WhatsApp漏洞 黑客可致永久停用
原文刊於信報財經新聞「StartupBeat創科鬥室」
WhatsApp近日發現嚴重漏洞，可遙距永久停用第三方賬號。（路透資料圖片）
全球有20億用戶的通訊軟件WhatsApp，近日發現一個嚴重保安漏洞，只要攻擊者取得受害人的電話號碼，便可不斷要求WhatsApp發送驗證碼，令賬號被鎖而永久停用，操作過程簡單，毋須高深黑客技術，對全球用戶構成威脅。
財經雜誌《福布斯》（Forbes）報道，首次安裝WhatsApp或更換手機時，平台會發送一條短訊，附設一組六位數字驗證碼，以核實賬戶的身份。由於系統發送次數有限制，若攻擊者在短時間內，不停輸入受害人的WhatsApp電話，又重複錯誤輸入驗證碼，當系統發現異樣，會要求用戶稍後再試，由計時器倒數12小時，期間暫停發送驗證碼。
當系統發現異樣，會要求用戶稍後再試，由計時器倒數12小時，期間暫停發送驗證碼。（福布斯網上圖片）
頻要求驗證 賬戶終失效
攻擊者下一步便以電郵的方式，向WhatsApp客服宣稱，其電話號碼已經報失，要求從手機登出賬戶。而惹起外界擔心的是WhatsApp本身沒有機制，要求發出電郵的一方證明自己是賬戶持有人。不過，即使設立雙重驗證（2FA），亦難以阻止這攻擊。
直至報失電郵發出約一小時之後，WhatsApp會在手機停止運作，並顯示通知「你的電話號碼已不再在此手機的WhatsApp上註冊」。如果攻擊到此為止，用戶仍可在12小時後重新索取驗證短訊，再次註冊新賬戶使用。
然而，若攻擊者重複以上動作，至第三個12小時周期，WhatsApp系統就會停擺，手機驗證功能的計時器，會停留在「請於1秒後再試」的畫面，被永遠拒諸門外。報道呼籲WhatsApp用戶提供一個電郵以便恢復，至於WhatsApp一方，亦可考慮以2FA功能，使用受信任的設備，藉此驗證另一新賬戶。
重複多次驗證程序後，WhatsApp計時器會停留在「請於1秒後再試」的畫面，賬戶無法再登入。（福布斯網上圖片）
支持EJ Tech
如欲投稿、報料，發布新聞稿或採訪通知，按這裏聯絡我們。
