Masz WhatsApp? Ten jeden domyślny parametr może otworzyć drzwi hakerom

Miliony osób korzystają z grup na WhatsAppie każdego dnia, nie wiedząc, że pewne domyślne ustawienie może ułatwić atak cyberprzestępcy.

Chodzi o funkcję, która działa w tle od pierwszego uruchomienia aplikacji. Nie widać jej w codziennym użyciu, a mimo to może przesądzić o tym, czy złośliwy plik spokojnie wyląduje w pamięci telefonu, czy zostanie zatrzymany, zanim zrobi szkody.

Grupy na WhatsAppie: wygoda, która ma swoją cenę

WhatsApp stał się dla wielu osób podstawowym komunikatorem. Mamy grupy rodzinne, paczki znajomych, wątki służbowe, lokalne społeczności, czasem nawet kilka grup dotyczących tego samego tematu. Aplikacja zachęca do tworzenia nowych konwersacji zbiorowych, bo to szybkie i wygodne.

Problem zaczyna się w momencie, gdy ktoś dodaje cię do nowej grupy bez twojej świadomej zgody. W praktyce wystarczy, że ma twój numer w kontaktach. Nagle widzisz dziesiątki wiadomości, nieznane osoby na liście członków i swój numer telefonu widoczny dla wszystkich uczestników konwersacji.

Taka sytuacja nie jest obojętna z punktu widzenia prywatności. W grupie, w której są obce osoby, udostępniasz im między innymi:

• swój numer telefonu,
• zdjęcie profilowe (jeśli masz je ustawione jako widoczne),
• status, opis oraz informacje o aktywności.

Dla większości użytkowników kończy się to co najwyżej irytacją i spamem. Dla bardziej zdeterminowanych przestępców to wygodny punkt startowy do phishingu, podszywania się pod znajomych czy wyłudzania danych.

Nowa grupa jako narzędzie ataku

Analitycy z zespołu Project Zero Google oraz firmy Malwarebytes opisali scenariusz, który pokazuje, jak groźna potrafi być kombinacja dwóch rzeczy: łatwego dodawania do grup i domyślnych ustawień pobierania plików.

Z ich ustaleń wynika, że napastnik potrzebuje jedynie jednego kontaktu ofiary, by dodać ją do świeżo utworzonej grupy. Gdy ma listę numerów, może tworzyć hurtowo nowe konwersacje i masowo zapraszać kolejne osoby.

Specjaliści podkreślają, że po zdobyciu listy potencjalnych celów odtworzenie takiego schematu działania nie wymaga zaawansowanych umiejętności technicznych.

Najbardziej narażone są osoby, które w pracy lub życiu publicznym mają styczność z wrażliwymi informacjami: pracownicy administracji, bankowości, służby zdrowia, osoby odpowiedzialne za infrastrukturę firmową. To właśnie z ich urządzeń napastnicy chcą wyciągnąć dane, hasła czy dostęp do innych systemów.

Ukryty problem: automatyczne pobieranie plików

Kluczowe w całej historii jest ustawienie działające w tle. Malwarebytes tłumaczy, że luka związana była z tym, jak WhatsApp na Androidzie traktuje pliki multimedialne wysyłane do grup. W nowo utworzonej konwersacji przestępca mógł wrzucić specjalnie spreparowany plik, który aplikacja pobierała automatycznie.

Taki złośliwy plik multimedialny mógł zostać pobrany bez jakiejkolwiek reakcji ze strony użytkownika i posłużyć jako nośnik ataku.

Nie trzeba było nic klikać ani otwierać. Sam fakt, że opcja automatycznego pobierania była aktywna, wystarczał, żeby plik wylądował w pamięci telefonu. Od tego momentu atakujący mogli próbować wykorzystać błędy w sposobie, w jaki system lub aplikacja przetwarzają treść tego pliku.

WhatsApp poinformował, że błąd został załatany, a aktualna wersja aplikacji powinna przed tym scenariuszem chronić. To jednak nie zwalnia z myślenia o ustawieniach. Automatyczne pobieranie multimediów nadal niesie ze sobą dodatkowe ryzyko, szczególnie w grupach, do których nie prosiłeś o dostęp.

Jak zmienić ustawienia grup, żeby utrudnić atak

Dobra wiadomość jest taka, że każdy użytkownik może ograniczyć zarówno to, kto go dodaje do rozmów grupowych, jak i to, jak zachowuje się aplikacja, gdy w grupie pojawiają się pliki.

Ogranicz osoby, które mogą dodać cię do grupy

W ustawieniach WhatsAppa znajduje się opcja pozwalająca kontrolować dodawanie do nowych czatów grupowych. Domyślnie często ustawiona jest na wariant, w którym praktycznie każdy może cię zaprosić. Warto to zmienić na bardziej restrykcyjny schemat:

Taka zmiana nie sprawi, że znikną wszystkie ryzyka, ale mocno utrudni niechciane dodawanie przez osoby całkowicie obce.

Wyłącz automatyczne pobieranie multimediów

Drugi, równie ważny krok to ograniczenie tego, co dzieje się z plikami przesyłanymi na czaty grupowe.

Aby zmienić te opcje, przejdź do sekcji związanej z pamięcią i transferem danych. Tam możesz wyłączyć automatyczne pobieranie lub ograniczyć je do określonych typów połączeń. Każdy plik będzie wtedy wymagał twojego potwierdzenia.

Im mniej rzeczy dzieje się w komunikatorze „samo z siebie”, tym mniejsze pole manewru pozostaje dla złośliwych załączników.

Aktualizacje aplikacji to pierwszy filtr bezpieczeństwa

Twórcy WhatsAppa przekazali, że stosowna poprawka jest już dostępna i trafia do użytkowników przez standardowe aktualizacje. W praktyce oznacza to, że warto regularnie sprawdzać, czy w sklepie Google Play lub odpowiednim sklepie z aplikacjami nie czeka nowa wersja.

Aktualizacje rzadko budzą emocje, bo kojarzą się raczej z kosmetycznymi zmianami interfejsu. W tle często łatają jednak poważne luki, które dla cyberprzestępców byłyby prawdziwą furtką do urządzeń.

Na co jeszcze uważać w grupach WhatsApp

Sama zmiana ustawień to jedno. Dobrze jest też wyrobić sobie kilka nawyków związanych z zachowaniem na czatach, szczególnie zbiorowych:

• Nie klikaj w linki, które pojawiają się nagle, bez kontekstu, zwłaszcza gdy zachęcają do szybkiego logowania lub „aktualizacji konta”.
• Nie udostępniaj w grupach danych logowania, kodów z SMS czy skanów dokumentów, nawet jeśli ktoś przedstawia się jako pracownik banku lub firmy kurierskiej.
• Zwracaj uwagę na nowe osoby w grupach. Gdy pojawia się wielu nieznajomych, a temat rozmowy robi się podejrzany, rozważ wyjście z takiej konwersacji.
• Sprawdzaj, jakie zdjęcie profilowe widzą osoby spoza twojej książki adresowej – czasem warto ograniczyć jego widoczność.

Komunikatory stały się naturalnym przedłużeniem naszej codzienności. Przez WhatsAppa przechodzą zaproszenia, zdjęcia dzieci, dokumenty z pracy i rozmowy rodzinne. Właśnie dlatego warto poświęcić kilka minut na przejrzenie ustawień, zamiast liczyć na to, że ktoś „z góry” zadba o wszystko.

Dobrą praktyką jest też regularne czyszczenie pamięci komunikatora, usuwanie starych grup i porządkowanie listy kontaktów. Mniej niepotrzebnych konwersacji to mniejsza szansa, że złośliwy plik lub podejrzany link po prostu zginie w natłoku wiadomości i przejdzie przez nasze filtry ostrożności bez refleksji.