא מאובטח מאיחוד האמירויות ומפרסום קוד רגיש באתר גיטהאב.
- שיחות הווטסאפ מוצפנות מקצה לקצה והסיכון למשתמש הממוצע נמוך מאוד, כל עוד הוא נמנע ממתן גישה לגורמים חיצוניים לא מוכרים.
- מומלץ להפעיל אימות דו-שלבי בהגדרות האפליקציה ולבצע בקרה תקופתית על רשימת המכשירים המקושרים לחשבון כדי למנוע פריצות והשתלטות.
חשיפת תכתובות הווטסאפ של יונתן אוריך, יועצו של ראש הממשלה נתניהו, העלתה חששות בקרב משתמשים באפליקציה, ובפרט – האם זה יכול לקרות גם לי? ווטסאפ היא כיום מרכז התקשורת המרכזי של חיי היומיום שלנו; אנחנו מנהלים שם תכתובות שוטפות ואינטימיות עם בני משפחה וחברים, מתקשרים עם עמיתים לעבודה, צורכים מידע מקבוצות, פונים לשירות לקוחות ועוד. דליפה וחשיפה של מידע זה יכולה להיות מקור למבוכה במקרה הטוב, פתח לגניבת זהות ונזק כספי במקרה הרע.
אבל המקרה של אוריך הוא מקרה קיצון, ובעבור המשתמש הרגיל הסיכון לדליפת מידע דומה נמוך במיוחד, ושואף לאפס אם ננקטים כמה אמצעי זהירות בסיסיים.
עדיין לא ברור איך נחשפו שיחות הווטסאפ של אוריך, אבל כפי שנחשף בשבועות האחרונים בהארץ ובכלכליסט, הוא ביצע כמה מעשים שהפכו את החשבון שלו לפגיע במיוחד, שלא לומר הביא בעצמו לפריצתו. לפני כשבועיים נחשף בכלכליסט שאוריך חיבר את חשבון הוואטסאפ שלו לשירות ניהול של חברה מאיחוד האמירויות בשם ultramsg, וסיפק לשירות גישה מלאה ובלתי מוצפנת לכל התכתובות והמדיה שעברו בו. תכתובות אלו יכלו להיות נגישות גם לרשויות באיחוד האמירויות, הודות לחוקים מקומיים שמספקים להן גישה רחבה לתכנים מסוג זה ללא צורך בצו בית משפט. מאחורי השירות לא עומדת כנראה חברה מסודרת, אלא אדם פרטי שמתגורר או התגורר בעבר בסוריה ובסעודיה, כאשר יש אפשרות שאף ניהל מאחת מהן את השירות הבעייתי.
השימוש של אוריך ב-ultramsg התגלה בעקבות חשיפת עיתון הארץ, של קוד לכלי מעקב תקשורת שאוריך פיתח בעבור בני הזוג נתניהו. הכלי ניטר בזמן אמת אזכורים של בני הזוג בתקשורת, ובמקרה הצורך שלח התראות לקבוצות ווטסאפ ייעודיות. את הכלי פיתח אוריך באמצעות קלוד של אנתרופיק, והוא נחשף מכיוון שאוריך פרסם את הקוד באתר הפיתוח גיטהאב. הקוד חשף מידע סודי ופרטים טכניים שונים, וגם מזהים ייחודיים וטוקני התחברות לקבוצות הווטסאפ שאליהן נשלחו ההתראות, ששימוש בהם יכול לחשוף את חברי הקבוצה ומספריהם ולאפשר שאיבת תוכן הקבוצה ושליחת הודעות ממנה.
כל אחד מכשלים אלו – הקוד הלא מאובטח שנחשף בגיטהאב או חיבור חשבון הווטסאפ שלו לשירות לא אמין מאיחוד האמירויות – יכול היה להיות נקודת הכניסה או הצעד הראשון בהליך שאפשר את הדלפת ההתכתבויות של אוריך. ואף שמדובר בכשלים חמורים, הרלוונטיות שלהם למשתמש הקצה היא זניחה.
השיחות בווטסאפ מוצפנות מקצה-אל-קצה. כלומר, לאף אחד חוץ מהכותב ובן השיחה שלו (או חברי הקבוצה שבה הוא כותב), כולל ווטסאפ עצמה, אין אפשרות לראות את תוכן השיחה. המידע סמוי לחלוטין במעבר בין נקודות הקצה, וניתן לקריאה רק באפליקציה עצמה. גם אם תוקף יצליח ליירט את התקשורת בין שני המכשירים או לחדור לשרתי ווטסאפ ולנטר את התכתובות שעוברות דרכם, הוא לא יוכל לקרוא את המידע.
בהנחה שמשתמש אינו נוהג באופן חסר אחריות כמו אוריך, ומפרסם מידע רגיש בגיטהאב או נותן לשירות צד ג' גישה מלאה ובלתי מוגבלת לחשבון הווטסאפ שלו, היכולת של תוקף לגשת למידע זה מוגבלת מאוד. למעשה, הדרכים היחידות לקרוא תכנים של ווטסאפ הן באמצעות פרצה למכשיר הקצה של המשתמש (למשל, באמצעות כלי תקיפה כמו פגסוס של NSO), או באמצעות תרגיל הנדסה חברתית שייתן לתוקף אפשרות לנטר את החשבון או להשתלט עליו.
תרגיל זה יכול להתבצע במגוון דרכים. למשל, ניתן לגשת לחשבון הווטסאפ מהדפדפן באמצעות גלישה ל-https://web.whatsapp.com/ וסריקת קוד ה-QR באמצעות ווטסאפ. תוקף יכול להקים עמוד פישינג שמתחזה לשירות לגיטימי שדורש אימות בווטסאפ, וכך לשכנע את הקרבן לסרוק את הקוד ולהתחבר לחשבון שלו. בהשתלטות על חשבון יכול תוקף לתחמן את מנגנון האימות של ווטסאפ באמצעות הזנת מספר הטלפון של הקרבן כדי להתחבר לאפליקציה, ואז פנייה אליו (עם הודעה כמו "שלחתי בטעות קוד למספר שלך במקום למספר שלי") בבקשה שיעביר את הקוד שנשלח ב-SMS.
גם מול תרחישים אלו ניתן להתגונן. ראשית, באמצעות הפעלת שכל ישר והימנעות מפעולות כמו שליחת קוד שקיבלתם למספרכם לאדם אחר או סריקת QR באתרים לא מוכרים. בנוסף ניתן להפעיל מנגוני הגנה נוספים. בווטסאפ, בעמוד ההגדרות, אפשר להיכנס ל-Linked Devices ולראות את רשימת המכשירים שמקושרים לחשבון. יש מכשיר לא מוכר או שאינכם בטוחים? מחקו אותו.
כדי להקשות על השתלטות על החשבון יש להיכנס ל-Two-step verification ולהפעיל את אפשרות זו. תתבקשו לבחור סיסמה קצרה, שאותה יהיה חובה להזין בכל פעם שמבקשים להפעיל את ווטסאפ על סמארטפון חדש, בנוסף לקוד שנשלח ב-SMS.
ולבסוף, צריך לזכור: אם מישהו מתוחכם, מיומן ונחוש דיו החליט להפוך אתכם למטרה ולפרוץ לווטסאפ, לסמארטפון או לחשבון אישי אחר שלכם, סיכוי ההצלחה שלו גבוהים מאוד. אם יש לכם סיבה לחשוב שיש אדם או גורם כזה, צריך לשמור על ערנות ולהיזהר מכל בקשות לא שגרתיות או התנהגויות חריגות.
