WhatsApp går etter kinesiske passordsvindlere via amerikansk domstol

Hvis du ikke kan slå dem, saksøke dem!

Egentlig stemmer ikke det originale sitatet helt slik, men du forstår ideen: hvis du ikke kan stoppe folk fra å laste ned falske, skadelige apper som later til å være støttet av ditt kraftige, globale merke...

…hvorfor ikke bruke det kraftige, globale merket ditt til å saksøke skaperne av disse useriøse appene som sprer skadelig programvare i stedet?

Dette er ikke en ny teknikk (rettslige skritt fra IT-bransjens giganter har bidratt til å fjerne skadelige nettsteder og distribusjonstjenester for skadelig programvare før), og det vil ikke stoppe den neste bølgen av gjerningsmenn fra å ta opp der det siste sluttet.

Men alt som gjør det vanskeligere for skadevarehandlere å operere i umiddelbar sikt, er verdt et forsøk.

WhatApp på offensiven

WhatsApp, sammen med sitt morselskap Meta, har startet lovlig handling mot tre selskaper som den hevder "villedet over én million WhatsApp-brukere til å kompromittere kontoene sine som en del av et kontoovertakelsesangrep."

Løst sagt, selvkompromiss refererer i denne sammenhengen til appbasert nettfisking: lag en falsk påloggingsdialog som beholder en uautorisert kopi av alt du skriver inn, inkludert personlige data som passord.

Som du sikkert kan forestille deg, og som WhatsApp hevder i sin rettssak, var hovedverdien av disse kompromitterte kontoene for de påståtte krenkerne at de kunne brukes til å "sende kommersielle spammeldinger".

I motsetning til e-postøkosystemet, der hvem som helst kan sende e-post til hvem som helst (eller, i tilfelle av avsendere av massemeldinger, hvor noen kan sende e-post til alle), er meldings- og sosiale medier-apper som WhatsApp basert på lukkede grupper.

Denne typen nettverden er ikke på langt nær så lett for spammere og svindlere å infiltrere.

Vi kjenner faktisk mange mennesker som nesten ikke bruker e-post lenger, og foretrekker å kommunisere med venner og familie via akkurat denne typen lukkede grupper, hovedsakelig fordi det omgår flommen av påtrengende og uønsket søppel de møter via e-post.

Baksiden av et økosystem for lukkede meldinger er selvfølgelig at du er mer sannsynlig å tro, eller i det minste ta en titt på, ting du mottar fra folk du kjenner.

Det er usannsynlig at du åpner dokumenter eller klikker på lenker som tydelig kommer fra en e-postavsender du aldri har møtt før, ikke vil møte, og aldri vil...

…men selv om du vet at kusinen din Chazza er tilbøyelig til å dele stønnende memes og øyenbrynsløftende videoer, tar du sannsynligvis fortsatt en titt på dem, fordi du vet hva du kan forvente allerede, og hei, det er kusinen din, ikke noen helt tilfeldig avsender på nett.

Med andre ord, hvis svindlere kan komme inn på kontoene dine på sosiale medier, får de ikke bare tilgang til listen over folk-jeg-er-glad for å chatte-til-listen, men får også muligheten til å spamme listen over folk-som -er-glade-for-å-høre-fra-deg med meldinger som tilsynelatende ble sendt med din velsignelse.

I Dessverre er det ikke nok bare å stole på avsenderen, for du må stole på avsenderens enhet og deres konto også.

Sosiale nettverksspamming og svindel basert på kompromitterte kontoer er litt som Business e-kompromiss (BEC), der kjeltringer gjør bryet med å få tilgang til en offisiell e-postkonto i et selskap.

Dette betyr at de er i en posisjon til å lure de ansatte i det selskapet mye mer overbevisende enn de kunne som eksterne avsendere:

Oppkalt og skammet

WhatsApp navnga tre selskaper i søksmålet, som opererer i Sørøst-Asia under tre forskjellige merkenavn.

Selskapene er Rockey Tech HK Ltd (Hong Kong), Beijing Luokai Technology Co. Ltd (PRC), og Chitchat Technology Ltd (Taiwan).

Merkenavnene som WhatsApp hevder at de har solgt falske apper og tillegg under Heymods, Uthev Mobiog Hei WhatsApp.

Veldig enkelt sagt argumenterer WhatsApp for at de tiltalte godt visste at deres oppførsel ikke var i samsvar med Metas ulike vilkår og betingelser, og at hensikten med å bryte disse vilkårene og betingelsene var å få tilgang til og misbruke legitime brukeres kontoer.

Rettsdokumentet innlevert av WhatsApp inneholder et skjermbilde av den angivelig useriøse appen kalt Hei WhatsApp Android som havnet på alternative Android-nedlastingsmarked Malavida, der appbeskrivelsen ganske åpent advarer brukere:

WhatsApp autoriserer ikke brukeren av disse [modifikasjonsverktøyene] i det hele tatt, så nedlasting av HeyWhatsApp […] kan føre til å bli utestengt fra tjenesten […] Det garanterer heller ikke korrekt funksjon, noe som betyr at vi ofte møter mangel på stabilitet.”

Andre useriøse apper i søksmålet, sier Meta, var tilgjengelig i selve Google Play Store, noe som betyr ikke bare at de mottok Googles offisielle imprimatur, men også potensielt nådde et mye bredere publikum (og sannsynligvis et publikum med mer forsiktige holdninger til nettsikkerhet).

En av disse appene ble lastet ned mer enn 1,000,000 100,000 XNUMX ganger, sier saksøkerne, og en annen app overskred XNUMX XNUMX nedlastinger.

Som WhatsApp lurt sier, "Tilsøkte avslørte ikke i Google Play-butikken eller i personvernreglene at denne applikasjonen inneholdt skadelig programvare utviklet for å samle inn brukerens WhatsApp-autentiseringsinformasjon."

(Som en like rar til side, kan vi ikke la være å lure på hvor mange som ville ha installert appen uansett, selv om de tiltalte på forhånd hadde innrømmet at «denne programvaren stjeler passordet ditt».)

Hva gjør jeg?

• Unngå å gå utenfor markedet hvis du kan. Som denne saken minner oss om, gjør massevis av skadelig programvare det forbi Google Plays automatiserte "programvarekontroll"-prosess, men det er i det minste noen grunnleggende cybersikkerhetskontroller og -balanser brukt av Google. I motsetning til dette tar mange andre Android-nedlastingssider helt bevisst en "alt går"-tilnærming, og noen er til og med stolte av å godta apper som Google avviste.
• Vurder en tredjeparts nettsikkerhetsapp for Android-en din. Apper fra nettsikkerhetsspesialister hjelper deg med å oppdage og blokkere et bredt spekter av useriøse nettsteder og ondsinnede apper, selv om Googles Play Store slipper dem gjennom. (Ja, Sophos har en, og det er gratis.)
• Hvis det høres for godt ut til å være sant, er det for godt til å være sant. Trenger du virkelig å endre WhatsApp-fargene? Hvis den offisielle appen ikke lar deg gjøre det, hvorfor skulle du stole på en som hevder å ha oppdaget en løsning? Spesielt, ikke ta mye, eller til og med noen, oppmerksomhet til publikumsbaserte vurderinger på appnedlastingssider, inkludert Google Play selv. Disse anmeldelsene kunne vært etterlatt av hvem som helst.
• Fjern regelmessig apper som du egentlig ikke trenger eller som ikke bruker mye. Løst sagt, jo flere apper du har på telefonen, desto større er angrepsoverflaten, og jo mer sannsynlig vil du ende opp med å gi bort personlige data du ikke mente. Hvorfor gi huset rom til apper som ikke tjener et klart og nyttig formål?

Vær spesielt på vakt mot apper som hevder at de bare er tilgjengelige på alternative nedlastingssider av spennende grunner som «Google vil ikke at du skal ha denne appen fordi den reduserer annonseinntektene deres», eller «denne investeringsappen er av kun invitasjon, så ikke del denne spesielle lenken med noen”.

Det er mange legitime og nyttige apper som ikke stemmer overens med Googles forretnings- og kommersielle regler, og som derfor aldri vil komme inn i den konkurransedyktige verdenen til Google Play...

…men det er mange, mange flere apper som blir avvist av Google fordi de helt klart inneholder cybersikkerhetsfeil, enten på grunn av programmerere som var late, inkompetente eller begge deler, eller fordi skaperne av appen var urekonstruerte nettkriminelle.

Som vi liker å si: Hvis du er i tvil/Unnlat det.

---