Miliony użytkowników WhatsApp nie zdają sobie sprawy, że niepozorne domyślne ustawienie otwiera ich smartfon na ataki przez czaty grupowe.
Czaty grupowe stały się dla większości z nas codziennością – rodzina, drużyna sportowa, zebranie rodziców, znajomi z pracy. Właśnie tę wygodę wykorzystuje luka bezpieczeństwa opisana przez ekspertów z Google Project Zero oraz firmy zajmującej się cyberbezpieczeństwem Malwarebytes. Kto nie zmieni domyślnych ustawień, znacznie ułatwia atakującym przemycenie złośliwego oprogramowania na swój telefon.
Jak grupy WhatsApp stają się furtką dla przestępców
Prawie każdy należy do kilku grup na WhatsAppie. Jedne zakładamy sami, do innych ktoś nas po prostu dodaje – czasem bliscy znajomi, czasem dalecy znajomi, a niekiedy wręcz osoby, których ledwo pamiętamy.
I właśnie tutaj zaczyna się problem. Aby atakujący mógł wziąć kogoś na celownik, potrzebuje – według badaczy z Project Zero – jedynie aktywnego numeru telefonu ofiary. Na jego podstawie można założyć nowy czat grupowy, do którego trafia ofiara, często nawet tego nie zauważając.
Nowa grupa może wystarczyć, by spreparowane zdjęcie, wideo lub dokument zostało automatycznie zapisane na Twoim telefonie – bez żadnego kliknięcia z Twojej strony.
Taka grupa wygląda niewinnie: banalna nazwa, kilka nieznanych osób na liście uczestników, może jakiś powitalny komunikat. Jednak pośród pierwszych wiadomości może czaić się plik celowo przygotowany tak, by wykorzystać lukę w systemie lub w samej aplikacji WhatsApp.
Niebezpieczna kombinacja: zaproszenie do grupy i automatyczne pobieranie
Sedno problemu nie tkwi wyłącznie w samej grupie. Pojawia się w połączeniu z ustawieniem domyślnym aktywnym u ogromnej liczby użytkowników – automatycznym pobieraniem multimediów.
Badacze bezpieczeństwa opisują scenariusz, w którym atakujący:
- dodaje ofiarę ze znany numerem do nowo założonej grupy,
- wysyła w tej grupie specjalnie spreparowany plik (zdjęcie, wideo lub dokument),
- i liczy na to, że WhatsApp automatycznie pobierze ten plik w tle.
Szczególnie narażone są urządzenia z Androidem, gdzie automatyczne zapisywanie mediów z czatów grupowych jest bardzo powszechne. W zależności od modelu telefonu i wersji systemu pliki trafiają niemal natychmiast do lokalnej pamięci smartfona, a niekiedy mają do nich dostęp inne aplikacje.
Co teoretycznie mogą zrobić atakujący
Opisany atak nie jest skierowany przeciwko każdemu użytkownikowi bez wyjątku. Szczególnie interesujące cele to osoby posiadające wrażliwe dane: dziennikarze, politycy, pracownicy firm czy urzędów. Ale nikt z nas nie wie, na jakich listach może figurować.
Jeśli atakującemu uda się wykorzystać lukę, może próbować między innymi:
- odczytywać inne dane przechowywane w pamięci urządzenia,
- kraść tokeny dostępu lub pliki cookie,
- atakować inne aplikacje korzystające z tych samych obszarów pamięci,
- lub używać zaatakowanego urządzenia jako punktu wyskokowego do dalszych działań.
Wiele z tych scenariuszy jest technicznie skomplikowanych, jednak eksperci ds. bezpieczeństwa podkreślają: z punktu widzenia profesjonalnych przestępców wysiłek się opłaca, jeśli daje dostęp do cennych informacji.
Trzy ustawienia, które powinieneś zmienić natychmiast
Dobra wiadomość jest taka, że kilka kliknięć wystarczy, by znacząco obniżyć ryzyko. Chodzi przede wszystkim o dwie kwestie: kto może dodawać Cię do grup i co WhatsApp pobiera automatycznie.
1. Kto może dodawać Cię do grup?
Domyślnie każdy inny użytkownik znający Twój numer może założyć grupę, do której trafisz bezpośrednio. Oto jak to ograniczyć:
- Otwórz WhatsApp.
- Stuknij trzy kropki w prawym górnym rogu i wybierz Ustawienia.
- Przejdź do sekcji Prywatność.
- Wybierz opcję Grupy.
- Zmień ustawienie z „Wszyscy" na „Moje kontakty".
- Jeśli chcesz być szczególnie ostrożny, wybierz „Moje kontakty z wyjątkiem…" i wyklucz konkretne numery.
Ograniczenie dostępu do grup oznacza, że to Ty decydujesz, kto może Cię wciągnąć do obcego czatu – bardzo skuteczna ochrona w zaledwie kilku krokach.
2. Wyłącz automatyczne pobieranie multimediów
Drugi ważny przełącznik kryje się w ustawieniach danych i pamięci. To tam WhatsApp określa, co ma być pobierane w tle.
Jak zmienić ustawienia automatycznego pobierania na Androidzie:
- Wejdź w Ustawienia WhatsApp.
- Wybierz Pamięć i dane.
- W sekcjach „Przy połączeniu mobilnym", „Przy Wi-Fi" oraz „Podczas roamingu" odznacz wszystkie opcje: zdjęcia, dźwięk, wideo i dokumenty.
- Pliki nadal będą widoczne w czacie, ale pobiorą się dopiero po Twoim świadomym dotknięciu.
Na iPhone'ach nazwy opcji w menu mogą się nieznacznie różnić, ale zasada pozostaje taka sama: konsekwentnie ogranicz automatyczne pobieranie.
3. Aktualizuj WhatsApp i system operacyjny
WhatsApp opublikował aktualizację, która – według badaczy bezpieczeństwa – usuwa konkretnie opisaną lukę. Mimo to podobne ścieżki ataku pozostają atrakcyjne, dopóki istnieją błędy w aplikacjach i systemach.
Dlatego warto regularnie sprawdzać:
- czy w App Store lub Play Store dostępna jest aktualizacja WhatsApp,
- czy system operacyjny wyświetla aktualny poziom poprawek bezpieczeństwa,
- czy można odinstalować stare, niepotrzebne już aplikacje.
Prywatność w grupach to nie tylko problem techniczny
Opisana luka zwraca uwagę na jeszcze jeden aspekt, który wielu bagatelizuje: widoczność w czacie grupowym. Kto zostaje dodany do całkowicie obcych grup, automatycznie ujawnia swój numer telefonu, zdjęcie profilowe, a często też tekst informacji – osobom, których nigdy w życiu nie widział.
Na podstawie tych danych można budować listy kontaktów, które następnie służą do rozsyłania spamu, prób oszustwa lub ukierunkowanych ataków socjotechnicznych. Phishing przez WhatsApp, fałszywe powiadomienia o przesyłkach czy rzekome nagłe sytuacje od „krewnych" dzwoniących z nowego numeru – to wszystko często opiera się właśnie na takich zbiorach danych.
| Ryzyko | Możliwe konsekwencje |
|---|---|
| Widoczny numer telefonu | Spam, niechciane połączenia, niepożądane kontakty |
| Zdjęcie profilowe widoczne dla obcych | Kradzież tożsamości, fałszywe profile, ukierunkowane ataki |
| Aktywne automatyczne pobieranie | Wyższe ryzyko przy spreparowanych plikach |
Jak korzystać z WhatsApp bezpieczniej na co dzień
Opisany przypadek dotyczy co prawda grup i pobierania multimediów, ale wpisuje się w szerszy obraz: komunikatory stały się głównym kanałem komunikacji – i przez to atrakcyjnym celem ataków.
Kilka dodatkowych, praktycznych środków znacząco podniesie poziom Twojego bezpieczeństwa:
- Włącz weryfikację dwuetapową w WhatsApp: W Ustawieniach pod zakładką Konto znajdziesz opcję Weryfikacja dwuetapowa. Dzięki temu nikt nie zarejestruje Twojego konta na innym urządzeniu bez Twojej wiedzy.
- Ogranicz widoczność danych profilowych: W ustawieniach Prywatności określ, kto może widzieć Twoje zdjęcie profilowe, informacje i status. Opcja „Moje kontakty" to zazwyczaj dobry wybór.
- Zwracaj uwagę na nazwy grup: Jeśli nagle pojawia się nowa grupa z ogólnikową nazwą i garstką nieznajomych, warto być podejrzliwym – w razie wątpliwości opuść ją od razu.
- Nie ufaj ślepo plikom i linkom: Nawet jeśli pochodzą od pozornie znanych kontaktów. Konta mogą być przejęte przez nieupoważnione osoby.
Dlaczego automatyczne pobieranie jest takie podstępne
Automatyczne pobieranie multimediów wydaje się wygodne: zdjęcia dzieci, informacje ze stowarzyszenia, dokumenty z pracy – wszystko trafia do pamięci bez żadnego wysiłku. Właśnie ta wygoda sprawia, że funkcja staje się niebezpieczna, gdy zetknie się z luką bezpieczeństwa.
Z perspektywy atakujących to idealna sytuacja: nie muszą nakłaniać ofiary do aktywnego kliknięcia „Pobierz". Wystarczy, że aplikacja grzecznie pracuje w tle. Im mniej użytkownik zdaje sobie z tego sprawę, tym trudniej powiązać podejrzane zachowanie telefonu – na przykład spowalniającą się obsługę czy nagle znikającą pamięć – z jakimkolwiek atakiem.
Kto pobiera pliki ręcznie, odzyskuje kontrolę: każdy plik wymaga świadomego dotknięcia ekranu. W codziennym użytkowaniu kosztuje to kilka sekund więcej, ale drastycznie zmniejsza ryzyko – szczególnie w grupach, gdzie nie znamy wszystkich uczestników.
Podsumowanie: sprawdź ustawienia i zmniejsz ryzyko
WhatsApp pozostaje dla wielu osób niezbędnym narzędziem. Tym bardziej warto korzystać ze wszystkich dostępnych opcji, które zmniejszają powierzchnię ataku. Dwie zmiany przynoszą największy efekt: ograniczenie zaproszeń do grup i wyłączenie automatycznego pobierania.
Kto podejmie te kroki, łączy techniczną ochronę z rozsądną ostrożnością wobec obcych grup. Ataki za pomocą spreparowanych plików multimedialnych nie stają się przez to niemożliwe, ale znacznie trudniejsze do przeprowadzenia – i właśnie o to chodzi, gdy budujemy własny poziom bezpieczeństwa w sieci.
