Novo esquema no WhatsApp ataca contas sem que as vítimas se apercebam. Como funciona e o que fazer para se proteger?

Através de um novo esquema malicioso, os atacantes podem assumir o controlo de contas no WhatsApp sem que as vítimas se apercebam. O esquema afeta sobretudo iPhones e tira partido de vulnerabilidades já corrigidas pela Apple e pela Meta, mas os equipamentos desatualizados continuam em risco.

Depois das burlas “olá, pai/ olá,mãe”, há uma nova fraude a circular no WhatsApp, com vítimas em países como Espanha e Itália, que permite que os atacantes assumam controlo das contas sem que os utilizadores se apercebam, num esquema que afeta sobretudo quem tem um iPhone.

Como avança o jornal El País, neste esquema, os burlões exploram uma combinação de falhas de segurança para aceder às contas de WhatsApp e enviar mensagens em nome das vítimas. Ao contrário de outros esquemas, as vítimas não precisam de clicar em links, ler códigos QR ou descarregar ficheiros para verem as suas contas comprometidas.

De acordo com o Instituto Nacional de Cibersegurança de Espanha (Incibe), trata-se de um ataque “zero-click”, em que os atacantes conseguem aceder às contas sem que as vítimas tenham de realizar qualquer ação, o que o torna particularmente difícil de detetar.

Em questão está uma vulnerabilidade do iOS, existente em versões anteriores à 16.7.12, que, segundo o Incibe, é explorada em conjunto com uma segunda falha de segurança no WhatsApp para permitir a “invasão” das contas.

Note-se que ambas as falhas já foram corrigidas pela Apple e pela Meta, no entanto, os utilizadores que tenham versões desatualizadas do iOS ou do WhatsApp continuam expostos a este tipo de ataque.

Depois de conseguirem aceder às contas, os burlões enviam mensagens para os contactos mais próximos da vítima, fazendo-se passar por ela e pedindo dinheiro com urgência. O esquema torna-se ainda mais difícil de detetar, porque as mensagens enviadas não aparecem no WhatsApp da própria vítima. 

Num dos casos identificados em Espanha, por exemplo, o pai de uma das vítimas recebeu uma mensagem através da conta da filha a pedir 988 euros. A mulher, que tinha um iPhone 12 sem as atualizações mais recentes, não se apercebeu de que a sua conta estava a ser utilizada para contactar os seus familiares.

O mecanismo usado pelos atacantes está relacionado com a sincronização do WhatsApp com os dispositivos associados à conta. Depois de enviarem as mensagens, os cibercriminosos podem eliminá-las para si próprios, fazendo com que deixem de estar visíveis para a vítima, embora permaneçam disponíveis para quem as recebeu.

Os primeiros casos deste tipo de ataque foram identificados em Itália, em maio, tendo entretanto avançado para países como a Espanha. “Não dispomos de números exatos, mas podemos dizer que esta fraude está a ter um impacto superior ao habitual na população”, afirma Raquel Loma, técnica de cibersegurança do Incibe.

Em Portugal, as autoridades ainda não registaram casos semelhantes, mas, em declarações ao jornal Público, a Polícia de Segurança Pública (PSP) admite que a “ameaça é relevante”.

Nesse sentido, a principal recomendação da PSP passa “pela sensibilização dos cidadãos para a confirmação de pedidos de dinheiro através de um canal alternativo ao Whatsapp e para a atualização regular dos dispositivos móveis”.

Do lado das recomendações deixadas pelo Incibe, perante a possibilidade de a conta estar comprometida, uma das primeiras medidas passa por verificar os dispositivos associados ao WhatsApp. Através da app, deverá consultar a secção “Dispositivos associados” e terminar as sessões que não reconheça.

É recomendado desinstalar e voltar a instalar o WhatsApp, ativar a verificação de dois passos e assegurar que tanto a aplicação como o iPhone estão atualizados para as versões mais recentes.

Caso tenham sido enviados pedidos de dinheiro a partir da sua conta, é importante avisar rapidamente os contactos visados, para que possam entrar em contacto com o banco o mais rapidamente possível.

Deverá também guardar quaisquer provas do ataque, incluindo capturas de ecrã das mensagens, contactos telefónicos envolvidos e comprovativos de eventuais transferências, que podem ser úteis numa denúncia às autoridades.