Italiensk overvågningsfirma brugte falsk WhatsApp-app til at installere spyware

WhatsApp har offentliggjort, at et italiensk overvågningsfirma kaldet ASIGINT, et datterselskab af en virksomhed ved navn SIO, narrede cirka 200 brugere til at downloade en falsk version af beskedappen indlæst med spyware. Ofrene befandt sig primært i Italien, og kampagnen blev beskrevet som stærkt målrettet og baseret på social manipulation frem for tekniske sårbarheder i WhatsApp selv.

Da WhatsApp identificerede de berørte konti, loggede virksomheden disse brugere ud af platformen og opfordrede dem til at finde og fjerne den svigagtige applikation fra deres enheder. SIO har offentligt erklæret, at de arbejder med retshåndhævende myndigheder og efterretningsagenturer, selvom WhatsApps offentliggørelse hverken bekræftede eller godkendte disse påstande.

Dette er anden gang inden for 15 måneder, at Meta, WhatsApps moderselskab, offentligt har behandlet spywareaktivitet med forbindelse til Italien. Mønsteret tyder på et voksende fokus på kommercielle overvågningsværktøjer, der opererer i regionen.

Hvad social manipulation egentlig indebærer

Udtrykket "social manipulation" behandles ofte som teknisk jargon, men konceptet er ligetil: i stedet for at bryde ind i et system manipulerer angribere folk til selv at lukke dem ind.

I dette tilfælde blev ofrene bedraget til at downloade en app, der lignede WhatsApp, men ikke var det. Bedragets sandsynligvis indebar en kombination af falske downloadlinks, vildledende instruktioner eller efterligning af en betroet kilde. Der var ikke behov for nogen sårbarhed i WhatsApps egen kode. Angrebet virkede, fordi folk stolede på det, de blev vist.

Dette er en vigtig sondring. Når en virksomhed retter en softwarefejl, eliminerer den et teknisk indgangspunkt. Social manipulation-angreb er ikke afhængige af disse fejl. De er afhængige af menneskelig adfærd, nærmere bestemt tendensen til at stole på velkendte grænseflader og følge instruktioner fra tilsyneladende autoritative kilder.

Ingen appopdatering, uanset hvor grundig den er, kan fuldt ud lukke det hul.

Et tilbagevendende problem med kommercielt spyware

Kommercielle overvågningsværktøjer solgt til regeringer og retshåndhævende myndigheder har været et vedvarende bekymringsemne blandt privatlivsforskere og borgerrettighedsorganisationer. De virksomheder, der bygger disse værktøjer, hævder ofte, at de tjener legitime efterforskningsformål. Kritikere påpeger, at de samme værktøjer kan blive, og er blevet, brugt mod journalister, aktivister, advokater og almindelige borgere uden nogen forbindelse til kriminel aktivitet.

ASIGINT og SIO passer ind i et velkendt mønster på dette område. Eksistensen af en falsk WhatsApp-app designet til lydløst at levere spyware rejser spørgsmål om tilsyn, målretningskriterier og hvilke juridiske rammer, hvis nogen, der regulerede denne bestemte kampagne. WhatsApps offentliggørelse adresserede ikke disse spørgsmål, men det faktum, at en stor platform følte sig nødsaget til offentligt at navngive virksomheden og advare berørte brugere, er bemærkelsesværdigt.

For de cirka 200 mennesker, der blev ramt af denne kampagne, er oplevelsen en skarp påmindelse om, at truslen ikke kom fra en fejl i en app, de valgte at bruge. Den kom fra at blive bedraget til at bruge en helt anden app.

Hvad dette betyder for dig

Den gennemsnitlige WhatsApp-bruger vil næppe være mål for en kommerciel overvågningsoperation. Disse kampagner er typisk dyre, arbejdskrævende og fokuserede på specifikke enkeltpersoner. Men den grundlæggende metode – at narre nogen til at installere en ondsindet app ved at få den til at se legitim ud – er ikke forbeholdt overvågning på nationalt niveau. Varianter af denne taktik optræder i daglige phishing-kampagner og svindelnumre verden over.

WhatsApp-sagen er en nyttig påmindelse om, at digital sikkerhed ikke blot handler om at stole på de rigtige apps. Det kræver også at være opmærksom på, hvor disse apps kommer fra.

Her er praktiske trin, det er værd at overveje:

  • Download kun apps fra officielle kilder. På Android betyder det Google Play Store. På iOS betyder det App Store. Undgå at installere apps fra links sendt via beskeder, selv fra personer du kender.
  • Verificer inden du installerer. Hvis nogen sender dig et link til at downloade en app, skal du tjekke den officielle hjemmeside for den pågældende app direkte frem for at følge linket.
  • Hold din enheds sikkerhedsfunktioner aktive. De fleste moderne operativsystemer markerer apps fra ubekræftede kilder. Vær opmærksom på disse advarsler.
  • Vær skeptisk over for hastværk. Social manipulation-angreb skaber ofte en følelse af hastværk for at omgå omhyggelig tænkning. Hvis en instruktion føles presserende, så sæt tempoet ned.
  • Reager på advarsler fra app-udbydere. WhatsApp opsøgte proaktivt berørte brugere. Hvis en tjeneste, du bruger, kontakter dig om et sikkerhedsproblem, så tag det alvorligt og følg deres vejledning.

Den bredere lære fra denne hændelse er, at sikkerhed ikke er noget, nogen enkelt applikation fuldt ud kan levere på dine vegne. At forblive sikker kræver vaner, ikke kun værktøjer. At vide, hvor din software kommer fra, og at være skeptisk når noget ikke føles rigtigt, er stadig et af de mest effektive forsvar, der er tilgængeligt for enhver bruger.