WhatsApp’ta Hesapların Kapatılmasına Yol Açan Güvenlik Açığı

Dünyanın en popüler anlık mesajlaşma uygulamalarından bir tanesi olan WhatsApp‘ta oldukca garip bir güvenlik zafiyeti tespit edildi. Kullananların tümünü etkileyen bu mesele, bir hesabın kolaylıkla dönem dışı bırakılmasını sağlıyor. Üstelik bu işlemin geri dönüşü de olmayabiliyor. Peki bu güvenlik açığı iyi mi çalışıyor ve kullanıcılar için niçin bu kadar riskli?

Luis Marquez Carpintero ve Ernesto Canales Perena isminde iki siber güvenlik uzmanı tarafınca keşfedilen güvenlik açığı, WhatsApp’ın hesap doğrulama sistemlerinin “kafasını karıştırıyor“. Bu da bir süre sonrasında kullanıcı hesabının kilitlenmesine yol açıyor. Olayın daha da garip yanı ise bu saldırıya maruz kalmak için, telefon numarasının bilinmesi kafi oluyor.

WhatsApp hesaplarının kapatılmasına yol açacak güvenlik açığı şu şekilde çalışıyor

Bir saldırgan, kendi telefonuna WhatsApp uygulaması kurduktan sonrasında hedefteki kullanıcının numarasını girerek, doğrulama kodu göndertmeye çalışıyor. Belirli bir sayıda gönderilen talepten sonrasında WhatsApp harekete geçiyor ve 12 saatlik doğrulama kodu yasağı getiriyor. Saldırgan, bu süreçte kullanıcının adına bir e-posta hesabı açarak, WhatsApp’ın destek birimi ile iletişime geçiyor. Bu e-postada hesabının ele geçirildiğini söyleyen saldırgan, aslen başka birisine ilişik olan bir WhatsApp hesabı için kapatma talebinde bulunuyor.

Süreç devam ederken, 12 saatlik doğrulama kodu yasağı bitiyor. Saldırgan, üst paragrafta anlattığımız şeyleri iki kez daha tekrarlayarak, doğrusu toplamda 36 saatlik süreçte bir hesabın kapatılmasını elde etmiş oluyor. Buradaki güvenlik açığının deposu ise WhatsApp’a gönderilen e-postanın hakkaten o kullanıcıya ilişik olup olmadığının sorgulanmamış olması. Doğrusu WhatsApp, herhangi bir denetim mekanizmasını devreye sokmadan kullanıcının hesap kapatma talebini işleme koymuş oluyor.

Bu saldırıdan korunmak için ne yapmalı?

Aslına bakacak olursak bu tür bir saldırıdan korunabilmek için yapabileceğiniz pek de bir şey bulunmuyor. Sadece bir WhatsApp sözcüsünün de söylemiş olduğu benzer biçimde iki faktörlü kimlik doğrulamayı aktifleştirmek ve WhatsApp hesabınıza bir e-posta hesabı eklemek bu tür bir saldırıdan korunmanızı sağlayabilir. Yalnız, yukarıda bahsettiğimiz güvenlik açığının gene de iki faktörlü kimlik doğrulaması etken olan hesapları da etkilediği bildiriliyor.

WhatsApp iki faktörlü kimlik doğrulama aktifleştirme

• WhatsApp’a giriş yapın.
• Ayarlar menüsüne gidin.
• Hesap‘a tıklayın.
• “İki adımlı doğrulama” seçeneğine dokunun. Arkasından da “ETKİNLEŞTİR” yazan butona dokunun.
• Sizden 6 haneli bir kod istenecek. Bu kodu kendinize nazaran belirleyip, doğrulayın.
• e-posta adresinizi girin ve doğrulama işlemini gerçekleştirin.