Sahte oylama taktikleri aracılığıyla WhatsApp kullanıcılarını hedef alan yeni bir kimlik avı kampanyası ortaya çıkarıldı. Bu saldırı şekli, kurbanları genç sporcuların yer aldığı iddia edilen bir oylama sayfasıyla cezbediyor. Ayrıca diğer oylama konularını da istismar edebiliyor. Bu yöntem farklı senaryolara kolayca uyarlanabiliyor. Saldırganların nihai hedefi ise WhatsApp hesaplarını ele geçirmek.
Dolandırıcılık, kullanıcıların oy verme yarışması düzenlendiğini iddia eden, görünüşte meşru bir web sayfasına yönlendirilmesiyle başlıyor. Örneğin sayfada sporcuların fotoğrafları yer alıyor ve her birinin yanında bir “Oy Ver” düğmesi ve iddia edilen oy toplamlarını ve katılan kullanıcı sayısını gösteren gerçek zamanlı sayaçlar bulunuyor. Bu unsurlar, sahte gerçeklik hissi yaratarak kullanıcıların katılımını teşvik ediyor. Sayfa ayrıca, “yetkilendirme” sonrasında herkesin yarışmaya katılabileceğini ve kazananların “sponsorlardan” ödüller alacağını iddia ederek katılımı daha da cazip hale getiriyor.
“Oy ver” veya “Yetkilendir” düğmelerine tıklandığında, kullanıcılar WhatsApp üzerinden hızlı ve basit bir şekilde yetkilendirme yapmaya teşvik eden sahte bir web sayfasına yönlendiriliyor. Bu aşamada kullanıcılardan WhatsApp ile ilişkili cep telefonu numaralarını girmeleri isteniyor. Saldırganlar daha sonra WhatsApp özelliğini kullanarak tek kullanımlık bir kodla mesajlaşma uygulamasının web arayüzüne giriş yapıyor. WhatsApp Web’e giriş yapmak için kurbanın telefon numarasını giriyor ve sistem 6 haneli kod veriyor. Kullanıcı bu kodu akıllı telefonundaki uygulamaya girdiğinde, saldırganların başlattığı web oturumu etkin hale geliyor. Böylece kurbanı gözetleyebiliyor, mesaj yazabiliyor ve sonunda hesabı ele geçirebiliyor.
Saldırganlar tarafından yansıtılan WhatsApp doğrulama kodu
Kaspersky Web İçeriği Analisti Tatyana Shcherbakova, şunları söylüyor:
“Oylama içeren çevrimiçi yarışmaların şu anda çok popüler olduğunu görüyoruz. Siber saldırganlar, bu zararsız gibi görünen etkinliğe duyulan güveni istismar etmekten çekinmiyor. Sosyal mühendisliği ikna edici sahte arayüzlerle birleştirerek, hassas verileri çalmak için kullanıcı etkileşimini bir silah olarak kullanıyor. Bu yüzden güvenlik için farkındalık ve dikkatli olmak çok önemli.”
