Des pirates pourraient détourner votre compte WhatsApp en utilisant cette astuce de transfert d’appel

Les experts ont découvert une méthode permettant aux acteurs de la menace de détourner presque tous les comptes WhatsApp. (s’ouvre dans un nouvel onglet) et d’avoir accès à tous les messages et aux listes de contacts de l’application.

Rahul Sasi, fondateur et PDG de la société de protection contre les risques numériques CloudSEK, a découvert qu’en utilisant le transfert d’appel automatisé que certains services mobiles proposent, ainsi que la possibilité d’envoyer un code de vérification du mot de passe à usage unique (OTP) par appel vocal, un attaquant peut prendre le contrôle de presque tous les comptes WhatsApp.

Pour réussir cette attaque, l’acteur menaçant doit d’abord persuader la victime d’appeler un numéro commençant par un code d’interface homme-machine (IHM). Ce numéro est généralement configuré par l’opérateur mobile et est utilisé pour activer le transfert d’appel.

Pas aussi facile qu’il n’y paraît

Le numéro commence généralement par une étoile ou un symbole dièse. Selon la publication, ces codes sont faciles à trouver et la plupart des grands opérateurs de réseaux mobiles les prennent en charge.

En appelant ce numéro, tous les appels futurs seront redirigés vers le terminal appartenant à l’attaquant. Après cela, le processus est relativement facile, car l’attaquant peut lancer le processus d’enregistrement de WhatsApp sur son appareil et recevoir l’OTP par appel vocal.

Mise à l’épreuve de l’idée, BleepingComputer a constaté que cela fonctionne généralement, mais avec quelques réserves. Tout d’abord, l’attaquant doit inciter la victime à utiliser un code MMI qui transfère tous les appels, et pas seulement ceux qui sont effectués lorsque la ligne est occupée.

Ensuite, il doit s’assurer que la victime est occupée suffisamment longtemps pour manquer le message texte l’informant que son application WhatsApp est enregistrée sur un autre appareil.

En outre, si la victime a déjà activé le transfert d’appel, les attaquants doivent utiliser un numéro de téléphone différent, ce qui est “un petit inconvénient qui pourrait nécessiter plus d’ingénierie sociale”.

La méthode fonctionne sur Verizon et Vodafone, a confirmé la publication.