Coraz więcej użytkowników WhatsApp naraża się na zbędne ryzyko w czatach grupowych przez jedną domyślną funkcję, którą prawie nikt nigdy nie zmienia.
Badacze ostrzegają, że automatyczna luka w WhatsApp znacznie ułatwia cyberprzestępcom włamania przez rozmowy grupowe. To nie jest efektowny atak jak z filmu — chodzi o połączenie codziennych nawyków z niezręcznym domyślnym ustawieniem aplikacji.
Jak czaty grupowe w WhatsApp stają się zagrożeniem
Kto korzysta z WhatsApp, szybko ląduje w kilku grupach jednocześnie: rodzina, drużyna sportowa, sąsiedzi, praca, szkoła, urodziny. Często dołącza się do nowej grupy bez ostrzeżenia — założonej przez kogoś, kto ma twój numer. Zanim się zorientujesz, twój numer telefonu jest widoczny dla dziesiątek obcych ludzi.
W takiej grupie inni widzą znacznie więcej niż tylko twoje imię. W zależności od ustawień nieznajomi mogą mieć dostęp do:
- twojego numeru telefonu
- twojego zdjęcia profilowego
- twojego opisu lub statusu
- twojej aktywności w czacie
Na podstawie tych danych złośliwi użytkownicy mogą budować twój profil. Wyobraź sobie osoby, które chcą przeprowadzić ukierunkowany phishing, skontaktować się z tobą przez inne aplikacje albo odsprzedać twój numer reklamodawcom lub sieciom oszustów.
Badacze: czaty grupowe jako punkt wyjścia do ataków
Eksperci ds. bezpieczeństwa z Google Project Zero oraz firmy Malwarebytes opisują scenariusz, w którym atakujący najpierw potrzebuje twojego numeru. Dysponując nim, może dodać cię do nowej rozmowy grupowej.
W takiej nowej grupie atak może się rozpocząć. Sprawca wysyła pozornie zwykły plik multimedialny, na przykład:
- zdjęcie (np. „zdjęcie_grupowe1.jpg")
- wideo („impreza.mp4")
- fragment audio („wiadomość_głosowa.m4a")
Według Malwarebytes w WhatsApp na Androida istniała luka, przez którą taki plik był automatycznie pobierany i w niektórych przypadkach mógł zostać wykorzystany jako wektor ataku — bez żadnego kliknięcia z twojej strony.
Sedno problemu to nie jeden wielki wyciek danych, lecz domyślne ustawienie, które automatycznie pobiera pliki multimedialne zaraz po ich pojawieniu się w czacie grupowym.
Kluczowe ustawienie: automatyczne pobieranie multimediów
WhatsApp jest znany z tego, że od razu pobiera zdjęcia i filmy, abyś mógł je szybko obejrzeć. To wygodne, ale jednocześnie ta wygoda otwiera drzwi do nadużyć w nowych czatach grupowych.
Co dokładnie może pójść nie tak
Jeśli ktoś doda cię do nowej grupy i natychmiast wyśle złośliwy plik, dzieje się co następuje:
- Twoje urządzenie automatycznie pobiera plik, bo aplikacja jest tak skonfigurowana.
- Plik trafia na twój telefon — czasem nawet do galerii.
- W zależności od luki w używanej wersji aplikacji plik może zostać wykorzystany do uzyskania dalszego dostępu lub odczytania danych.
Luka, na którą wskazują badacze, dotyczy WhatsApp na Androida. Użytkownicy iPhone'ów są w tym konkretnym przypadku mniej narażeni, ale i tak powinni zadbać o swoje ustawienia. Automatyczne pobieranie niechcianych plików to zawsze zły pomysł.
Jak szybko zwiększyć bezpieczeństwo grup WhatsApp
Dwie zmiany w ustawieniach WhatsApp znacząco zmniejszają ryzyko: decydujesz, kto może cię dodawać do grup, i wyłączasz automatyczne pobieranie zdjęć oraz filmów.
1. Ogranicz, kto może dodawać cię do grup
Wejdź w ustawienia WhatsApp na swoim telefonie i przejrzyj opcje prywatności. W sekcji dotyczącej grup usuń zaznaczenie przy opcji „Wszyscy" i wybierz:
- „Moje kontakty" — tylko osoby zapisane w twojej książce adresowej mogą swobodnie dodawać cię do grup.
- „Moje kontakty, z wyjątkiem…" — przydatne, gdy chcesz wykluczyć konkretne osoby, np. kontakty zawodowe.
Ograniczając uprawnienia do dodawania do grup, od razu eliminujesz dużą część szumu i potencjalnych grup spamowych.
2. Wyłącz automatyczne pobieranie multimediów
Drugie zagrożenie kryje się w ustawieniach przechowywania. Sprawdź w menu „Pamięć i dane", jak są pobierane pliki multimedialne.
W opcjach dotyczących danych mobilnych, Wi-Fi i roamingu ustaw, żeby zdjęcia, filmy i dokumenty nie były pobierane automatycznie. Zaznacz tylko te typy plików, które naprawdę chcesz pobierać automatycznie — albo wyłącz wszystko i podejmuj decyzję przy każdym pliku osobno.
| Ustawienie | Bezpieczny wybór |
|---|---|
| Przy użyciu danych mobilnych | Nie pobieraj żadnych multimediów automatycznie |
| Przy użyciu Wi-Fi | Tylko zdjęcia lub całkowite wyłączenie |
| Przy roamingu | Zawsze wyłączone, żadnych automatycznych pobrań |
W ten sposób sam decydujesz przy każdej wiadomości, czy ufasz danemu plikowi. To dodatkowe dotknięcie ekranu zajmuje sekundę, ale chroni przed cichym lądowaniem nieznanych plików na twoim urządzeniu.
Natychmiast zaktualizuj aplikację WhatsApp
WhatsApp poinformował, że wdrożył aktualizację zabezpieczeń usuwającą wykrytą lukę. Korzysta z niej tylko ten, kto używa najnowszej wersji aplikacji.
Sprawdź więc w sklepie z aplikacjami, czy dostępna jest aktualizacja. Włącz automatyczne aktualizacje, jeśli nie chcesz sprawdzać tego ręcznie. Wiele osób przez miesiące używa przestarzałych aplikacji i przez to niepotrzebnie nie korzysta z poprawek bezpieczeństwa.
Aktualna aplikacja, bardziej restrykcyjne ustawienia prywatności i brak automatycznych pobrań razem tworzą solidną podstawę ochrony przed tego rodzaju atakami.
Dlaczego cyberprzestępcy tak bardzo chcą twojego numeru WhatsApp
Twój numer telefonu może wydawać się niewinny, ale dla cyfrowych przestępców jest często idealnym kluczem. Mając sam numer, mogą:
- kontaktować się z tobą przez SMS lub inne aplikacje, wysyłając fałszywe linki albo fikcyjne prośby o płatność
- powiązać cię z innymi wyciekniętymi bazami danych z internetu
- udawać kogoś znajomego w czacie grupowym
- odsprzedać twój numer na listach telemarketingowych i spamowych
W połączeniu ze zdjęciem profilowym i statusem powstaje obraz tego, kim jesteś, z kim się obracasz i w jakim regionie mieszkasz. To sprawia, że ukierunkowane oszustwo staje się znacznie bardziej wiarygodne.
Praktyczne nawyki, które możesz wdrożyć od zaraz
Poza zmianą ustawień kilka prostych rutyn pomaga zachować bezpieczeństwo w grupach WhatsApp:
- Opuszczaj grupy, w których nikogo nie znasz lub które wydają się podejrzane.
- Nie klikaj w linki udostępniane przez nieznajomych w grupach.
- Nie pobieraj plików od osób, którym nie ufasz — nawet jeśli inni w grupie już je otworzyli.
- Używaj neutralnego zdjęcia profilowego, jeśli należysz do wielu otwartych grup.
- Ustaw widoczność swojego statusu „ostatnio widziany" i „online" tylko dla kontaktów.
Osoby pracujące z wrażliwymi danymi — w służbie zdrowia, dziennikarstwie, administracji publicznej czy sektorze finansowym — powinny zachować szczególną ostrożność. Złośliwy użytkownik, któremu uda się wciągnąć taką osobę do grupy WhatsApp, może próbować uzyskać dostęp do jej urządzenia za pomocą pozornie niewinnego pliku.
Kto prywatnie uważa, że nie ma nic do ukrycia, często nie docenia aspektu komercyjnego. Sieci reklamowe, podejrzani pośrednicy i organizacje spamowe na masową skalę zbierają numery telefonów, dane o zachowaniu użytkowników i sieci kontaktów. Niewinny czat grupowy może z łatwością stać się nowym źródłem zasilającym takie zbiory danych.
