Italialainen valvontayritys käytti väärennettä WhatsApp-sovellusta vakoiluohjelman levittämiseen

WhatsApp on ilmoittanut, että italialainen valvontayritys nimeltä ASIGINT, SIO-nimisen yrityksen tytäryhtiö, huijasi noin 200 käyttäjää lataamaan väärennettyn version viestisovelluksesta, johon oli upotettu vakoiluohjelma. Uhrit sijaitsivat pääasiassa Italiassa, ja kampanjaa kuvailtiin tarkasti kohdennetuksi. Se perustui sosiaaliseen manipulointiin eikä WhatsAppin teknisiin haavoittuvuuksiin.

Kun WhatsApp oli tunnistanut vaikuttuneet tilit, yritys kirjasi kyseiset käyttäjät ulos alustalta ja kehotti heitä etsimään ja poistamaan petollisen sovelluksen laitteiltaan. SIO on julkisesti ilmoittanut tekevänsä yhteistyötä lainvalvonta- ja tiedusteluviranomaisten kanssa, vaikka WhatsAppin tiedote ei vahvistanut eikä tukenut näitä väitteitä.

Tämä on toinen kerta 15 kuukauteen, kun Metan, WhatsAppin emoyhtiön, on pitänyt julkisesti käsitellä Italiaan liittyvää vakoiluohjelmistotoimintaa. Toistuva kaava viittaa siihen, että alueella toimiviin kaupallisiin valvontatyökaluihin kohdistuu kasvavaa huomiota.

Mitä sosiaalinen manipulointi käytännössä tarkoittaa

Termi "sosiaalinen manipulointi" käsitetään usein tekniseksi ammattislanniksi, mutta käsite on yksinkertainen: sen sijaan että murtauduttaisiin järjestelmään, hyökkääjät manipuloivat ihmisiä päästämään heidät sisään.

Tässä tapauksessa uhrit huijattiin lataamaan sovellus, joka näytti WhatsAppilta, mutta ei ollut sitä. Huijaus perustui todennäköisesti johonkin yhdistelmään väärennetyistä lataauslinkeistä, harhaanjohtavista ohjeista tai luotetun tahon tekeytymisenä esiintymisestä. WhatsAppin omassa koodissa ei ollut tarvetta hyödyntää mitään haavoittuvuutta. Hyökkäys onnistui, koska ihmiset luottivat siihen, mitä heille näytettiin.

Tämä on merkityksellinen ero. Kun yritys korjaa ohjelmistovirheen, se poistaa teknisen sisäänpääsypisteen. Sosiaaliseen manipulointiin perustuvat hyökkäykset eivät nojaa näihin virheisiin. Ne nojautuvat ihmisten käyttäytymiseen – erityisesti taipumukseen luottaa tutunnäköisiin käyttöliittymiin ja seurata näennäisten auktoriteettien ohjeita.

Mikään sovelluspäivitys, olipa se kuinka kattava tahansa, ei pysty täysin kuromaan umpeen tätä aukkoa.

Toistuva ongelma kaupallisten vakoiluohjelmien kanssa

Hallituksille ja lainvalvontaviranomaisille myytävät kaupalliset valvontatyökalut ovat olleet jatkuvan huolen aiheena tietosuojatutkijoiden ja kansalaisvapauksien puolestapuhujien keskuudessa. Näitä työkaluja rakentavat yritykset väittävät usein, että ne palvelevat laillisia tutkinnallisia tarkoituksia. Kriitikot huomauttavat, että samoja työkaluja voidaan käyttää – ja on käytetty – toimittajia, aktivisteja, lakimiehiä ja tavallisia kansalaisia vastaan, joilla ei ole mitään yhteyttä rikolliseen toimintaan.

ASIGINT ja SIO sopivat tällä alalla tuttuun profiiliin. WhatsAppin kaltaisen väärennettyn sovelluksen olemassaolo, joka on suunniteltu toimittamaan vakoiluohjelma huomaamattomasti, herättää kysymyksiä valvonnasta, kohdentamiskriteereistä ja siitä, mitä oikeudellisia kehyksiä – jos niitä ylipäätään oli – tähän kampanjaan sovellettiin. WhatsAppin tiedote ei vastannut näihin kysymyksiin, mutta on huomionarvoista, että merkittävä alusta koki tarpeelliseksi nimetä yritys julkisesti ja varoittaa vaikuttuneita käyttäjiä.

Niille noin 200 henkilölle, jotka joutuivat tämän kampanjan uhreiksi, kokemus toimii terävänä muistutuksena siitä, että uhka ei tullut heidän käyttämänsä sovelluksen viasta. Se tuli siitä, että heidät huijattiin käyttämään kokonaan eri sovellusta.

Mitä tämä tarkoittaa sinulle

Tavallinen WhatsApp-käyttäjä ei todennäköisesti ole kaupallisen valvontaoperaation kohde. Nämä kampanjat ovat yleensä kalliita, työvoimavaltaisia ja kohdistuvat tiettyihin henkilöihin. Mutta taustalla oleva menetelmä – jonkun huijaaminen asentamaan haitallinen sovellus tekemällä siitä laillisen näköinen – ei ole yksinomaan kansallisvaltiontason tiedustelutoiminnan piirre. Tämän taktiikan muunnelmia esiintyy arkipäiväisissä tietojenkalastelukampanjoissa ja petossuunnitelmissa ympäri maailmaa.

WhatsApp-tapaus on hyödyllinen muistutus siitä, että digitaalinen turvallisuus ei ole pelkästään oikeiden sovellusten luottamisen asia. Se vaatii myös huomion kiinnittämistä siihen, mistä nämä sovellukset ovat peräisin.

Tässä käytännön toimenpiteitä, joita kannattaa harkita:

  • Lataa sovelluksia vain virallisista lähteistä. Androidilla tämä tarkoittaa Google Play Kauppaa. iOS:llä App Storea. Vältä sovellusten asentamista viesteissä lähetetyistä linkeistä, vaikka ne tulisivat tuntemiltasi henkilöiltä.
  • Varmista ennen asentamista. Jos joku lähettää sinulle linkin sovelluksen lataamiseksi, tarkista kyseisen sovelluksen virallinen verkkosivusto suoraan sen sijaan, että seuraisit linkkiä.
  • Pidä laitteesi suojausominaisuudet aktiivisina. Useimmat nykyaikaiset käyttöjärjestelmät merkitsevät sovellukset vahvistamattomista lähteistä. Kiinnitä huomiota näihin varoituksiin.
  • Suhtaudu epäilevästi kiireellisyyteen. Sosiaaliset manipulointihyökkäykset luovat usein kiireellisyyden tunteen oikosulkeakseen huolellisen ajattelun. Jos ohje tuntuu painostavalta, hidasta tahtiasi.
  • Toimi sovellustarjoajien varoitusten mukaisesti. WhatsApp otti ennakoivasti yhteyttä vaikuttuneisiin käyttäjiin. Jos käyttämäsi palvelu ottaa sinuun yhteyttä turvallisuushuolen vuoksi, suhtaudu siihen vakavasti ja seuraa heidän ohjeitaan.

Tämän tapauksen laajempi opetus on, että turvallisuus ei ole jotain, jonka mikään yksittäinen sovellus voi täysin tarjota puolestasi. Turvallisena pysyminen vaatii tapoja, ei pelkästään työkaluja. Tietäminen siitä, mistä ohjelmistosi on peräisin, ja epäileväisyys silloin kun jokin ei tunnu oikealta, on edelleen yksi tehokkaimmista suojakeinoista, joka kenellä tahansa käyttäjällä on käytettävissään.