Názory k článku
Podvodníci odesílají zprávy na WhatsApp bez vědomí vlastníka čísla

To neni pravda, je to zavdejici zprava, podvodnici vas nejdrive dostanou na stranku, tam si vyzadaji vas telefon na whatsap a tam si vygeneruji session, kterou muiste potvrdit ve sve aplikaci ..., az pak teprve poslou zpravu a hned ji smazou, ale jen u vas, ne u obeti ... a tem je dokaz na stranku, nebo ony penize ... tedy uzivatele si zato muzou sami ;-)

Že znají váš telefon přece neznamená, že mohou za vás odesílat zprávy.
V čem spočívá to vygenerování session?

Jo, asi to tak je. Jenze vemte si bezneho uzivatele (ne IT pracovnika) - jeho cilem nebylo svuj ucet WA nekomu dat, aby z nej pak posilal zadosti o pujcku. Je to blbost tech uzivatelu, na druhou stranu ti lidi (bohuzel) nepremysli nad tim, ze je mozne jejich identitu takto snadno ziskat.

Tyhle lide jenom reknou. Ja tam nic nemam co by my asi tak mohli vzit. A to hello tam napisou.

Podle citaci v jiných médiích se ale nejednalo o zero day, nebo zero click zranitelnost. Ale o klasický phising kdy "oběti" vyplnil přihlašovací informace k profilu na socialnich sítích, do formuláře fiktivní soutěže.

Útočník pak jednoduše rozesílá na seznam kontaktů žádostí o finance, stejně jak třeba před xx lety díky veřejným seznamu kontaktní FB.

Stejná písnička dokola... prostě nebýt blbej a nevyplňovat přihlašovací údaje kdo ví kde.... pořád dokola. To samé klikání na blbosti....

Je to čím dál tím složitější, protože "přihlásit se kdo ví kde" začal být běžný a legitimní způsob používání internetu. Příklady:

- Single sign on / přihlášení přes datovou schránku/Google účet/... - nedůvěryhodná stránka vás přesměruje na web "poskytovatele přihlášení" (www.mojedatovaschranka.cz, accounts.google­.com, mojeid…), kde si doufejme zkontrolujete doménu, ve zbytku URL jsou pak nicneříkající klikyháky, a tam se máte přihlásit.

- OAuth2 autentizace v aplikacích: například v Thunderbirdu na vás v podstatě v libovolný okamžik (když účet přemigroval na oauth, když vypršela platnost tokenu) vyskočí okno, ve kterém je embednutý prohlížeč s načtenou stránkou, která po vás vyžaduje zadání hesla k Google účtu. Okno nemá žádný URL řádek a v right-click menu není možnost zjistit URL.

- Platba pomocí "platební brány s tlačítkem", která vás přesměruje na web poskytovatele platby a pak do banky, kde se máte přihlásit. Nebo u největších expertů 3D Secure, které je ale v iframe, takže ta nedůvěryhodná stránka s ním může nejspíš dělat skopičiny javascriptem.

Jako dobrý pokus odvést téma jinam ale vzhledem k počtu běžných občanů, ne hlásit jakkoliv do datovky neni to běžná činnost.

Vzhledem k poctu obyvatelu CR mi 5mega datovek neprijde zrovna malo ;⁠-⁠)
https://www.dia.gov.cz/cs/aktuality/1-7-2024-datove-schranky-slavi-15-let-pouziva-je-temer-5-milionu-uzivatelu

Přesně tak, taky si všímám stále častějších legitimních věcí, které jsou tak blbě uživateli představené, že vypadají jako 100 % phishing. Vzpomínám si na jednu firmu, kde se používal SharePoint a když šla nějaká novinka emailem uživatelům, tak ty odkazy na SharePoint vypadaly úplně jako phishingové, nějaká podivná subdoména/doména, hromadu náhodných znaků v querystringu atd. Nevím, jestli už to od té doby vylepšili, je to pár let. Jak to pak má BFU poznat co je co.

Ja si pamätám ako som dostal mail vo firme a skutočne som si myslel že je to phishing a preto som to ignoroval. Potom mi manažér písal že prečo som ignoroval mail, a zistil som že je to legit mail. Totálne som bol v tom že je to phishing až do posledného momentu.

Obzvlast ve tretim bode - pred cca rokem jedna platebni brana chtela namisto zadani platby bankou - si nechat schvalit pristup k uctu (jak nam EU nadiktovala ze se musi sprava bankovniho uctu umoznit i tretim stranam).

Zde jsem si podivnosti vsiml, ze nejde o jednu platbu (za prodlouzeni domeny) ale o plny pristup - vcetne historie plateb. Tvl.. tak jsem to rovnou hlasil bance ze co je to za scam. A i dealeru domen, ze tenhle partner si dovoluje nejak moc..

Ted nedavno snad stejna brana uz zadavala platbu jen tak jako pred timto incidentem. Ale neskutecne me to vytocilo.

A ted si predstavte ze to resi nejaky duchodce..

(a priznam se, ze nakoupit dalnicni znamk pres mobil.. to me kvuli uplacene reklame podvodnich stranek jednou uz taky voje**li - ta prirazka/jejich vydelek, byla "chytre" schovana jako DPH... ale dalnicni znamky jsou jako jedna z mala veci na ktere DPH neni)

Jedna brána tohle po mne pořád při pokusu o jednorázovou platbu vyžaduje, tak vždy platím převodem.

Taky mě překvapuje, že zrovna tady vidím tohle info nejenže se zpožděním, ale ještě velmi nepřesné.
Každopádně jde o takovou prkotinu, že by se to tu bez té zprávy klidně obešlo. A když ne, tak hezky s jasným vysvětlením, jak to probíhá. Tohle je takové, kulantně řečeno, na prd.

Protože to byla copy paste tisková zpráva. Podobně to dělaji banky který furt prudí s podobným a buduji tak PR.

Stejně jako jistá firma pravidelně tak exkluzivní informuje o "virech na mobil".

Je to pravda, napsal jsem to z duvodu, ze mne prisla na WA jedna falesna zprava od znameho s zadosti o pujcku (plus nasledna zprava od nej ze to nepsal on) a dalsi zprava od lidi ze zamestnani, ze jejich WA ucet byl zneuzit. Nezjistoval jsem, jak to presne funguje, jen jsem chtel ochranit dalsi lidi.