Cos’è il GhostPairing e come può mettere in pericolo il vostro account WhatsApp

Un gruppo di ricercatori della società di sicurezza informatica Gen Digital ha individuato una nuova raffinata tecnica di ingegneria sociale che può potenzialmente mettere in pericolo chiunque sia in possesso di un account WhatsApp. Il tutto senza violare i protocolli di crittografia della piattaforma, ma sfruttando alcune funzioni integrate in WhatsApp che permettono di perpetrare il GhostPairing, così i ricercatori hanno definito la tecnica. Sfruttando l'opzione “Dispositivi collegati”, i criminali informatici inseriscono silenziosamente un osservatore esterno all'interno delle nostre conversazioni private. Questo diventa possibile inducendo la vittima ad autorizzare un nuovo dispositivo (solitamente il browser dell'attaccante) facendogli credere di completare una banale procedura di verifica per visualizzare un contenuto multimediale su una piattaforma esterna, spesso camuffata da Facebook.

La pericolosità di questo attacco risiede nell'invisibilità di cui gode il criminale informatico. Quest'ultimo, infatti, non impedisce all'utente di continuare a usare il proprio telefono per ricevere e inviare messaggi e, in questo modo, può leggere la cronologia chat della vittima, ascoltare le note vocali, inviare messaggi impersonando il proprietario dell'account e trasformando il profilo compromesso in un ponte con cui poter potenzialmente diffondere l'infezione a tutti i contatti in rubrica. Vediamo più nel dettaglio come funziona il GhostPairing su WhatsApp e come difendersi.

Come funziona il GhostPairing di WhatsApp

Tutto ha inizio solitamente con una notifica che appare innocua, proveniente da un contatto presente nella nostra rubrica, un amico, un familiare o un collega che, a sua insaputa, il cui account WhatsApp è già stato compromesso. Il testo è breve, colloquiale e fa leva sulla curiosità, con frasi del tipo «Ehi, ho appena trovato la tua foto!» seguite da un collegamento ipertestuale che rimanda a un indirizzo, solitamente di questo tipo:

• photobox.life
• postsphoto.life
• yourphoto.life
• photopost.live
• yourphoto.world
• top-foto.life
• fotoface.top

La provenienza di un messaggio da parte di un contatto già presente in rubrica (anziché da un numero sconosciuto), l'assenza di errori grammaticali grossolani e l'invito ad aprire il link per vedere una propria foto, abbassa le difese e potenzialmente può indurre chi riceve il messaggio a compiere l'azione proposta dietro la spinta della curiosità che scaturisce dal messaggio ricevuto. Peccato che, ciccando sul link in questione, non si viene indirizzati verso un vero social network, ma su una pagina Web che funge da esca e che replica fedelmente l'interfaccia grafica di Facebook, utilizzandone i colori, i loghi e il layout per generare un senso di familiarità e sicurezza in chi la visita. Questa pagina fraudolenta ci avvisa che, per visualizzare l'immagine promessa, è necessario completare la verifica dell'identità. È a questo punto che scatta la trappola del GhostPairing: il sito non sta cercando di rubare le credenziali di Facebook, ma sta avviando in background la procedura per collegare un nuovo dispositivo al nostro account WhatsApp.

Il meccanismo tecnico su cui si basa questa truffa sfrutta l'opzione che permette di associare WhatsApp Web o Desktop non solo tramite il classico QR Code, ma anche attraverso l'inserimento di un codice alfanumerico associato al proprio numero di telefono. Gli aggressori nella stragrande maggioranza dei casi preferiscono questa seconda strada perché è eseguibile interamente dallo smartphone della vittima, senza la necessità di inquadrare schermi esterni, rendendo il processo molto più fluido e credibile. Il tutto avviene in cinque fasi:

1. La vittima fornisce il proprio numero di cellulare sulla finta pagina Facebook.
2. La pagina recapita il numero raccolto alla funzione legittima di WhatsApp “Collega un dispositivo”.
3. WhatsApp a questo punto genera un codice di associazione che dovrebbe essere visibile solo al proprietario dell'account.
4. Il sito messo in piedi dall'autore dell'attacco prende quel codice e lo mostra alla vittima con un testo che suggerisce di «inserirlo in WhatsApp per confermare l'accesso e vedere la foto».
5. A questo punto, la vittima apre WhatsApp, vede la richiesta di abbinamento e inserisce il codice, pensando che stia completando un controllo di sicurezza legittimo.

Una volta stabilita la connessione (o pairing), l'intruso agisce come un dispositivo “fantasma” (in inglese ghost, da cui il nome GhostPairing). A partire da questo momento ha accesso in tempo reale a tutto ciò che passa per l'account della sua vittima: può leggere messaggi in arrivo e quelli passati, scaricare foto e video, ascoltare messaggi vocali e carpire informazioni sensibili. Ancora più grave è la possibilità di inviare messaggi a nome della sua vittima; questo permette alla truffa di auto-propagarsi a macchia d'olio sfruttando la fiducia che i contatti ripongono nell'utente, creando un effetto “palla di neve” difficile da arrestare.

Come difendersi dal GhostPairing di WhatsApp

Per difendersi dal rischio di GhostPairing di WhatsApp, è fondamentale ricordare un aspetto chiave sottolineato dai ricercatori di sicurezza di Gen Digital:

[Bisogna] considerare sospetta qualsiasi richiesta di scansionare un codice QR di WhatsApp o di inserire un codice numerico da una pagina Web. Il collegamento a WhatsApp dovrebbe avvenire dall'interno dell'app e in risposta a un'azione deliberata, non perché un sito esterno ti dice che è necessario per visualizzare un file. […] L'attivazione della verifica in due passaggi in WhatsApp aggiunge un ulteriore ostacolo ad altri tipi di abuso dell'account. Non è una soluzione completa, ma riduce la gamma di azioni che gli aggressori possono compiere una volta entrati.

Per sincerarvi che il vostro account WhatsApp non sia spiato tramite la tecnica del GhostPairing, inoltre, fate questo controllo.

1. Aprite l'app di WhatsApp e recatevi nella sezione Impostazioni > Dispositivi collegati.
2. Analizzate con attenzione l'elenco dei dispositivi collegati al vostro account.
3. Se notate un collegamento sospetto, toccate il nome del dispositivo da rimuovere e selezionate la voce Esci per due volte di seguito.

non perderti questo articolo

Perché caschiamo nelle truffe su WhatsApp? Il ruolo dell’ingegneria sociale e come difendersi