"Wysłałem ci kod przez pomyłkę": tak kradną twojego WhatsAppa

Dostajesz SMS z sześciocyfrowym kodem, o który nie prosiłeś, i niemal w tej samej chwili wiadomość od znajomego, od kogoś z grupy rodziców ze szkoły albo od "technika WhatsAppa": "Sorki, wysłałem ci kod przez pomyłkę, możesz mi go przesłać?". Wygląda to na drobną przysługę, ale ten kod to klucz do twojego konta. Jeśli go wyślesz, ktoś inny zarejestruje twój numer WhatsApp lub Telegram na swoim telefonie, ty stracisz dostęp, a oszust zacznie pisać do wszystkich twoich kontaktów, podszywając się pod ciebie. Zasada jest prosta i nie ma wyjątków: kodu weryfikacyjnego nie udostępnia się nigdy i nikomu.

Jak działa przejęcie konta?

WhatsApp i Telegram rozpoznają twoje konto po numerze telefonu. Gdy ktoś instaluje aplikację na nowym telefonie i wpisuje numer, usługa wysyła kod SMS-em (albo połączeniem, albo w samej aplikacji) na telefon właściciela, aby potwierdzić, że numer należy do niego. Oszust potrzebuje dokładnie tego, co właśnie do ciebie dotarło.

Scenariusz zwykle wygląda tak:

1. Oszust wpisuje twój numer na swoim telefonie i rozpoczyna rejestrację. Ty dostajesz oficjalny SMS z kodem.
2. Pisze do ciebie z prośbą o kod. Często z konta prawdziwego znajomego, które już zostało przejęte, dlatego wiadomość przychodzi od kogoś, komu ufasz. Innym razem podaje się za pomoc techniczną WhatsAppa, organizatora konkursu lub głosowania albo kogoś, kto "pomylił numer".
3. Naciska. "To pilne", "zablokują mi konto", "to tylko chwila".
4. Jeśli wyślesz kod, konto przechodzi na jego telefon. Twój WhatsApp zostaje wylogowany, a on często włącza własną weryfikację dwuetapową, żebyś nie mógł łatwo odzyskać konta.
5. Wykorzystuje twoją tożsamość. Pisze do twoich kontaktów i grup z prośbą o pilne pieniądze, przelew lub natychmiastową płatność (w Hiszpanii często przez Bizum, tamtejszą usługę płatności mobilnych, w Polsce na przykład przez BLIK) albo znowu o "kod, który wysłałem ci przez pomyłkę". Tak łańcuch toczy się dalej.

Jakie są sygnały ostrzegawcze?

• Dostajesz kod, o który nie prosiłeś. To najwyraźniejszy znak: ktoś próbuje dostać się do twojego konta.
• W SMS-ie jest wprost napisane, żeby go nikomu nie podawać. Oficjalne wiadomości WhatsAppa, Telegrama, twojego banku i niemal każdej usługi o tym ostrzegają.
• Ktoś prosi o kod na czacie, nawet jeśli to przyjaciel. Nikt nie może wysłać ci "przez pomyłkę" kodu do swojego konta: kody trafiają zawsze na numer, który jest rejestrowany.
• Pisze do ciebie "pomoc techniczna". WhatsApp i Telegram nie poproszą cię o kod na czacie, SMS-em ani telefonicznie.
• Jest pośpiech albo dziwna wymówka: konkurs, głosowanie, konto, które "zaraz zostanie zablokowane".

Co robić od razu, jeśli ktoś o niego prosi?

1. Nie przesyłaj kodu ani nie dyktuj go przez telefon. Nawet jego części.
2. Sprawdź innym kanałem. Jeśli wiadomość przyszła od znajomego, zadzwoń na jego zwykły numer albo zapytaj osobiście. Bardzo prawdopodobne, że jego konto już zostało przejęte; powiedz mu o tym.
3. Włącz teraz weryfikację dwuetapową (jak to zrobić, piszemy niżej). Dzięki niej nawet ktoś, kto zdobędzie kod, będzie potrzebował jeszcze PIN-u, który znasz tylko ty.
4. Zablokuj i zgłoś czat w samej aplikacji. Jeśli wiadomość przyszła z nieznanego numeru, możesz zgłosić go również w katalogu numerów spamowych.
5. Ostrzeż innych: jeśli ktoś podszywa się pod znajomego, napisz o tym w waszej wspólnej grupie, żeby nikt więcej się nie nabrał.

Jak włączyć weryfikację dwuetapową?

To najskuteczniejsza ochrona przed tym oszustwem, a jej włączenie zajmuje minutę:

• WhatsApp: Ustawienia Konto Weryfikacja dwuetapowa Włącz. Wybierz sześciocyfrowy PIN, którego nie używasz nigdzie indziej, i dodaj adres e-mail, aby móc go zresetować, jeśli go zapomnisz.
• Telegram: Ustawienia Prywatność i bezpieczeństwo Weryfikacja dwuetapowa. Utwórz hasło i dodaj e-mail do odzyskiwania.

Tego PIN-u ani hasła też nikomu nie podawaj. Menu mogą się nieco różnić w zależności od wersji aplikacji, ale opcja zawsze ma tę nazwę. Przy okazji przejrzyj połączone urządzenia (WhatsApp: Ustawienia Połączone urządzenia; Telegram: Ustawienia Urządzenia) i zakończ każdą sesję, której nie rozpoznajesz.

A jeśli już wysłałem kod?

Działaj szybko. Im wcześniej, tym łatwiej odzyskać konto:

1. Zarejestruj ponownie swój numer na swoim telefonie. Otwórz WhatsApp, wpisz swój numer i potwierdź go nowym kodem, który dostaniesz SMS-em. W ten sposób sesja oszusta zostanie zamknięta.
2. Jeśli aplikacja prosi o PIN, którego nie znasz, oszust włączył własną weryfikację dwuetapową. Nie zablokuje cię jednak na zawsze: po okresie oczekiwania wynoszącym kilka dni WhatsApp pozwala ponownie zarejestrować konto bez tego PIN-u. W międzyczasie napisz do pomocy technicznej z poziomu aplikacji (Ustawienia Pomoc) i wyjaśnij, że twoje konto zostało skradzione.
3. W Telegramie zaloguj się swoim numerem, przejdź do Ustawienia Urządzenia i stuknij "Zakończ wszystkie inne sesje". Następnie ustaw hasło weryfikacji dwuetapowej.
4. Ostrzeż kontakty innym kanałem (SMS, telefon, media społecznościowe lub przez rodzinę): "Ukradziono mi WhatsAppa, ignorujcie każdą wiadomość ode mnie z prośbą o pieniądze lub kody".
5. Jeśli kod pochodził z twojego banku lub aplikacji płatniczej, natychmiast zadzwoń na oficjalny numer banku (ten z odwrotu karty lub ze strony banku), aby zablokować operacje.
6. Zachowaj dowody: zrzuty ekranu wiadomości, numer, z którego się z tobą kontaktowano, i godzinę.

Gdzie to zgłosić i kto może pomóc?

• Policja: w Hiszpanii Policía Nacional (091) lub Guardia Civil (062); gdzie indziej policja w twoim kraju. Złóż zawiadomienie ze zrzutami ekranu, zwłaszcza jeśli ktoś podszył się pod ciebie lub ktoś stracił pieniądze. To, że wysłałeś kod, nie czyni cię winnym: jesteś ofiarą oszustwa.
• Pomoc w zakresie cyberbezpieczeństwa: w Hiszpanii linia 017 instytutu INCIBE to bezpłatna i poufna infolinia, która krok po kroku pomoże odzyskać konto i zabezpieczyć urządzenia, a Biuro Bezpieczeństwa Internauty (OSI) INCIBE publikuje poradniki, jak bezpiecznie skonfigurować WhatsApp i Telegram. Gdzie indziej zwróć się do krajowej instytucji ds. cyberbezpieczeństwa (w Polsce na przykład CERT Polska).
• 112: tylko w nagłym wypadku lub przy bezpośrednim zagrożeniu.

Jeśli ktoś z twoich kontaktów dostał prośbę o pieniądze w twoim imieniu, przeczytaj też, jak działa oszustwo "na dziecko w tarapatach" przez WhatsApp: to typowy ciąg dalszy tej kradzieży.

Najczęściej zadawane pytania

Dostałem kod, o który nie prosiłem, ale nikomu go nie podałem. Czy coś mi grozi? Nie. Bez kodu nie wejdą na konto. To znaczy, że ktoś wypróbował twój numer; zignoruj SMS, nie odpowiadaj osobie, która o niego prosi, i włącz weryfikację dwuetapową.

Poprosił mnie o niego prawdziwy przyjaciel, jak to może być oszustwo? Bo osoba, która pisze, prawdopodobnie nie jest twoim przyjacielem, tylko tym, kto ukradł jego konto. Zadzwoń do niego, zanim cokolwiek zrobisz.

Czy mogą czytać moje stare rozmowy? Z reguły przy rejestracji konta na nowym telefonie twoje stare czaty nie są pobierane, jeśli oszuści nie mają dostępu do twojej kopii zapasowej. Mogą natomiast pisać w twoim imieniu i widzieć nowe wiadomości, które przychodzą, dopóki kontrolują konto.

Czy warto zmienić numer? Nie trzeba. Wystarczy odzyskać konto i włączyć weryfikację dwuetapową.

Podsumowanie

Kod, który przychodzi SMS-em, należy do ciebie i do nikogo więcej: ani do znajomych, ani do "pomocy technicznej", ani do konkursów. Jeśli ktoś o niego prosi, nie wysyłaj go, sprawdź innym kanałem i włącz weryfikację dwuetapową. Jeśli już go wysłałeś, zarejestruj ponownie swój numer, ostrzeż kontakty i zgłoś sprawę. A jeśli próba przyszła z nieznanego numeru, zgłoś go w katalogu numerów spamowych NoCall, aby inni rozpoznali go na czas.