Uma nova campanha de cibercrime está a permitir o controlo remoto de contas do WhatsApp através de um ataque designado ‘GhostPairing’, que explora um mecanismo legítimo da aplicação que acaba por ser ativado pela própria vítima. O método dispensa o roubo de palavras-passe ou a duplicação do cartão SIM, tornando o ataque particularmente difícil de detetar.
De acordo com o ‘El Economista’, o golpe começa com o envio de uma mensagem aparentemente inofensiva, proveniente de um contacto conhecido da vítima. Nessa mensagem, o utilizador é alertado para a existência de uma suposta fotografia sua e convidado a clicar num link para a visualizar.
O link encaminha para uma página que imita o sistema de login do Facebook, onde é pedido o número de telefone. A partir daí, a vítima é conduzida a um processo que envolve a leitura de um código QR com o WhatsApp ou, mais frequentemente, a introdução de um código numérico para confirmar o acesso.
Segundo explicam investigadores da empresa de cibersegurança Gen Digital, estes passos levam o utilizador a realizar, sem o saber, a vinculação de um novo dispositivo à sua conta. Trata-se de uma funcionalidade legítima do WhatsApp, que permite associar até quatro dispositivos adicionais ao telefone principal, incluindo navegadores através do WhatsApp Web ou da aplicação para Windows.
É precisamente essa funcionalidade que é abusada neste ataque. O cibercriminoso consegue abrir o WhatsApp Web num navegador sob seu controlo, mas do ponto de vista da plataforma parece que foi o próprio utilizador quem autorizou a ligação. É esta associação invisível que dá origem ao nome do ataque, GhostPairing, sublinha o ‘El Economista’.
Uma vez estabelecido o acesso, o atacante passa a dispor das mesmas permissões de qualquer utilizador legítimo do WhatsApp Web. Isso inclui o acesso ao histórico de conversas, a receção de mensagens em tempo real, o descarregamento de documentos e ficheiros multimédia, bem como o envio de novas mensagens.
Este último ponto permite que o ataque se propague, uma vez que o cibercriminoso pode contactar outros utilizadores a partir da conta comprometida, utilizando a lista de contactos da vítima. Todo o processo decorre sem que haja qualquer violação direta das credenciais de login ou manipulação do cartão SIM.
