פריצה לוואטסאפ דרך התא הקולי מתחילה כשמישהו מתקין WhatsApp על הטלפון שלו, מזין את המספר שלכם ומבקש לקבל את קוד האימות בשיחה קולית. אם לא עניתם, השיחה עוברת לתא הקולי, ואם הקוד של התא הקולי הוא ברירת מחדל או קל לניחוש, התוקף מאזין להודעה ומשתלט על החשבון. הפתרון: קוד חזק לתא הקולי ואימות דו-שלבי בוואטסאפ.
איך בדיוק עובדת הפריצה דרך התא הקולי?
התקיפה לא דורשת גישה לטלפון שלכם ולא תוכנה מיוחדת. היא מנצלת את תהליך ההרשמה הרגיל של WhatsApp. לפי מרכז העזרה של WhatsApp, קוד ההרשמה בן 6 הספרות נשלח ב-SMS, ומי שלא קיבל אותו יכול לבחור לקבל קוד חדש בשיחת טלפון. זו אפשרות לגיטימית שנועדה לעזור למשתמשים, והתוקף פשוט מנצל אותה:
- התוקף מתחיל הרשמה: הוא מתקין WhatsApp על המכשיר שלו ומזין את מספר הטלפון שלכם.
- הוא בוחר אימות בשיחה קולית: במקום ה-SMS שמגיע אליכם, הוא מבקש שהקוד יוקרא בשיחת טלפון.
- אתם לא עונים: אם השיחה מגיעה כשאתם לא זמינים, למשל בלילה או כשהטלפון כבוי, היא עוברת לתא הקולי והקוד נשמר שם כהודעה.
- התוקף מאזין מרחוק: תא קולי מאפשר בדרך כלל להאזין להודעות גם מרחוק בעזרת קוד סודי. אם הקוד לא שונה מברירת המחדל או שהוא פשוט, התוקף שומע את קוד האימות.
- ההשתלטות: WhatsApp מציינת שכאשר חשבון נרשם מחדש עם הקוד, כל המכשירים שהיו מחוברים אליו מנותקים. אתם בחוץ, והוא בפנים.
מערך הסייבר הלאומי תיאר את אותה שיטה בדיוק בהמלצות שפרסם להגנה על חשבונות טלגרם: האקרים מבקשים את קוד האימות בשיחת טלפון במקום ב-SMS, ומנצלים תא קולי שסיסמת ברירת המחדל שלו לא הוחלפה. אותו מנגנון עובד מול כל שירות ששולח קודים בשיחה קולית.
למה התא הקולי הוא החוליה החלשה?
אנשים רבים לא זוכרים שיש להם תא קולי בכלל, ובטח לא שינו את הקוד שלו. קוד שלא הוחלף, או רצף פשוט כמו 1234 או 0000, הוא בדיוק מה שתוקף ינסה ראשון.
גם WhatsApp כוללת את זה בעצות האבטחה שלה: היא ממליצה להגדיר לתא הקולי סיסמה שקשה לנחש, כדי למנוע ממישהו אחר גישה להודעות. במילים אחרות, האבטחה של חשבון הוואטסאפ שלכם תלויה גם בהגדרה שנמצאת אצל חברת הסלולר, מחוץ לאפליקציה.
הווריאציה של "תחייגו את הקוד הזה"
יש גרסה שלא צריכה את התא הקולי בכלל. מישהו מתקשר, מציג את עצמו כשליח או כנציג של חברה, ומבקש שתחייגו רצף שמתחיל בכוכבית או בסולמית ומסתיים במספר טלפון. רצפים כאלה יכולים להפעיל הפניית שיחות, ואז שיחת האימות של WhatsApp מגיעה ישר אליו. אם כבר חייגתם, פנו לחברת הסלולר ובקשו לבדוק ולבטל הפניות שיחה פעילות.
במה זה שונה מ-SIM Swap?
בפריצה דרך התא הקולי המספר נשאר אצלכם, והתוקף רק שומע את הקוד. אם הטלפון פתאום איבד קליטה ואתם לא מקבלים שיחות ו-SMS בכלל, ייתכן שמדובר בתקיפה אחרת, שבה המספר הועבר לכרטיס SIM של התוקף. ההסבר המלא במדריך מה זה SIM Swap.
איך סוגרים את הפרצה?
ההגנה בנויה משתי שכבות: אחת אצל חברת הסלולר ואחת בתוך WhatsApp. כדאי לטפל בשתיהן, כי כל אחת לבד משאירה פתח.
שכבה ראשונה: התא הקולי
- החליפו את הקוד של התא הקולי לקוד ארוך שלא קשור לתאריך לידה, למספר הטלפון או לרצף פשוט.
- אם אתם לא משתמשים בתא הקולי, בררו מול חברת הסלולר אם אפשר לבטל אותו.
- ההוראות משתנות בין החברות, לכן היעזרו בשירות הלקוחות או בדף ההסבר באתר הרשמי של החברה שלכם, ולא במדריכים מקריים ברשת.
שכבה שנייה: אימות דו-שלבי ואימייל בוואטסאפ
אימות דו-שלבי מוסיף שלב שהתוקף לא יכול לשמוע בתא הקולי: סיסמה שרק אתם יודעים. לפי WhatsApp, מפעילים אותו דרך הגדרות (Settings) > חשבון (Account) > אימות דו-שלבי (Two-step verification), יוצרים סיסמה חזקה ומוסיפים כתובת אימייל. WhatsApp מציינת שהיא משדרגת את ה-PIN בן 6 הספרות לסיסמה, כך שייתכן שתראו אצלכם אחת משתי האפשרויות. ההסבר המלא במדריך אימות דו-שלבי בוואטסאפ.
את כתובת האימייל מוסיפים גם דרך הגדרות > חשבון > כתובת אימייל (Email address), ומאמתים בקוד שנשלח אליה. לפי WhatsApp, האימייל מאפשר לשחזר את החשבון גם בלי SMS או שיחה. אפשר להוסיף גם מפתח גישה (Passkey), שמקשר את הכניסה לטביעת האצבע, לזיהוי הפנים או לנעילת המסך.
| אמצעי הגנה | מה הוא חוסם | איפה מגדירים |
|---|---|---|
| קוד חזק לתא הקולי | האזנה מרחוק לשיחת האימות | חברת הסלולר |
| ביטול התא הקולי, אם לא משתמשים בו | שיחה שלא נענתה לא נשמרת כהודעה | חברת הסלולר |
| אימות דו-שלבי | כניסה לחשבון עם קוד ההרשמה בלבד | WhatsApp: הגדרות > חשבון |
| כתובת אימייל | אובדן גישה כשאין SMS או שיחה | WhatsApp: הגדרות > חשבון |
| סירוב לחייג קודים שזר הכתיב | הפניית שיחות לטלפון של התוקף | אצלכם, בכל שיחה |
פרצו לכם לוואטסאפ דרך התא הקולי? כך מחזירים את החשבון
פעלו מהר. מערך הסייבר הלאומי מזהיר שאם אין לכם אימות דו-שלבי, חשוב לפעול לפני שהתוקף מפעיל אותו בעצמו. אלה הצעדים לפי מדריך השחזור של WhatsApp:
- פתחו את WhatsApp בטלפון שלכם. הקישו Log back in ואז Continue, ואם תתבקשו, הזינו את מספר הטלפון המלא.
- הזינו את הקוד בן 6 הספרות שמגיע אליכם ב-SMS או בשיחה. לפי WhatsApp, ברגע שנרשמים מחדש עם הקוד, כל המכשירים שמחוברים לחשבון מנותקים אוטומטית, כולל המכשיר של התוקף.
- מתבקשת סיסמת אימות דו-שלבי שאינכם מכירים? ייתכן שהתוקף הפעיל אותה. WhatsApp מציינת שבמקרה כזה יש להמתין 7 ימים ולנסות שוב.
- הזהירו את אנשי הקשר. WhatsApp ממליצה לעדכן משפחה וחברים, כי התוקף עלול להתחזות אליכם בצ'אטים ובקבוצות. שלחו SMS או התקשרו, ובקשו לא להעביר כסף או קודים.
- סגרו את הפרצה מיד. החליפו את הקוד של התא הקולי, הפעילו אימות דו-שלבי, הוסיפו אימייל ובדקו את המכשירים המקושרים (Linked devices).
- דווחו. למערך הסייבר הלאומי בטלפון 119 או בטופס הדיווח המקוון. ראו גם המדריך המלא לדיווח ל-119.
שתי הערות חשובות של WhatsApp: החלפת סיסמה לא מוציאה מהחשבון מי שכבר השתלט עליו, רק הרשמה מחדש עם הקוד עושה זאת. ואם תדווחו על החשבון שאתם מנסים לשחזר, WhatsApp עלולה לחסום אותו, ולכן היא ממליצה לנסות לשחזר לפני שמדווחים. לא בטוחים שמישהו נכנס? בדקו את הסימנים באיך לדעת אם נכנסו לוואטסאפ שלי.
טעויות נפוצות שמשאירות את הפרצה פתוחה
- להשאיר את קוד ברירת המחדל של התא הקולי, כי "אף אחד לא משתמש בזה".
- למסור קוד אימות לאדם אחר, גם אם הוא נשמע כמו חבר שטוען שהקוד נשלח אליכם בטעות. זו אחת השיטות הנפוצות בפישינג ב-WhatsApp.
- לחייג קוד שאדם זר הכתיב לכם בטלפון.
- לבחור סיסמת אימות דו-שלבי פשוטה. מערך הסייבר מזהיר במפורש מקודים כמו 1234 או 1111.
- לדווח על החשבון לפני שניסיתם לשחזר אותו.
- לשלם למי שמציע "להחזיר את הוואטסאפ" תמורת כסף או תמורת הקוד שלכם.
מתי כדאי לפנות ל-CyberGuard?
אם עברו כמה ימים, ניסיתם להירשם מחדש והחשבון עדיין לא חזר, או שהמספר נוצל גם לפריצה לחשבונות נוספים, אפשר לקבל ליווי. CyberGuard מציעה בדיקה ראשונית חינם, וללא הצלחה, אין חיוב. אנחנו עובדים רק דרך הערוצים הרשמיים של הפלטפורמות, ולעולם לא נבקש סיסמה, קוד אימות או גישה לטלפון שלכם.
ההחלטה הסופית היא של WhatsApp, ולכן אף אחד לא יכול להבטיח תוצאה. לתחומים שבהם אנחנו מלווים ראו השירותים שלנו, או התקשרו ל-052-3001030.
שאלות נפוצות
איך אדם זר מקבל את קוד הוואטסאפ שלכם מהתא הקולי?
הוא מתחיל הרשמה של WhatsApp עם המספר שלכם ובוחר לקבל את הקוד בשיחה קולית. אם לא עניתם, השיחה עוברת לתא הקולי. כשהקוד של התא הקולי הוא ברירת מחדל או קל לניחוש, הוא מאזין להודעה מרחוק, שומע את הקוד ומשלים את ההרשמה על המכשיר שלו.
אימות דו-שלבי מספיק כדי לחסום את התקיפה?
הוא מוסיף מחסום משמעותי, כי גם מי ששמע את קוד ההרשמה צריך סיסמה נוספת שרק אתם יודעים. עדיין כדאי להחליף גם את הקוד של התא הקולי ולהוסיף כתובת אימייל לחשבון. WhatsApp ממליצה על שתי ההגדרות, ומערך הסייבר הלאומי ממליץ להחליף את סיסמת ברירת המחדל של התא הקולי.
התוקף הפעיל אימות דו-שלבי ואתם לא יודעים את הסיסמה. מה עושים?
WhatsApp מציינת שבמקרה כזה צריך להמתין 7 ימים ולנסות שוב. בינתיים, לפי WhatsApp, הזנת הקוד בן 6 הספרות שמגיע ב-SMS מנתקת את מי שמשתמש בחשבון גם בלי הסיסמה. הזהירו את אנשי הקשר, החליפו את הקוד של התא הקולי ודווחו למערך הסייבר הלאומי ב-119.
אפשר לבטל את התא הקולי לגמרי?
בררו את זה מול חברת הסלולר שלכם. ההוראות לביטול התא הקולי או להחלפת הקוד שלו שונות בין החברות, ולכן כדאי להיעזר בשירות הלקוחות או בדף ההסבר באתר הרשמי של החברה. אם אתם משתמשים בתא הקולי, השאירו אותו והחליפו את הקוד לקוד ארוך שקשה לנחש.
מי שהשתלט על החשבון יכול לקרוא את ההודעות הישנות שלכם?
לפי WhatsApp, ההודעות מוצפנות מקצה לקצה ונשמרות במכשיר, ולכן מי שרושם מחדש את החשבון במכשיר חדש לא יכול לקרוא את השיחות הקודמות. הוא כן יכול לשלוח הודעות בשמכם ולפנות לאנשי הקשר ולקבוצות, ולכן חשוב להזהיר אותם מיד.
מדריכים משלימים
- מה לעשות אם פרצו לי לוואטסאפ?
- אימות דו-שלבי בוואטסאפ
- איך לדעת אם נכנסו לוואטסאפ שלי?
- מה זה SIM Swap
- פישינג ב-WhatsApp: 7 סוגי הונאות נפוצות
וואטסאפ
וואטסאפ
אבטחת סייבר