"Napadalhan kita ng code nang hindi sinasadya": ganito nanakawin ang WhatsApp mo

May dumating na SMS na may anim na digit na code na hindi mo hiningi at, halos kasabay nito, isang mensahe mula sa kaibigan, sa isang kasama sa group chat ng mga magulang sa paaralan, o sa isang "technician ng WhatsApp": "Sorry, napadalhan kita ng code nang hindi sinasadya, puwede mo bang i-forward sa akin?". Mukhang maliit na pabor lang, pero ang code na iyon ang susi ng account mo. Kapag ipinadala mo ito, irerehistro ng ibang tao ang numero mo sa WhatsApp o Telegram sa sarili niyang telepono, mawawalan ka ng access, at magsisimulang mag-message ang manloloko sa lahat ng contact mo na nagpapanggap na ikaw. Simple ang patakaran at walang eksepsiyon: hindi kailanman ibinibigay ang verification code, kahit kanino.

Paano naaagaw ang account?

Kinikilala ng WhatsApp at Telegram ang account mo sa pamamagitan ng numero ng telepono mo. Kapag may nag-install ng app sa bagong telepono at naglagay ng numero, nagpapadala ang serbisyo ng code sa SMS (o sa tawag, o sa loob mismo ng app) sa telepono ng may-ari para matiyak na kanya ang numero. Ang kailangan ng manloloko ay eksaktong ang dumating sa iyo.

Karaniwang ganito ang takbo ng script:

1. Ilalagay ng manloloko ang numero mo sa telepono niya at sisimulan ang registration. Matatanggap mo ang opisyal na SMS na may code.
2. Magme-message siya para hingin ito. Madalas mula sa account ng tunay na contact na naagaw na, kaya galing ang mensahe sa taong pinagkakatiwalaan mo. Minsan nagpapanggap siyang support ng WhatsApp, organizer ng raffle o botohan, o taong "nagkamali ng numero".
3. Mamadaliin ka niya. "Urgent ito", "iba-block nila ang account ko", "saglit lang".
4. Kapag ipinadala mo ang code, lilipat ang account sa telepono niya. Mala-log out ang WhatsApp mo, at madalas niyang ina-activate ang sarili niyang two-step verification para hindi mo ito madaling mabawi.
5. Gagamitin niya ang pagkakakilanlan mo. Magme-message siya sa mga contact at group mo para humingi ng agarang pera, bank transfer, o instant payment (sa Spain madalas sa Bizum, ang lokal na serbisyo ng mobile payment doon; sa Pilipinas, halimbawa, sa GCash) o, muli, ng "code na napadala ko sa iyo nang hindi sinasadya". Ganoon nagpapatuloy ang kadena.

Ano ang mga palatandaan ng panganib?

• May natanggap kang code na hindi mo hiningi. Ito ang pinakamalinaw na senyales: may sumusubok pumasok sa account mo.
• Malinaw na sinasabi ng SMS na huwag itong ibahagi. Nagbababala ang mga opisyal na mensahe ng WhatsApp, Telegram, bangko mo, at halos lahat ng serbisyo.
• Hinihingi ito sa chat, kahit kaibigan pa. Walang makakapagpadala sa iyo "nang hindi sinasadya" ng code para sa sarili niyang account: palaging sa numerong nirerehistro dumarating ang code.
• Nagme-message ang "technical support". Hindi ka hihingan ng code ng WhatsApp at Telegram sa chat, SMS, o tawag.
• May pagmamadali o kakaibang dahilan: raffle, botohan, account na "malapit nang ma-block".

Ano ang gagawin ko ngayon kung hinihingi ito sa akin?

1. Huwag i-forward ang code at huwag itong basahin sa telepono. Kahit bahagi lang.
2. Kumpirmahin sa ibang paraan. Kung galing sa contact ang mensahe, tawagan siya sa karaniwan niyang numero o tanungin nang personal. Malamang naagaw na ang account niya; sabihan mo siya.
3. I-activate na ngayon ang two-step verification (ipinapaliwanag namin sa ibaba). Dahil dito, kahit makakuha ng code ang isang tao, kakailanganin pa rin niya ang PIN na ikaw lang ang nakakaalam.
4. I-block at i-report ang chat sa loob mismo ng app. Kung galing sa hindi kilalang numero ang mensahe, puwede mo rin itong i-report sa direktoryo ng mga spam number.
5. Babalaan ang iba: kung may nagpapanggap gamit ang account ng kaibigan mo, sabihin ito sa inyong group chat para wala nang ibang mabiktima.

Paano i-activate ang two-step verification?

Ito ang pinakaepektibong proteksiyon laban sa panlolokong ito, at isang minuto lang ang kailangan:

• WhatsApp: Settings Account Two-step verification Turn on. Pumili ng anim na digit na PIN na hindi mo ginagamit kahit saan at magdagdag ng email address para ma-reset mo ito kung makalimutan mo.
• Telegram: Settings Privacy and Security Two-Step Verification. Gumawa ng password at magdagdag ng recovery email.

Huwag ding ibigay ang PIN o password na iyon. Puwedeng bahagyang mag-iba ang mga menu depende sa bersyon ng app, pero palaging ganoon ang pangalan ng opsiyon. Samantalahin na rin para tingnan ang mga linked device (WhatsApp: Settings Linked devices; Telegram: Settings Devices) at tapusin ang anumang session na hindi mo kilala.

Paano kung naipadala ko na ang code?

Kumilos nang mabilis. Habang maaga, mas madali itong mabawi:

1. Irehistro muli ang numero mo sa sarili mong telepono. Buksan ang WhatsApp, ilagay ang numero mo, at i-verify gamit ang bagong code na matatanggap mo sa SMS. Sa paggawa nito, magsasara ang session ng manloloko.
2. Kung humihingi ito ng PIN na hindi mo alam, ibig sabihin na-activate na ng manloloko ang sarili niyang two-step verification. Hindi ka niya mapipigilan habambuhay: pagkatapos ng ilang araw na paghihintay, papayagan ka ng WhatsApp na irehistro muli ang account nang wala ang PIN na iyon. Samantala, sumulat sa support mula sa loob ng app (Settings Help) at ipaliwanag na nanakaw ang account mo.
3. Sa Telegram, mag-log in gamit ang numero mo, pumunta sa Settings Devices, at i-tap ang "Terminate all other sessions". Pagkatapos, itakda ang password mo para sa two-step verification.
4. Babalaan ang mga contact mo sa ibang paraan (SMS, tawag, social media, o sa pamamagitan ng kamag-anak): "Nanakaw ang WhatsApp ko, huwag pansinin ang anumang mensahe mula sa akin na humihingi ng pera o code".
5. Kung galing sa bangko mo ang code o sa isang payment app, tawagan agad ang opisyal na numero ng bangko mo (iyong nasa likod ng card mo o nasa website nila) para i-block ang mga transaksiyon.
6. Itabi ang ebidensya: mga screenshot ng mensahe, ang numerong kumontak sa iyo, at ang oras.

Saan ako magrereklamo at sino ang makakatulong?

• Pulis: sa Spain, ang Policía Nacional (091) o ang Guardia Civil (062); sa ibang bansa, ang pambansang pulisya. Magsampa ng reklamo kasama ang mga screenshot, lalo na kung ginamit ang pagkakakilanlan mo o may nawalan ng pera. Hindi ka nagkasala dahil naipadala mo ang code: biktima ka ng panlilinlang.
• Tulong sa cybersecurity: sa Spain, libre at kumpidensiyal ang linya 017 ng INCIBE; gagabayan ka nila hakbang-hakbang para mabawi ang account at maprotektahan ang mga device mo, at naglalathala rin ang Office for Internet User Security (OSI) ng INCIBE ng mga gabay sa ligtas na pag-set up ng WhatsApp at Telegram. Sa ibang bansa, makipag-ugnayan sa pambansang ahensiya ng cybersecurity.
• 112: kung may emergency o agarang banta lamang.

Kung may mga contact kang hiningan ng pera sa pangalan mo, basahin din kung paano gumagana ang scam na "anak na nasa gulo" sa WhatsApp: iyon ang karaniwang kasunod ng pagnanakaw na ito.

Mga madalas itanong

May natanggap akong code na hindi ko hiningi pero hindi ko ibinigay kahit kanino. Nasa panganib ba ako? Hindi. Kung walang code, hindi sila makakapasok. Ibig sabihin lang may sumubok sa numero mo; huwag pansinin ang SMS, huwag sagutin ang humihingi nito, at i-activate ang two-step verification.

Totoong kaibigan ang humingi, paano iyon magiging scam? Dahil malamang hindi ang kaibigan mo ang nagme-message, kundi ang nakaagaw ng account niya. Tawagan mo muna siya bago gumawa ng kahit ano.

Mababasa ba nila ang mga lumang usapan ko? Sa pangkalahatan, kapag inirehistro ang account sa bagong telepono, hindi nada-download ang mga lumang chat mo maliban kung may access sila sa backup mo. Pero puwede silang mag-message sa pangalan mo at makita ang mga bagong mensaheng dumarating habang hawak nila ang account.

May silbi bang magpalit ng numero? Hindi na kailangan. Sapat na ang mabawi ang account at i-activate ang two-step verification.

Sa madaling salita

Ang code na dumarating sa SMS ay sa iyo at sa wala nang iba: hindi sa mga kaibigan, hindi sa "technical support", hindi sa mga raffle. Kung may humingi nito, huwag ipadala, kumpirmahin sa ibang paraan, at i-activate ang two-step verification. Kung naipadala mo na, irehistro muli ang numero mo, babalaan ang mga contact mo, at magsampa ng reklamo. At kung galing sa hindi kilalang numero ang pagtatangka, i-report ito sa direktoryo ng mga spam number ng NoCall para makilala ito ng iba sa tamang oras.