לקרן וורך פרצו לווטאסאפ כשטיילה בדובאי עם משפחתה. לאחר מכן הפורץ שלח הודעות פישינג בשמה לאנשי הקשר שלה, וביקש מהם שישלחו לו את הקוד בן שש הספרות שנשלח אליהם בהודעה. בדרך זו גם הוואסטאפ שלהם נפרץ. את מספר הטלפון שלהם היה לו – והוא רק נזקק לקוד האימות שנשלח אליהם מהאפליקציה.
וורך עברה לישראל מקנדה, לכן היא השתמשה בוואטסאפ עם הסים והמספר הקנדי שלה, וניהלה שם, בין היתר, שיחות שקשורות לעבודתה. "היינו בדובאי עם בעלי והילדים, אני פותחת את הוואטסאפ עם הסים הקנדי, ורואה שקופצת לי הודעת פופאפ – הקוד הסודי נשלח אלייך בסמס. אם לא ביקשת אותו, את לא צריכה לעשות כלום ולא לתת אותו לאף אחד", היא מספרת ל-mako. "בפעם השלישית זה כבר היה מוזר, הבנתי שמישהו מנסה לפרוץ לי לוואטסאפ. נכנסתי לתמיכה של וואטסאפ, היה כתוב: 'לא צריך לדאוג, בלי קוד אימות - אי אפשר לגנוב את החשבון'. יכול להיות שמישהו מנסה לפתוח וואטסאפ עם מספר הטלפון שלו וכותב ספרה לא נכונה. הניסיונות התחילו מהבוקר, וכשנכנסתי בסביבות ארבע לוואטסאפ, ראיתי שאין לי יותר גישה אליו. אני מקבלת מסך שקורא לי להתקין וואטסאפ, כאילו אין לי. גנבו לי את החשבון".
בעקבות זאת, וורך כתבה הודעה בפייסבוק שלה שבה הסבירה לאנשי הקשר שלה שהוואטסאפ שלה נפרץ, ושאם הם מקבלים ממנה הודעות – זו לא היא. כפי שחזתה, בני משפחה, חברים ומכרים קיבלו ממנה את ההודעה שבה התבקשו לשלוח אליהם קוד בן שש ספרות. בערך חמישה מהם, ביניהם בן דודה והמורה של הבן שלה, נפלו בתרמית. היא מציינת שהיא חששה שיבקשו בשמה כסף, אך כל התכתובות ממנה בינתיים כללו רק את בקשת הסיסמה.
וורך מבהירה כי היא עצמה לא נתנה שום קוד וכי אין לה מושג איך נפרץ לה הטלפון. היא מציינת שלחברה שלה בקנדה פרצו במקביל אליה, באמצע הלילה, לוואטסאפ – גם היא קיבלה את אותן הודעות פופאפ המתריעות על כך, אבל בגלל שישנה לא יכלה לעשות איתן דבר. "כשהיא קמה בבוקר, היא לא הצליחה להיכנס לוואטסאפ. זה גם לא היו הבעל והילדים, כי הם ישנו באותו זמן".
בעקבות הפריצה וורך כתבה לוואטסאפ מייל וקיבלה תשובה גנרית. "נאמר לי שוואטסאפ קשור למספר אחד בלבד ולא יכולים לגנוב אותו, אם לא נתתי למישהו את הקוד הסודי. קופי פייסט מהאתר. זה לא המקרה, פרצו לי לוואטסאפ, ואני לא יכולה לקבל אותו חזרה", היא אומרת. "שלחתי להם עוד מייל. כתבתי להם, הם מפילים את אנשי הקשר שלי בפח, גונבים להם את הוואטסאפ, פשוט תחסמו אותו. ניסיתי אחר כך להתקין את הוואטסאפ מחדש עם המספר הקנדי, אבל הוא לא נתן לי אופציה להכניס את הסיסמה שמקבלים בסמס. הוא כתב שהיו יותר מדי ניסיונות כבר לנחש את הקוד וזה חסום עכשיו".
יש לך מושג מי פרץ לך?
"אין לי מושג, לא לי ולא לחברה בקנדה. אני מאמינה שזה התחיל מקנדה. לא נתנו את הקוד לאף אחד. לא הייתי נופלת בדבר הזה, אני מהאנשים שהכי מפחדים מהדברים האלה ומודעת לניסיונות עוקץ ברשת".
לאחר ששמעה מקרוביה על כך שניסו לעקוץ אותם או הצליחו, היא ביקשה מכולם לעשות אימות דו שלבי, ועשתה זאת גם בעצמה. "התייאשתי ופשוט התקנתי את הוואטסאפ על המספר הישראלי שלי. אני רואה את כל ההיסטוריה של השיחות עד לנקודה שלקחו לי את הוואטסאפ. בתמיכה הם ביקשו שאוכיח להם שזה המספר שלי שנפרץ. שלחתי להם חשבון מחברת סלולר מקנדה, שזה המספר שלי, מאז לא קיבלתי תשובה. אין לי מושג אם הוא חסום או לא חסום עכשיו".
מיי ברוקס-קמפלר, מומחית סייבר ואבטחת מידע ומנהלת קהילת "בטוחים אונליין", מסבירה שרוב הסיכויים שהפריצה הראשונית לוואטסאפ של וורך וחברתה נעשתה דרך התא הקולי. "הפורצים מנסים שוב שוב ושוב ואז הם מבקשים לשחזר את המספר דרך הודעה קולית. הם עושים את זה באמצע הלילה, מגיעה השיחה עם קוד האימות והיא עוברת לתא הקולי כי אתה ישן.
פריצה לתא קולי מתבססת על הזנת קוד האימות בתא הקולי. מרבית האנשים אינם מחליפים קוד זה ולכן ניתן להיכנס לתא הקולי מרחוק בקלות. אם אין שימוש בתא הקולי מומלץ להסירו, ובכל מקרה להחליף את קוד ההזדהות אליו.
לצערי, מספיקה שניה של חוסר תשומת לב והתוקפים מפתים לענות על ההודעה. זוהי הסיבה שמומלץ להוסיף אימות דו שלבי לוואטסאפ, כך קוד הזיהוי שנשלח לא מספיק כדי לפרוץ לחשבון, שהרי זה רק השלב הראשון".
- למה בעצם שיפרצו לוואטסאפ, אם לא כדי לבקש כסף?
ברוקס-קמפלר: "שאלה נהדרת, האמת שאף אחד לא ממש מבין את המוטיבציה, זו מתקפה שקיימת כבר שנתיים ולרוב משמשת כדי להגיע מאדם לאדם ומקבוצה לקבוצה. עלו חשדות כי זה חלק מקמפיינים שנועדו לפגוע המורל הציבורי ובביטחון הציבור בשימוש ברשת, אבל אלו רק תיאוריות למיטב ידיעתי".
איך עושים אימות דו שלבי בוואטסאפ?
פשוט מאוד. כנסו לאפליקציית וואטסאפ, לחצו על שלוש הנקודות - ולאחר מכן על "הגדרות".
לחצו על חשבון > אימות דו שלבי.
כאן תתבקשו לבחור קוד בן שש ספרות ולהזין את כתובת האימייל שלכם - וזה בעצם האימות הנוסף שלכם.