GhostPairing: accesso completo all'account WhatsApp

Gli esperti di Gen Digital (ex Symantec e NortonLifeLock) hanno scoperto una nuova campagna di hijacking, denominata GhostPairing, che prende di mira gli utenti di WhatsApp. L’obiettivo dei cybercriminali è ottenere l’accesso all’account, sfruttando la funzionalità di collegamento tra l’app mobile e la versione web o desktop del popolare servizio di messaggistica.

Come avviene il furto dell’account

Per comprendere il funzionamento di GhostPairing è necessaria una breve premessa. WhatsApp Web e la versione desktop permettono di usare lo stesso account dell’app mobile. L’utente deve solo effettuare il collegamento (pairing) all’account esistente. La modalità più nota prevede la scansione di un codice QR. La seconda opzione prevede l’uso di numero di telefono e codice alfanumerico.

I cybercriminali sfruttano quest’ultimo metodo. L’ignara vittima riceve un messaggio da un contatto fidato (presente nella rubrica) che include il link ad un sito (dove potrà vedere una sua foto). Il link sembra provenire da Facebook. In realtà è un dominio controllato dai cybercriminali.

Viene aperta una pagina di “verifica”, in cui l’utente deve inserire il suo numero di telefono. Il numero viene inoltrato alla reale pagina di login del servizio di messaggistica. WhatsApp invia quindi il suddetto codice che l’utente inserisce nell’app per completare la procedura di collegamento.

A questo punto, l’account della vittima viene collegato al browser dei cybercriminali che possono quindi leggere le conversazioni, ricevere/inviare nuovi messaggi, visualizzare e scaricare i contenuti multimediali, raccogliere le informazioni sensibili scambiate durante le conversazioni e ripetere lo stesso attacco a tutti i contatti.

L’unico modo per scoprire e rimuovere il collegamento è accedere alle impostazioni. L’accesso è persistente finché non viene revocato manualmente. I cybercriminali possono utilizzare le informazioni raccolte per varie attività illecite, come truffe, estorsioni e impersonificazioni. Mai aprire link ricevuti nei messaggi o inserire numeri di telefono in pagine web (anche se sembrano legittime).