Unter falscher Flagge Ghost Pairing: Wie sich Angreifer in Ihr Whatsapp schleichen
Ein Fake-Link im Chat bedeutet echte Gefahr: Wer ihm folgt und seine Handynummer auf einer gefälschten Seite eingibt, riskiert Hacker im eigenen Whatsapp-Konto. So lassen Sie den Schwindel auffliegen.
Bonn/Berlin - Sie öffnen keine Links, die Fremde Ihnen schicken? Das ist gut. Aber sie sollten selbst bei Freunden oder Verwandten skeptisch sein, wenn sie per Whatsapp etwa Hinweise auf Inhalte bekommen, die sie neugierig machen sollen - verbunden mit einem Link. Denn es kann sein, dass die Nachricht gar nicht wie erwartet von Familienmitgliedern oder Bekannten stammt, sondern von Hackern, die sich Zugriff auf das jeweilige Whatsapp-Konto verschafft haben und nun auch in Ihres eindringen wollen.
Heikel wird es, wenn man besagtem Link folgend auf eine Webseite geleitet wird, wo man seine Identität bestätigen soll - und zwar über die eigene Telefonnummer, warnt das Bundesamt für Sicherheit in der Informationstechnik (BSI). Aktuell seien das etwa Seiten, die denen großer Social-Media-Plattformen wie Facebook täuschend echt nachempfunden sind.
Wie man Angreifer unwissentlich ins Whatsapp-Konto lässt
Wer dort seine Mobilfunknummer preisgibt, ermöglicht es den Angreifern, diese an Whatsapp weiterzuleiten, um die reguläre Funktion „Gerät über Telefonnummer verknüpfen“ zu starten. Whatsapp verschickt daraufhin einen achtstelligen Kopplungscode per SMS.
Wer diesen auf der Phishing-Seite ein- und damit an die Angreifer weitergibt, ermöglicht es ihnen, in der Ferne ein Gerät mit dem eigenen Konto zu koppeln - und fortan auf alle Nachrichten, Medien und Kontakte zuzugreifen. Deshalb wird diese Phishing-Masche auch Ghost Pairing genannt.
Verknüpfte Geräte regelmäßig checken
Whatsapp rät, regelmäßig zu prüfen, ob und welche Geräte mit dem eigenen Konto verknüpft sind. Das geht ganz einfach in den Whatsapp-Einstellungen unter „Verknüpfte Geräte“, wo sich Geräte auch jederzeit abmelden lassen. Automatisch werden verknüpfte Geräte den Angaben zufolge nur abgemeldet, wenn sie 30 Tage inaktiv waren.
