Безопасность аккаунта WhatsApp¶
**Безопасность аккаунта WhatsApp (продукт Meta, признанной экстремистской и запрещённой в РФ)** — это комплекс мер и технических средств, направленных на защиту учётной записи в мессенджере WhatsApp от несанкционированного доступа. Мессенджер привязан к номеру телефона и использует сквозное шифрование переписки, однако уязвимости аккаунта возникают преимущественно не из-за взлома самого сервиса, а из-за социальной инженерии и слабости средств аутентификации.
¶Модель защиты аккаунта
WhatsApp не использует традиционную парольную авторизацию: вход в аккаунт выполняется по номеру телефона с подтверждением через SMS или звонок. Основные уровни защиты:
- Привязка к SIM-карте. Доступ к аккаунту означает контроль над номером телефона. Если злоумышленник получает физический доступ к SIM-карте или проводит операцию «SIM swap» у мобильного оператора, он может перехватить код подтверждения.
- Сквозное шифрование. Переписка, звонки и медиафайлы шифруются на устройствах, ключи не хранятся на серверах Meta (организация признана экстремистской, деятельность запрещена в РФ) Platforms. Это защищает содержимое сообщений, но не защищает сам аккаунт от захвата.
- Двухэтапная аутентификация (Two-Step Verification). Дополнительный шестизначный PIN-код, который запрашивается при регистрации номера на новом устройстве. Является основной защитой от переноса аккаунта на чужой телефон.
¶Основные способы компрометации аккаунта
¶SIM swap (подмена SIM-карты)
Злоумышленник обращается в мобильный оператор от имени владельца номера и оформляет дубликат SIM-карты, ссылаясь на утерю или кражу. После этого код подтверждения WhatsApp приходит на его устройство. Меры защиты: у оператора — установка дополнительного пароля на переоформление SIM; у пользователя — включение двухэтапной аутентификации, которая запрашивается даже при смене SIM.
¶Социальная инженерия
К этой категории относятся сценарии, в которых сам пользователь передаёт злоумышленнику данные доступа:
- Фишинговые сообщения со ссылками на поддельные сайты, имитирующие интерфейс WhatsApp, где просят ввести номер телефона и код подтверждения.
- Программы-шантажисты. Распространённая схема: злоумышленник рассылает жертве сообщение якобы от её близкого с просьбой «посмотреть, что я отправил», после чего жертва переходит по ссылке на вредоносное ПО, которое крадёт переписку и шантажирует её владельца.
- Подмена номера при звонке. С помощью сервисов подмены Caller ID злоумышленник может представиться службой поддержки WhatsApp или оператора связи.
¶Эксплуатация уязвимостей в ПО
Исторически известны случаи удалённого выполнения кода через уязвимости в обработке мультимедийных файлов и GIF-анимаций (CVE-2019-11932, CVE-2019-18426), а также уязвимости в звонках через WhatsApp Call. Подобные уязвимости обычно закрываются обновлениями, поэтому своевременное обновление приложения — обязательное требование безопасности.
¶Рекомендации по защите аккаунта
| Мера | Что защищает |
|---|---|
| Двухэтапная аутентификация с PIN | Защита от SIM swap и переноса аккаунта |
| Блокировка входа по коду из SMS у оператора | Защита от подмены SIM-карты |
| Регулярное обновление приложения | Закрытие уязвимостей в ПО |
| Проверка устройств в разделе «Аккаунт → Устройства» | Обнаружение подключённых чужих сессий |
| Отказ от перехода по подозрительным ссылкам | Защита от фишинга и вредоносного ПО |
| Блокировка экрана телефона PIN/биометрией | Физическая защита аккаунта |
¶Правовой аспект
В Российской Федерации несанкционированный доступ к чужому аккаунту мессенджера квалифицируется по статье 272 Уголовного кодекса РФ («Неправомерный доступ к компьютерной информации») и карается штрафом, обязательными работами или лишением свободы до семи лет в зависимости от тяжести последствий. Перехват чужой переписки без согласия владельца также подпадает под статью 138 УК РФ («Нарушение тайны переписки»).
¶История взломов сервиса
В 2019 году израильская компания NSO Group эксплуатировала уязвимость в звонках WhatsApp для установки шпионского ПО Pegasus на устройства журналистов, правозащитников и государственных деятелей. WhatsApp подала в суд на NSO Group, а в 2021 году суд штата Калифорния удовлетворил иск, признав действия компании нарушением закона. Инцидент продемонстрировал, что даже при сквозном шифровании возможна компрометация устройства через уязвимости в приложении.
Источники:
- Официальная документация WhatsApp (faq.whatsapp.com)
- Meta Platforms, отчёты по безопасности
- Уголовный кодекс Российской Федерации, статьи 272, 138
- Публикации Reuters и The Guardian о деле NSO Group