Přišla vám výzva k hlasování na WhatsAppu? Je to podvod

Tenhle scénář se v posledních měsících stále opakuje. A pokaždé, když se vrátí, dopadá na další tisíce lidí a část z nich opravdu pošle peníze. Ale peníze jsou jen ta nejvíc viditelná část škody. Ta méně viditelná je možná ještě zásadnější: útočník totiž sedí uvnitř vašeho účtu, čte vaše konverzace a píše vaším jménem. A vy o tom celé hodiny netušíte.

Tenhle typ útoku známe pod názvem WhatsApp podvod přes hlasování. Útočník nechce váš telefon – chce vaši identitu v aplikaci, kterou máte celý den v ruce.

Jak to začíná: odkaz od někoho, koho znáte

Přijde vám zpráva od kamaráda. „Prosím, pomoz mojí dceři vyhrát ve školní soutěži. Posílám link pro hlasování.” Odkaz vypadá nenápadně. Odesílatel je skutečný člověk z vašich kontaktů – ten, komu podvodníci už účet ukradli pár okamžiků předtím.

Kliknete. Stránka vypadá jako skutečná soutěž – hlasy, fotky soutěžících, počítadlo. Aby se váš hlas počítal, musíte „ověřit telefonní číslo”. Zadáte ho. Stránka vás provede několika kroky.

Tyhle kroky ale nemají nic společného s hlasováním. Manipulují vás k tomu, abyste k vašemu WhatsAppu přidali nové zařízení – notebook podvodníka. Samotný WhatsApp vás během procesu varuje. Pokud ta varování ale ignorujete, předáte útočníkovi plnou kontrolu nad svým účtem.

Co udělá útočník během prvních pěti minut

První krok je vždy stejný: ztlumí vám notifikace. Ztlumení na jednom zařízení se projeví i na všech ostatních. Vy nic neslyšíte, nic nevidíte. Útočník má klid na práci.

Pak vaším jménem začne rozesílat zprávy vašim kontaktům. Půjde o dva typy zpráv:

1. Další výzvy k hlasování – přesně ten odkaz, na který jste naletěli i vy. Tímhle útočník rozšiřuje síť „infikovaných” obětí.
2. Žádosti o půjčení peněz. „Ahoj, můžeš mi prosím půjčit 45 000 Kč? Potřebuju to na účet, zítra ti je vrátím.”

Protože notifikace máte vypnuté, nevšimnete si, že za vašimi zády běží paralelně desítky konverzací. Netušíte, že na „vaše” zprávy někdo odpovídá a první z vašich přátel „vám” možná už poslali i peníze.

Proč to není jen o penězích

Nejde jen o ty desítky nebo stovky ukradený tisíc. Problém může být mnohem zásadnější nejen pro vás, ale i pro vaše kontakty.

Útočník, který sedí uvnitř vašeho účtu, vidí celou vaši komunikaci. Fotky, hlasové zprávy, dokumenty, které jste si s kolegou poslali přes víkend. Zprávy s partnerem. Důvěrné pracovní diskuze. Zálohy starých konverzací.

„End-to-end šifrování chrání zprávy před tím, kdo se je snaží odposlechnout cestou. Nechrání je ale před někým, kdo se přihlásí přímo k vašemu účtu.”

Útočník si z toho obsahu může vybrat cokoliv: obchodní informace, kompromitující fotky, osobní rozhovory. Může je použít k vydírání – vás nebo někoho z vašich kontaktů. Reputační nebo obchodní škoda v takové situaci výrazně převyšuje možnou finanční ztrátu.

Proč naletí i lidé, kteří si myslí, že naletět nemůžou

V posledních měsících se veřejně přiznali třeba bývalý premiér Mirek Topolánek nebo Pavel Bělobrádek – oba zkušení politici, oba se nechali nachytat na „hlasování”. Není to náhoda. Žádost přichází z vám známého kontaktu, ne od někoho cizího. Dost pravděpodobně to číslo patří vašemu kamarádovi, kolegovi z práce, nebo někomu z rodiny. Mozek v tu chvíli nepracuje s variantou „tohle je podvod” – pracuje s variantou „kamarád něco potřebuje”.

Věk oběti se pohybuje napříč generacemi. Nejde o seniory. Jde o kohokoliv, kdo má WhatsApp a kdo v tu chvíli nemá sílu zpochybnit zprávu od známého.

Doplatit na to ale nemusí jen sám napadený. Kolektivní dopad bez kolektivní viny je pro tenhle typ podvodu typický: jeden z kontaktů pošle peníze na falešnou žádost, další naletí na stejnou výzvu k hlasování, třetí přijde o důvěrné informace ze sdílených konverzací. Podobnou logiku popisuji i v článku o falešných bankéřích ve školách.

Co dělat, když vám podobná zpráva přijde

1. Nikdy neklikejte na odkazy s výzvou k hlasování nebo účasti v soutěži ve WhatsAppu – ani od kontaktu, který znáte.
2. Žádost o půjčku v chatu? Nic neposílejte. Zavolejte dotyčnému. Pokud nezvedá, zkuste jiný kanál (SMS, e-mail, osobně). Teprve pak řešte peníze.
3. Pokud vám útočník pošle číslo bankovního účtu, na který byste měli poslat peníze, zavolejte do banky, které účet patří, a číslo nahlaste. Rychlé hlášení dokáže zabránit tomu, aby útočníci okradli někoho jiného.
4. Pokud už víte, že kamarádův účet někdo zneužil, kontaktujte ho okamžitě jiným kanálem. Rozhodně ho nezkoušejte kontaktovat přes WhatsApp. Ten ovládají podvodníci.
5. Jestliže jste naletěli na hlasování, zkontrolujte v nastavení svého WhatsApp záložku „Připojená zařízení” a odhlaste všechna, která nepoznáváte.