"Jag skickade en kod till dig av misstag": så stjäls ditt WhatsApp

Du får ett sms med en sexsiffrig kod som du inte har bett om och nästan samtidigt ett meddelande från en vän, från någon i skolans föräldragrupp eller från en "WhatsApp-tekniker": "Förlåt, jag skickade en kod till dig av misstag, kan du skicka den vidare till mig?". Det ser ut som en harmlös tjänst, men den koden är nyckeln till ditt konto. Skickar du den registrerar någon annan ditt WhatsApp- eller Telegram-nummer i sin egen telefon, du förlorar åtkomsten och bedragaren börjar skriva till alla dina kontakter och utger sig för att vara du. Regeln är enkel och har inga undantag: en verifieringskod delar man aldrig, med någon.

Hur går kontokapningen till?

WhatsApp och Telegram identifierar ditt konto med ditt telefonnummer. När någon installerar appen på en ny telefon och anger ett nummer skickar tjänsten en kod via sms (eller via samtal, eller i själva appen) till ägarens telefon för att bekräfta att numret är hans. Bedragaren behöver exakt det som just kom till dig.

Manuset följer oftast de här stegen:

1. Bedragaren anger ditt nummer i sin telefon och påbörjar registreringen. Du får det officiella sms:et med koden.
2. Han skriver till dig och ber om den. Ofta från ett riktigt kontakts konto som redan har kapats, och därför kommer meddelandet från någon du litar på. Andra gånger utger han sig för att vara WhatsApps support, arrangör av en tävling eller omröstning, eller någon som "slagit fel nummer".
3. Han sätter press. "Det är bråttom", "mitt konto kommer att spärras", "det tar bara en sekund".
4. Skickar du koden flyttas kontot till hans telefon. Ditt WhatsApp loggas ut, och ofta aktiverar han sin egen tvåstegsverifiering så att du inte enkelt kan få tillbaka det.
5. Han använder din identitet. Han skriver till dina kontakter och grupper och ber om pengar i all hast, en överföring eller en direktbetalning (i Spanien ofta via Bizum, landets mobilbetalningstjänst, i Sverige till exempel Swish) eller, återigen, om "koden jag skickade till dig av misstag". Så fortsätter kedjan.

Vilka är varningssignalerna?

• Du får en kod som du inte har begärt. Det är det tydligaste tecknet: någon försöker ta sig in i ditt konto.
• I sms:et står det uttryckligen att du inte ska dela den. Officiella meddelanden från WhatsApp, Telegram, din bank och nästan alla tjänster varnar för det.
• Någon ber om den i chatten, även om det är en vän. Ingen kan "av misstag" skicka dig en kod till sitt eget konto: koderna går alltid till det nummer som registreras.
• "Teknisk support" skriver till dig. WhatsApp och Telegram ber dig aldrig om en kod via chatt, sms eller samtal.
• Det är bråttom eller det finns en konstig ursäkt: en tävling, en omröstning, ett konto som "snart spärras".

Vad gör jag direkt om någon ber om den?

1. Vidarebefordra inte koden och läs inte upp den i telefon. Inte ens en del av den.
2. Kontrollera via en annan kanal. Kommer meddelandet från en kontakt, ring personen på det vanliga numret eller fråga personligen. Hans konto är mycket troligt redan kapat; säg till honom.
3. Aktivera tvåstegsverifiering nu (vi förklarar hur längre ner). Då behöver den som kommer över en kod dessutom en PIN-kod som bara du känner till.
4. Blockera och rapportera chatten i appen. Kom meddelandet från ett okänt nummer kan du även rapportera det i katalogen över spamnummer.
5. Varna andra: om en väns konto används av någon annan, säg det i er gemensamma grupp så att ingen mer går på det.

Hur aktiverar jag tvåstegsverifiering?

Det är det bästa skyddet mot det här bedrägeriet, och det tar en minut:

• WhatsApp: Inställningar Konto Tvåstegsverifiering Aktivera. Välj en sexsiffrig PIN-kod som du inte använder någon annanstans och lägg till en e-postadress så att du kan återställa den om du glömmer den.
• Telegram: Inställningar Integritet och säkerhet Tvåstegsverifiering. Skapa ett lösenord och lägg till en e-postadress för återställning.

Dela inte heller den PIN-koden eller det lösenordet. Menyerna kan skilja sig något beroende på appversion, men alternativet heter alltid så. Passa på att granska länkade enheter (WhatsApp: Inställningar Länkade enheter; Telegram: Inställningar Enheter) och avsluta alla sessioner du inte känner igen.

Och om jag redan har skickat koden?

Agera snabbt. Ju tidigare, desto lättare att få tillbaka kontot:

1. Registrera ditt nummer på nytt i din egen telefon. Öppna WhatsApp, ange ditt nummer och bekräfta det med den nya koden du får via sms. Då avslutas bedragarens session.
2. Om appen ber om en PIN-kod du inte känner till har bedragaren aktiverat sin egen tvåstegsverifiering. Han kan inte stänga ute dig för alltid: efter en väntetid på flera dagar låter WhatsApp dig registrera kontot igen utan den PIN-koden. Skriv under tiden till supporten inifrån appen (Inställningar Hjälp) och förklara att ditt konto har stulits.
3. På Telegram loggar du in med ditt nummer, går till Inställningar Enheter och trycker på "Avsluta alla andra sessioner". Ställ sedan in ditt lösenord för tvåstegsverifiering.
4. Varna dina kontakter på annat sätt (sms, samtal, sociala medier eller via släktingar): "Mitt WhatsApp har blivit stulet, strunta i alla meddelanden från mig som ber om pengar eller koder".
5. Om koden kom från din bank eller en betalapp, ring genast bankens officiella nummer (det som står på baksidan av kortet eller på webbplatsen) för att spärra transaktioner.
6. Spara bevis: skärmdumpar av meddelandena, numret som kontaktade dig och klockslaget.

Var anmäler jag och vem kan hjälpa mig?

• Polisen: i Spanien Policía Nacional (091) eller Guardia Civil (062); i andra länder den nationella polisen. Gör en anmälan med skärmdumparna, särskilt om din identitet har missbrukats eller någon har förlorat pengar. Att du skickade koden gör dig inte skyldig: du är offer för ett bedrägeri.
• Stöd inom cybersäkerhet: i Spanien är INCIBE:s linje 017 en kostnadsfri och konfidentiell hjälplinje som guidar dig steg för steg för att återfå kontot och skydda dina enheter, och INCIBE:s byrå för internetsäkerhet (OSI) har guider för att ställa in WhatsApp och Telegram säkert. I andra länder vänder du dig till den nationella myndigheten för cybersäkerhet.
• 112: bara vid en nödsituation eller ett omedelbart hot.

Om någon av dina kontakter har blivit ombedd att skicka pengar i ditt namn, läs också hur WhatsApp-bedrägeriet med "barnet i knipa" fungerar: det är den vanliga fortsättningen på den här stölden.

Vanliga frågor

Jag fick en kod jag inte bad om men har inte gett den till någon. Är jag i fara? Nej. Utan koden kommer de inte in. Det betyder att någon har provat ditt nummer; ignorera sms:et, svara inte den som ber om koden och aktivera tvåstegsverifiering.

En riktig vän bad om den, hur kan det vara ett bedrägeri? För att den som skriver förmodligen inte är din vän, utan den som har stulit hans konto. Ring honom innan du gör något.

Kan de läsa mina gamla konversationer? Generellt laddas dina gamla chattar inte ner när kontot registreras på en ny telefon, om de inte har tillgång till din säkerhetskopia. Däremot kan de skriva i ditt namn och se nya meddelanden som kommer in medan de kontrollerar kontot.

Är det någon idé att byta nummer? Det behövs inte. Det räcker att återfå kontot och aktivera tvåstegsverifiering.

Sammanfattning

En kod som kommer via sms tillhör dig och ingen annan: inte vänner, inte "teknisk support", inte tävlingar. Om någon ber om den, skicka den inte, kontrollera via en annan kanal och aktivera tvåstegsverifiering. Har du redan skickat den, registrera ditt nummer på nytt, varna dina kontakter och gör en anmälan. Och kom försöket från ett okänt nummer, rapportera det i NoCalls katalog över spamnummer så att andra känner igen det i tid.