WhatsApp insegue i truffatori di password cinesi tramite il tribunale statunitense

Se non puoi batterli, denunciarli!

In realtà, la citazione originale non è proprio così, ma hai un'idea: se non riesci a impedire alle persone di scaricare app fasulle e contaminate da malware che fingono di essere supportate dal tuo potente marchio globale...

...perché non utilizzare invece il tuo potente marchio globale per citare in giudizio i creatori di queste app dannose che diffondono malware?

Questa non è una tecnica nuova (l'azione legale dei giganti del settore IT ha già aiutato a eliminare siti Web dannosi e servizi di distribuzione di malware) e non impedirà alla prossima ondata di perpetratori di riprendere da dove era stato interrotto l'ultimo lotto.

Ma vale la pena provare tutto ciò che rende più difficile per i venditori ambulanti di malware operare in bella vista.

WhatApp all'offensiva

WhatsApp, insieme alla sua casa madre Meta, ha preso il via azione legale nei confronti di tre società a suo carico "ha indotto oltre un milione di utenti WhatsApp ad auto-compromettere i propri account come parte di un attacco di acquisizione di account".

In parole povere, autocompromesso in questo contesto si fa riferimento al phishing basato su app: crea una finestra di dialogo di accesso fasulla che conserva una copia non autorizzata di tutto ciò che inserisci, compresi i dati personali come le password.

Come probabilmente puoi immaginare, e come afferma WhatsApp nel suo deposito in tribunale, il valore principale di questi account compromessi per i presunti trasgressori era che potevano essere utilizzati per "inviare messaggi di spam commerciali".

A differenza dell'ecosistema e-mail, dove chiunque può inviare e-mail a chiunque (o, nel caso di mittenti di messaggi in blocco, dove qualcuno può inviare e-mail a tutti), le app di messaggistica e social media come WhatsApp si basano su gruppi chiusi.

Questo tipo di mondo online non è affatto facile da infiltrare per spammer e truffatori.

In effetti, conosciamo molte persone che non usano quasi più la posta elettronica, preferendo comunicare con amici e familiari esattamente attraverso questo tipo di gruppo chiuso, principalmente perché evita il flusso di spazzatura invadente e indesiderata che devono affrontare tramite e-mail.

Naturalmente, il rovescio della medaglia di un ecosistema di messaggistica a gruppi chiusi è che è più probabile che tu creda, o almeno dai un'occhiata, alle cose che ricevi da persone che conosci.

È improbabile che tu apra documenti o clicchi su collegamenti che provengono chiaramente da un mittente di posta elettronica che non hai mai incontrato prima, che non vuoi incontrare e non lo farai mai...

...ma anche se sai che tua cugina Chazza è incline a condividere meme lamentosi e video che fanno alzare le sopracciglia, probabilmente dai comunque un'occhiata a loro, perché sai già cosa aspettarti, e, ehi, è tuo cugino, non del tutto mittente in linea casuale.

In altre parole, se i truffatori possono entrare nei tuoi account sui social media, non solo ottengono l'accesso alla tua lista di persone-sono-felice-di-chattare, ma acquisiscono anche la capacità di inviare spam a quell'elenco di persone che -sono-felice-di-sentirti-con-messaggi che apparentemente sono stati inviati con la tua benedizione.

Sfortunatamente, non basta fidarsi del mittente, perché devi fidarti anche del dispositivo del mittente e del suo account.

Lo spamming e la truffa sui social network basati su account compromessi sono un po' simili Compromesso e-mail aziendale (BEC), dove i truffatori si prendono la briga di ottenere l'accesso a un account di posta elettronica ufficiale all'interno di un'azienda.

Ciò significa che sono in grado di ingannare i dipendenti di quell'azienda in modo molto più convincente di quanto potrebbero fare come mittenti esterni:

Nominato e vergognoso

WhatsApp ha nominato tre società nella causa, che operano nel sud-est asiatico con tre diversi marchi.

Le compagnie lo sono Rockey Tech HK Ltd (Hong Kong), Pechino Luokai Technology Co. Ltd (RPC) e Chitchat Technology Ltd (Taiwan).

I marchi con cui WhatsApp sostiene di aver venduto app e componenti aggiuntivi falsi sono Heymod, Evidenzia Mobie HeyWhatsApp.

In parole povere, WhatsApp sostiene che gli imputati sapevano perfettamente che il loro comportamento non era conforme ai vari termini e condizioni di Meta e che lo scopo della violazione di tali termini e condizioni era ottenere l'accesso e abusare degli account di utenti legittimi.

Il documento del tribunale depositato da WhatsApp include uno screenshot della presunta app canaglia chiamata HeyWhatsApp Android che è finito su un mercato di download Android alternativo Malavida, dove la descrizione dell'app avverte apertamente gli utenti:

WhatsApp non autorizza affatto l'utente di questi [strumenti di modifica], quindi il download di HeyWhatsApp […] può comportare l'esclusione dal servizio […] Né garantisce il corretto funzionamento, il che significa che spesso incontriamo una mancanza di stabilità”.

Altre app canaglia nella causa, afferma Meta, erano disponibili nello stesso Google Play Store, il che significa che non solo hanno ricevuto l'imprimatur ufficiale di Google, ma hanno anche potenzialmente raggiunto un pubblico molto più ampio (e probabilmente un pubblico con atteggiamenti più cauti nei confronti della sicurezza informatica).

Una di queste app è stata scaricata più di 1,000,000 di volte, affermano i querelanti, e una seconda app ha superato i 100,000 download.

Come afferma ironicamente WhatsApp, "Gli imputati non hanno rivelato sul Google Play Store o nelle sue Norme sulla privacy che questa applicazione conteneva malware progettato per raccogliere le informazioni di autenticazione WhatsApp dell'utente".

(Per inciso, non possiamo fare a meno di chiederci quante persone avrebbero comunque installato l'app, anche se gli imputati avessero ammesso in anticipo che "questo software ruba la tua password".)

Cosa fare?

• Evita di andare fuori mercato se puoi. Come ci ricorda questo caso, molti malware superano il processo automatizzato di "controllo del software" di Google Play, ma ci sono almeno alcuni controlli e bilanciamenti di sicurezza informatica di base applicati da Google. Al contrario, molti siti di download Android fuori mercato adottano deliberatamente un approccio "va bene qualsiasi cosa" e alcuni addirittura si vantano di accettare app che Google ha rifiutato.
• Prendi in considerazione un'app di sicurezza informatica di terze parti per il tuo Android. Le app degli specialisti della sicurezza informatica ti aiutano a rilevare e bloccare un'ampia gamma di siti Web non autorizzati e app dannose, anche se il Play Store di Google li lascia passare. (Sì, Sophos ne ha uno, ed è gratuito.)
• Se sembra troppo bello per essere vero, è troppo bello per essere vero. Hai davvero bisogno di cambiare i colori di WhatsApp? Se l'app ufficiale non ti consente di farlo, perché dovresti fidarti di uno che afferma di aver scoperto una soluzione alternativa? In particolare, non prestare molta, o addirittura nessuna, attenzione alle valutazioni crowd-sourced sui siti di download di app, incluso lo stesso Google Play. Quelle recensioni avrebbero potuto essere lasciate da chiunque.
• Rimuovi regolarmente le app che non ti servono davvero o che non usi molto. In parole povere, più app hai sul telefono, maggiore è la tua superficie di attacco e più è probabile che finirai per divulgare dati personali che non volevi. Perché dare spazio in casa alle app che non servono a uno scopo chiaro e utile?

Diffidare particolarmente delle app che affermano di essere disponibili solo su siti di download alternativi per motivi intriganti come "Google non vuole che tu abbia questa app perché riduce le entrate pubblicitarie" o "questa app di investimento è di solo su invito, quindi non condividere questo link speciale con nessuno”.

Esistono molte app legittime e utili che non sono in linea con le regole commerciali e commerciali di Google e che quindi non entreranno mai nel mondo competitivo di Google Play...

...ma ci sono molte, molte altre app che vengono rifiutate da Google perché contengono chiaramente difetti di sicurezza informatica, a causa di programmatori pigri, incompetenti o entrambi, o perché i creatori dell'app erano criminali informatici non ricostruiti.

Come ci piace dire: In caso di dubbio/lascia perdere.

---