QRLjacking: Sequestro de contas do WhatsApp via QR Code

Como se não fosse suficiente a existência de mensagens maliciosas com promessas tentadoras e com a única intenção de prejudicar as vítimas, os hackers estão sempre atentos a outras oportunidades, por exemplo, sequestrar por completo uma conta do WhatsApp. Ou seja, ter acesso a todos os contactos, todos os ficheiros e a todas as conversas da conta da vítima.

Para conseguir semelhante objetivo, os hackers podem utilizar um tipo de ataque conhecido como QRLjacking. Saiba como funciona.

QRLjacking - todo o cuidado é pouco

Segundo a ESET, o QRLjacking faz uso de técnicas de engenharia social para atacar aplicações que utilizam QR Code como método de registo, como a própria aplicação do WhatsApp, que oferece aos utilizadores a possibilidade de utilizar a app num computador.

Quem já utilizou a app de mensagens num computador sabe que o processo é muito simples: no ecrã principal da aplicação necessita apenas de aceder às opções e selecionar “WhatsApp Web”, para que apareça um ecrã para o scanner de um QR Code. Assim, basta abrir a página de acesso ao WhatsApp no computador , fazer o scanner do código através da aplicação e pronto, a app passa a estar disponível no computador.

Os hackers aproveitam-se dessa função para convencer as suas vítimas a fazer o scanner do QR Code gerado por eles para realizar o ataque.

Como funciona o ataque de QRLjacking

O código QR é uma imagem que, depois de interpretada, gera um conjunto de códigos. No caso do WhatsApp, a app utiliza esse código para validar o acesso dos utilizadores ao seu sistema, sem nenhum tipo de validação adicional.

Sabendo isto, os hackers desenvolveram ferramentas que capturam e armazenam a imagem do QR Code gerado pelo WhatsApp e criam um novo QR Code para mostrar à vítima, tal como se pode apreciar nas imagens anteriores.

Depois disto, a sessão da vítima fica armazenada no computador do hacker e este pode utilizá-la como e quando desejar, isto sem causar qualquer tipo de interrupção no uso da aplicação no telefone da vítima.

Como evitar ser vítima desta fraude

Não é necessário deixar de utilizar um recurso pelo simples facto de se descobrir que o mesmo não possui características de segurança suficientes para evitar que contas sejam sequestradas. Basta ter um comportamento seguro e manter-se alerta, já que alguns detalhes não podem ser alterados nem mesmo pelo hacker mais experiente. Mantenha-se atento às recomendações de segurança que elaborámos a pensar em si:

• Conheça a aplicação que está a usar
• Aceda o mínimo necessário em redes públicas ou pouco fiáveis
• Fique atento à sua navegação mesmo estando em redes seguras
• Ataques deste tipo costumam não gerar nenhum tipo de retorno para o utilizador
• Faça atualização constante de todos os softwares e aplicações

O Pplware agradece à ESET pela produção deste conteúdo.