Siber güvenlik araştırmacıları Luis Márquez Carpintero ve Ernesto Canales tarafından aktarılan bilgilere göre, hesabınızı kapattırmak isteyen bir kişinin telefon numaranızı bilmesi yetiyor. Üstelik WhatsApp’ın iki faktörlü kimlik doğrulama korumasının bile bunu önleyemediği belirtiliyor.

Numaranızı bilen bir kişi WhatsApp hesabınızı kapattırabilir

Forbes dergisinin açığa çıkardığı yeni saldırı yönteminin işleyişi şöyle:

Bildiğiniz gibi WhatsApp’ta kullanıcı adı ve şifre yok. Uygulamayı mağazadan yükleyip giriş yapmak istediğinizde, sizden istenen yere numaranızı yazmanız gerekiyor. Akabinde telefonunuza SMS olarak bir kod geliyor ve onu uygulamadaki ilgili kısma girip hesabınızı doğruluyorsunuz.

Bu doğrulama sürecine WhatsApp tarafından koyulan belli başlı sınırlamalar var. Örneğin bir kullanıcı doğrulama kodunu 4-5 defa yanlış girerse artık yenisini isteyemiyor. Kademeli olarak 60 dakika, 6 ve 12 saat beklemesi gerektiğini söyleyen bir uyarıyla karşılaşıyor. İşte, aylık 1 milyardan fazla kullanıcının hesabını tehlikeye atan problem tam da burada başlıyor.

Numaranızı bilen kötü niyetli bir kişi, sizin adınıza WhatsApp’tan defalarca kod istiyor. Tabii o kodlar sizin telefonunuza ulaşıyor ancak bundan haberiniz olmadığı için doğal olarak göz ardı ediyorsunuz. Elinizden hiçbir şey gelmiyor. Bu esnada saldırgan güvenlik kodlarını rastgele girmeye devam ediyor, doğru yazamadığı için de WhatsApp onu kabul etmiyor. Bir süre sonra platformun güvenlik duvarı aktifleşiyor. Saldırganın karşısına, yeni bir kod istemek için 12 saat beklemesi gerektiğini söyleyen bir uyarı çıkıyor.

Bunu gören saldırgan ise hâlâ sınırları zorlamaya devam ediyor. WhatsApp destek ekibine support@whatsapp.com maili aracılığıyla ulaşarak, “Merhaba, xxxx numaralı hesabım çalındı. Lütfen hesabımı kapatın.” minvalinde bir mesaj gönderiyor. WhatsApp destek ekibi ise bunu hiç sorgulamadan, maili gönderen kişinin gerçekliğini doğrulamadan hemen ilgili numaraya ait hesabı devre dışı bırakıyor.

Yani özetle: Sizin adınıza güvenlik kodu isteyip defalarca yanlış giren saldırgan, yetmezmiş gibi WhatsApp destek ekibinden yine sizin adınıza yardım istiyor. Numaranıza ait hesabın kapatılmasını talep ediyor. İşin ilginç yanı ise, destek ekibinin bu “yardım” talebini sorgusuz sualsiz kabul etmesi.

Bu sorunla karşılaşanlar ne yapacak?

Saldırıya maruz kalan kullanıcıların karşısına aniden “Numaranız artık bu telefonda kayıtlı değil.” şeklinde bir uyarı mesajı çıkıyor. Mağdur telefonunu yeniden doğrulamaya çalıştığında ise WhatsApp izin vermiyor. Aynı numara için defalarca yanlış kod girilmesi nedeniyle 12 saat beklemesi gerektiğini söylüyor. 24 saate kadar da çıkabilen bu süre bazen sınırsız hale gelebiliyor. Bir başka deyişle, mağdur hesabını artık doğrulayamıyor.

Forbes’in siber güvenlik yazarı Zak Doffman, böyle bir problemle karşı karşıya kalanların ne yapması gerektiğiyle ilgili birkaç bilgi paylaştı. Doffman, mağdurların WhatsApp destek ekibinden yardım istemeleri gerektiğini söyledi. Ancak bunun bile kesin çözüm olmadığını dile getiren Doffman, kullanıcılara dikkat etmeleri gerektiğine dair uyarı yaptı.

Bir WhatsApp sözcüsü Zak Doffman’a gönderdiği e-postada, söz konusu saldırı yönteminin “hizmet şartları ihlali” olduğunu açıkladı. Ancak sözcü, saldırının kesin çözümüyle ilgili yorum yapmadı.