跳至主內容

HKCERT 提醒公眾防範WhatsApp帳戶遭盜用的方法

近日來針對WhatsApp帳戶的網絡攻擊日趨頻繁。黑客透過假冒受害人的親朋好友向他們發出訊息,並要求受害人轉發WhatsApp戶口之驗證碼,騙徒利用該驗證碼可以登入其WhatsApp戶口,從而騎劫受害人的帳戶。騙徒繼而透過假冒受害人,向通訊錄的親友發訊息以騙取金錢或個人敏感資料作犯罪用途。

發佈日期: 2023年09月06日 6175 觀看次數

香港電腦保安事故協調中心(HKCERT)密切關注近日的網絡攻擊,歸納三個市民對帳戶保安的常見問題,並提出解答及保安建議:

 

 

市民帳戶遭盜用後,是否能即時奪回主導權?

黑客一旦取得受害人的登入驗證碼後,便可以登入及盜用受害人的WhatsApp帳戶,與此同時,受害人亦會被強制退出自己的帳戶,WhatsApp會顯示要求輸入手機號碼的畫面。然而如果此時受害人再以自己的註冊手機號碼登入,便可以奪回帳戶的主導權。

 

步驟如下:受害人只要再次輸人手機號碼登入,WhatsApp會要求輸入一次性的驗證碼,此時用戶可等待並選擇透過以手機短訊(SMS)或來電方式,收取及輸入該驗證碼,完成後便可重新奪回帳戶的主導權。

 

當受害人再次登入帳戶時,會被要求輸入WhatsApp戶口的驗證碼。用戶應選取以SMS或來電方式收取該驗證碼。

 


啟動雙重認證功能是否有效保障帳戶?
是,啟動雙重認證能有效阻止黑客登入及盜用用戶的帳戶。

 

當啟動雙重認證後,用戶需要設定一個六位數字的PIN碼。設定完成後,即使有騙徒騙去用戶的登入驗證碼,並成功登入了用戶的帳戶時,騙徒還是會被要求輸入用戶預先設定的雙重認證PIN 碼,才能使用用戶的WhatsApp帳戶。換句話說,設定雙重認證PIN碼後,黑客便無法奪取用戶的WhatsApp使用權。

 

騙徒若沒有用戶的雙重認證PIN密碼將不能使用用戶的 WhatsApp帳戶。

 

 

假如原有賬戶未有啟動雙重認證,騙徒登入後啟用,是否就無法再奪回主導權?

不是。如騙徒盜用了用戶的帳戶後啟動雙重認證,用戶亦可重新奪回主導權。

 

雖然當用戶再次登入帳戶時,WhatsApp便會要求用戶輸入騙徒所設定的雙重認證PIN碼,用戶沒有該PIN碼便不能使用 WhatsApp。但是,據WhatsApp的官方指引,WhatsApp會容許用戶七天後重設該PIN碼及重新登入。除了等待七天外,WhatsApp亦允許用戶以預先設定的電郵地址重設PIN密碼。

 

不過無論用戶是否知道該PIN碼,只要用戶輸入SMS登入驗證碼後,對方便會被強制登出,不能再繼續使用用戶的WhatsApp帳戶。

 

HKCERT提醒公眾防範WhatsApp帳戶遭盜用,建議用戶:

  1. 啟動雙重認證功能並設定PIN碼。
  2. 設定一個電郵地址,以便日後有需要時重設PIN碼。
  3. 切勿與他人分享登入驗證碼和雙重認證PIN碼。
  4. 定期在WhatsApp設定中檢查已連結裝置,並登出不再使用的裝置連結。
  5. 切勿從非官方渠道下載及使用WhatsApp應用程式。

 

參考資料:

https://faq.whatsapp.com/1131652977717250/

https://faq.whatsapp.com/1278661612895630

相關標籤