Je browser is verouderd en geeft deze website niet correct weer. Download een moderne browser en ervaar het internet beter, sneller en veiliger!

Kort advies van Z-CERT: deel nooit je codes!

Deel nooit je persoonlijke codes! Dit is het kortste en krachtigste advies wat Z-CERT kan geven als het gaat om Whatsappfraude. De afgelopen dagen kreeg Z-CERT van diverse zorginstellingen vragen over Whatsapp-takeovers. Cybercriminelen nemen hierbij de controle over van je Whatsapp-account. Om te voorkomen dat deze vorm van cybercriminaliteit zich verspreidt binnen de zorg, doken onze security specialisten in de huid van de aanvallers en zochten uit hoe zij te werk gaan en belangrijker nog, wat je er tegen kan doen.

De aanvalsmethode

Zorgmedewerker A ontvangt een WhatsAppbericht van zorgmedewerker B die vraagt om de 6-cijferige verificatiecode ook wel de “WhatsAppcode” genoemd. Dit is de 6-cijferige code die nodig is om WhatsApp te activeren op een nieuw toestel. Zorgmedewerker A geeft de code, niet wetende dat het telefoonnummer van zorgmedewerker B in handen is van een crimineel.

De crimineel neemt nu ook het WhatsApp-account van zorgmedewerker A over en heeft vervolgens de mogelijkheid om zijn/haar frauduleuze handelingen uit te bereiden via de contactgegevens van zorgmedewerker A.Om te verifiëren welke data de crimineel kan zien na een account take-over, hebben wij de aanval nagebootst.

De aanvaller ziet:

  • De groepsgesprekken, maar geen historie in deze gesprekken;
  • De samenstelling van de groepsgesprekken, maar alleen de telefoonnummers en profielfoto.

Wat wij niet konden zien:

  • Eerdere gesprekken inclusief historie met individuele mensen;
  • Media (foto’s, filmpjes) in groepsgesprekken en individuele gesprekken.

Bij het instellen van het account op het toestel van de kwaadwillende wordt wel meteen de profielfoto van het slachtoffer overgenomen. Om inzicht te verkrijgen in de gesprekshistorie is er ook toegang nodig tot de back-up. Als deze in de Cloud geback-upt is, is er dus ook toegang tot een Apple of Google account nodig alvorens men bij de gegevens van de back-up kan komen. Advies: Geef nooit persoonlijke codes aan iemand anders.

Als je Whatsapp-account toch is overgenomen, neem dan de volgende stappen.

  • Open WhatsApp
  • Doorloop de stappen op het scherm, deze bestaan uit:
    • Het invullen van het telefoonnummer
    • En de ontvangen verificatiecode

Het kan voorkomen dat het account in een lock-out periode terecht is gekomen. Hierdoor wordt de optie om de verificatie code via SMS te krijgen uitgeschakeld voor de komende 7 uur. Echter is de optie om door het systeem gebeld te worden en de code te ontvangen wel mogelijk. Deze wordt na enkele minuten al vrijgegeven. U ontvangt dit telefoontje op uw eigen telefoon.

Bescherm je account

Bescherm je account met 2Factor Authenticatie. Hoe? Volg de onderstaande instructies:

  • Open WhatsApp op een iPhone of Android-smartphone;
  • Ga naar ‘Instellingen’ en kies voor ‘Account’;
  • Ga naar ‘Verificatie in twee stappen inschakelen’ en stel de code in.

De volgende keer dat je wilt inloggen op WhatsApp moet je deze zes-cijferige pincode invoeren en ben je daarna voor zeven dagen ingelogd. WhatsApp zal je geregeld vragen de code opnieuw in te voeren. Mocht je de pincode vergeten, dan kun je via het opgegeven e-mailadres een nieuwe code instellen;

Veruit het belangrijkst om te weten is dat deze 2fa pincode ALTIJD gevraagd wordt als je op een nieuw apparaat bij WhatsApp inlogt en geeft daarmee een extra beveiligingslaag.Tot slot: Geef dus nooit persoonlijke codes aan iemand anders.