ההצפנה לא נפרצה, אבל הדלת נשארה פתוחה: איך תגנו על חשבון הוואטסאפ שלכם?

דליפת התכתבויות וואטסאפ המיוחסות ליועץ ראש הממשלה, יונתן אוריך, עוררה מחדש את הדיון בנוגע לאבטחת מידע באפליקציות מוצפנות. לאחר פרסום ההתכתבויות באתרים פיראטיים והגשת תביעה מצד אוריך, הגיע לידי עיתונאים קובץ נוסף שכלל התכתבויות נוספות, בין היתר עם שרה ויאיר נתניהו. ההדלפות לכאורה קשורות לפיתוח כלי לניטור תקשורת עבור ראש הממשלה, שקוד התוכנה שלו נחשף ברשת וכלל מזהים ומפתחות גישה לקבוצות וואטסאפ. בנוסף, דווח כי אוריך חיבר את חשבון הוואטסאפ שלו לתוכנה מדובאי.

מומחי אבטחה מסבירים כי למרות ההצפנה מקצה לקצה, שנועדה להגן על ההודעות בזמן העברתן, היא אינה מונעת גישה למידע לאחר שהגיע למכשיר או לשירות חיצוני שקיבל הרשאה. משה לוי, מייסד שותף ו-CTO ב-Levinity Cyber, הדגיש כי חיבור שירותים חיצוניים, כלי AI או מכשירים מקושרים לחשבונות רגישים, גם אם נעשה בתום לב, עלול לפתוח "דלת" לגישה למידע בטקסט גלוי.

שי נחום, מנכ"ל חברת CYGHT, הזהיר מפני הסיכונים בפיתוח מהיר של שירותים המתחברים לוואטסאפ באמצעות כלי AI. קוד שנוצר במהירות עלול להכיל טעויות אבטחה, ומפתחות גישה עלולים להישמר במקומות לא נכונים ולהגיע למאגרי קוד ציבוריים. נדב אביטל, CTO בחברת אימפרבה-תאלס, הוסיף כי חולשות אבטחה בפלטפורמות AI ואוטומציה עלולות לאפשר השתלטות על חשבונות וחשיפת מפתחות גישה. מחקר של אימפרבה מצא כי כ-40% מממשקי API ארגוניים סובלים מסיכוני אבטחה הקשורים לאימות וניהול טוקנים.

רון שטראופר, סמנכ"ל מוצר ב-Spikerz Security, ציין שלושה מוקדי סיכון עיקריים: מכשיר מקושר שנותר פתוח, מסירת קוד אימות לשירות חיצוני, וקישור זדוני (פישינג או נוזקה) בטלפון. הוא הדגיש כי חשיפת מידע לא תמיד מלווה בסימן ברור, ולכן ההגנה צריכה להתחיל בצמצום הרשאות והסרת חיבורים מיותרים.

כדי להגן על חשבון הוואטסאפ, מומלץ לבדוק את רשימת המכשירים המקושרים ולנתק חיבורים לא מוכרים או מיותרים. יש להימנע מחיבור שירותי צד שלישי או כלי AI שאינם מוכרים, ולהשתמש במספר טלפון ייעודי לפיתוח בוטים. בנוסף, יש להפעיל אימות דו-שלבי, להימנע ממסירת קודי אימות חיצוניים, ולמנוע שמירת מפתחות API וטוקנים בקוד ציבורי. במקרה של חשד לחשיפה, יש לבטל מפתחות, להנפיק חדשים ולבדוק יומני גישה, ולבדוק גם את אבטחת חשבון המייל המקושר.