CERT Polska ostrzega przed prośbami o głosowanie w konkursie, wysyłanymi z przejętych kont WhatsApp. Opisany atak daje napastnikowi dostęp przez sparowanie jego urządzenia z kontem, dlatego firmowa instrukcja reagowania powinna obejmować odłączenie urządzeń, także gdy przewiduje już zmianę hasła.

Czy po zgłoszeniu utraty konta WhatsApp wystarczyłoby w firmie odhaczyć zmianę hasła i wrócić do rozmów z klientami? Ostrzeżenie CERT Polska z 2 sierpnia 2026 r. daje konkretny powód, by sprawdzić taką instrukcję. Punktem wyjścia jest prośba o pomoc w konkursie, a działaniem wymagającym reakcji pozostaje sparowanie cudzego urządzenia. Prześledźmy więc własną procedurę od zgłoszenia podejrzanej wiadomości do potwierdzenia odparowania urządzeń. Jeśli używamy tego komunikatora w kontaktach z klientami, do przeglądu dołączmy sposób ostrzegania ich poza kontem objętym incydentem. To proponowany zakres pracy dla firmy; komunikat nie opisuje procedur konkretnych organizacji ani tego, jak ich pracownicy na niego zareagowali.

Prośba o głosowanie prowadzi do sparowania urządzenia

Według CERT Polska przestępcy rozsyłają z przejętych kont WhatsApp wiadomości o rzekomym konkursie. Dostęp uzyskują przez sparowanie swojego urządzenia: za pomocą podstawionego kodu QR albo kodu weryfikacyjnego. W opisie zagrożenia dla pracowników uwzględnijmy obie drogi. Instrukcja ograniczona do ostrzegania przed skanowaniem kodów QR pomijałaby wariant z przepisaniem kodu.

W komunikacie dla zespołu powiążmy prośbę o głos z pytaniem o to, jaką czynność ma wykonać odbiorca. Przy takim scenariuszu poprośmy pracowników o wstrzymanie skanowania lub przepisywania kodu i potwierdzenie prośby innym kanałem. To zalecenie redakcyjne wynikające z opisanego mechanizmu. Nie uzależniajmy ostrożności od tego, czy konkurs brzmi przekonująco albo czy nadawca jest znany odbiorcy.

Przy prośbie o głosowanie sprawdzajmy czynność wymaganą od odbiorcy, również wtedy, gdy wiadomość przychodzi od znajomego.

W materiałach dla użytkowników WhatsApp nazwijmy wprost sparowanie urządzenia. Samo hasło „uważaj na oszustwa” pozostawia pracownikowi zadanie odgadnięcia, na co ma uważać. Krótkie wyjaśnienie powinno łączyć przynętę konkursową z kodem QR lub kodem weryfikacyjnym oraz wskazywać osobę, której pracownik zgłosi wątpliwość.

W procedurze utraty konta dopiszmy odparowanie

CERT Polska zaleca ofiarom jak najszybsze odparowanie wszystkich dodanych urządzeń w ustawieniach aplikacji. To działanie powinno znaleźć się w firmowej instrukcji dotyczącej opisanego incydentu. Nie traktujmy zapisu o zmianie hasła jako odpowiedzi na pytanie, kto sprawdził sparowane urządzenia i czy je odłączono.

Nie znamy instrukcji stosowanych przez osoby, których konta WhatsApp przejęto. Sprawdźmy zatem własny dokument, bez przypisywania ofiarom błędów organizacyjnych. Znajdźmy w nim miejsce, w którym użytkownik ma przejść do ustawień aplikacji, oraz sposób potwierdzenia wykonania zalecanego odparowania. Jeśli takiego kroku brakuje, przygotujmy uzupełnienie i wskażmy osobę odpowiedzialną za jego zatwierdzenie.

W krótkim ćwiczeniu poprośmy użytkownika WhatsApp o odnalezienie właściwego miejsca w aplikacji na podstawie instrukcji. Niech zapisze, którego kroku nie rozumie lub jakiej informacji mu brakuje. Ćwiczenie ma sprawdzić użyteczność dokumentu; nie wymaga rzeczywistego przejęcia konta ani dodawania obcego urządzenia. Wynikiem powinna być poprawka do instrukcji, którą można zastosować przy zgłoszeniu.

Warunkiem zakończenia reakcji na opisane przejęcie konta powinno być potwierdzenie odparowania dodanych urządzeń.

W karcie zgłoszenia dotyczącego WhatsApp zostawmy miejsce na potwierdzenie tego działania. Jeżeli użytkownik nie potrafi go wykonać, zapiszmy problem i przekażmy go wskazanej osobie wspierającej. Nie zamykajmy zgłoszenia wyłącznie dlatego, że pracownik otrzymał ogólną instrukcję zabezpieczenia konta.

Kontakt z klientami wymaga ustalonego kanału ostrzegania

Jeśli WhatsApp służy firmie do rozmów z klientami, proponujemy objąć przeglądem również odpowiedzialność za ostrzeganie odbiorców. Ustalmy, kto decyduje o komunikacie, kto go przygotowuje i jak przekazuje go poza kontem objętym podejrzeniem przejęcia. Wybierzmy kanał, którego firma rzeczywiście może użyć do kontaktu z tymi odbiorcami.

Przygotujmy szkic ostrzeżenia ograniczony do informacji, które w chwili incydentu będzie można potwierdzić: wskazania konta, prośby o ostrożność wobec wiadomości i sposobu dalszego kontaktu. Nie wpisujmy z góry, że wszystkie rozmowy były dostępne napastnikowi albo że nikt nie ucierpiał. Ostrzeżenie CERT Polska nie daje podstaw do takich ocen dotyczących przyszłego zdarzenia w naszej firmie.

Przegląd komunikatorów zacznijmy od ustalenia, które konta służą kontaktom z klientami i kto odpowiada za każde z nich. Dla WhatsApp połączmy tę listę z instrukcją odparowania i alternatywnym kanałem ostrzegania. Dla pozostałych używanych komunikatorów wskażmy osobę, która sprawdzi właściwą procedurę; nie przenośmy automatycznie opisu tego ataku na inne usługi.

Polski komunikat uzasadnia przegląd, nie ocenę skali strat

Ostrzeżenie CERT Polska jest konkretną podstawą do omówienia tego scenariusza z zespołem. Dostępne fakty nie pozwalają ustalić liczby poszkodowanych firm, wartości strat ani wzrostu liczby takich ataków. W rozmowie z zarządem pozostańmy przy sprawdzalnym zadaniu: ustaleniu, czy firma potrafi wykonać zalecane odparowanie i ostrzec kontakty.

Na potrzeby decyzji zarządczej zapiszmy wynik przeglądu WhatsApp jako listę ustaleń i braków. Wskażmy właściciela instrukcji, dostępność alternatywnego kontaktu oraz kroki wymagające wyjaśnienia. Nie zastępujmy tych odpowiedzi ogólną deklaracją, że zespół zna ostrzeżenie. Samo przekazanie komunikatu nie jest kryterium gotowości do obsługi zgłoszenia.

Co z tym zrobić w poniedziałek

  1. Spisz komunikatory używane z klientami. W 30 minut przygotuj z osobą odpowiedzialną za obsługę klientów wstępną listę kont i ich opiekunów. Zaznacz użycie WhatsApp oraz braki wymagające późniejszego potwierdzenia.
  2. Sprawdź instrukcję odparowania. W 30 minut przejdź z użytkownikiem WhatsApp przez dokument do odpowiedniego miejsca w ustawieniach aplikacji. Przygotuj brakujący zapis o odparowaniu wszystkich dodanych urządzeń i potwierdzeniu wykonania tego kroku po incydencie.
  3. Przygotuj drogę ostrzegania. W 30 minut wybierz dla kontaktów prowadzonych przez WhatsApp alternatywny kanał, wskaż osobę odpowiedzialną i sporządź szkic komunikatu. Zapisz osobno odbiorców, dla których dostępność takiego kontaktu wymaga sprawdzenia.

Procedurę utraty konta WhatsApp oceniajmy po tym, czy prowadzi do wykonania i potwierdzenia odparowania urządzeń. W kontaktach z klientami dołączmy do niej gotowy sposób ostrzegania poza kontem objętym incydentem. Dopiero tak określone zadania dają osobie odpowiedzialnej za obsługę zgłoszenia konkretne kryteria działania.

Źródła

Redakcja cyberinsight.pl.