Otmica QR-a povezanog uređaja (QRLJacking) na WhatsApp-u, Signalu, Discordu i Telegramu¶

Shvaćanje da netko čita vaše privatne end-to-end kriptirane poruke u stvarnom vremenu ili šalje prijevarne poruke s vašeg WhatsApp, Signal, Discord, Telegram ili Line računa dok vaš pametni telefon i dalje normalno radi u vašoj ruci i nikada se niste odjavili točan je potpis otmice QR koda povezanog uređaja (QRLJacking / Ghost Pairing). Za razliku od a SIM swap ili a star-code operatera (*72) i preuzimanje PIN-a govorne pošte (koje prenose vaš primarni telefonski broj na novu slušalicu i odmah izbacuju vaš telefon s WhatsAppa ili Signala), Linked-Device QR Hijack uopće ne dira registraciju vašeg primarnog telefona. Umjesto toga, napadač vas prevari da skenirate živi QR kod za uparivanje pratećeg uređaja koji je generirao napadačev vlastiti WhatsApp Web, Signal Desktop, Discord, ili Telegram Desktop prozor preglednika (maskiran na stranici za krađu identiteta kao "Potvrdite svoju dob/humanost QR koda", "Skenirajte da biste se pridružili ovoj privatnoj WhatsApp/Telegram grupi", "Skenirajte za besplatni Discord Nitro / Steam skin" ili "Razgovor za posao / potvrda isporuke paketa"). U trenutku kada skenirate taj QR kod unutar skenera svoje aplikacije, vaš telefon kriptografski autorizira napadačevo računalo kao pouzdani povezani prateći uređaj, sinkronizirajući vašu nedavnu povijest poruka i svaku buduću dolaznu i odlaznu poruku na napadačev zaslon u stvarnom vremenu dok potpuno zaobilazi SMS 2FA, PIN-ove za zaključavanje registracije i upite za lozinku. Ako ste umjesto toga skenirali fizičku QR naljepnicu na automatu za parkiranje ili stolu u restoranu s uobičajenom kamerom telefona koja je otvorila web stranicu za krađu kreditne kartice, pogledajte naš vodič na QR kod phishing (quishing) i naljepnice za parkirne satove. Ako ste suočeni s iznudom, ucjenom ili fizičkom opasnošću, nazovite svoj lokalni broj za hitne slučajeve (911 u Sjedinjenim Državama i Kanadi, 112 diljem Europske unije, 999 u Ujedinjenom Kraljevstvu) ili provjerite naš imenik međunarodnih hitne brojeve.

Učinite to sada¶

1. ODMAH otvorite zaslon svoje aplikacije za razmjenu poruka "Povezani uređaji / aktivne sesije" i prekinite svaku neprepoznatu sesiju radne površine ili preglednika:
2. Na WhatsApp-u (iPhone i Android): Dodirnite Postavke (ili izbornik s tri točke) > Povezani uređaji. Pogledajte popis pod Status uređaja (Google Chrome (Windows), Mac OS, Firefox (Linux), WhatsApp Desktop). Dodirnite svaki uređaj koji ne prepoznajete 100 posto i dodirnite Odjava.
3. Na signalu (iPhone i Android): Dodirnite svoju Ikona profila (gore lijevo) > Postavke > Povezani uređaji. Dodirnite bilo koju neprepoznatu sesiju radne površine (Signal Desktop) i odaberite Prekini vezu.
4. Na Telegramu (iPhone i Android): Dodirnite Postavke > Uređaji (Active Sessions). Odmah dodirnite Prekini sve druge sesije (i pregledajte popis ispod njega: ako je napadač povezao svoju sesiju prije manje od 24 sata i Telegram kaže "Novi uređaji ne mogu prekinuti starije sesije na 24 sata", slijedite naše zaobilaženje hitne sesije u fazi 1 u nastavku).
5. Na Discordu (iOS i Android): Dodirnite Vi (dolje desno) > Postavke (ikona zupčanika) > Uređaji -> dodirnite Odjava sa svih poznatih uređaja (i odmah promijenite lozinku za Discord, što poništava sve aktivne tokene za autentifikaciju Discorda).
6. Pogledajte svoje poslane poruke, arhivirane razgovore i "Otpad/Nedavno obrisano" da vidite što je napadač poslao ili izvezao dok je njegov povezani uređaj bio povezan:
7. Napadači koji otmu a WhatsApp Web, Telegram, ili Discord sesije putem QR koda odmah provjerite Arhivirane razgovore (oni arhiviraju razgovore u kojima šalju poruke vašim prijateljima ili šefu tražeći novac tako da ti razgovori ostanu skriveni s vašeg glavnog popisa za razgovore) i pretražuju vašu povijest razgovora za riječi "password", "seed", "bank", "passport", "tax", "SSN", ili "code".
8. Odmah dearhivirajte sve nepoznate arhivirane teme unutar WhatsAppa/Telegrama kako biste vidjeli kome je napadač poslao poruku s vašeg računa.
9. Ako je vaš Discord račun otet putem prijevare "Fake Verification / Free Nitro QR Code", odmah opozovite svoj Discord Auth Token promjenom lozinke I provjerite svoju naplatu/inventar darova:
10. Skeniranje QR koda unutar Mobilne aplikacije Discord (Scan QR Code) ne povezuje samo popratni preglednik: on napadaču predaje vaš potpuni token za autentifikaciju glavnog računa, dopuštajući mu da kupi stotine dolara Discord Nitro Gifts korištenjem vaše spremljene veze kreditne kartice ili PayPala i DM-a sa svim vašim poslužiteljima.
11. Provjerite je li vas napadač također prevario da upišete "8-znakovni kod za uparivanje" (Link with Phone Number Instead) na WhatsApp:
12. Uz QR kodove, WhatsApp sada podržava povezivanje pratećeg preglednika upisivanjem alfanumeričkog koda od 8 znakova (XXXX-XXXX) na vašem telefonu ("Enter code to link new device"). Prevaranti šalju lažne sigurnosne skočne prozore koji govore "Unesite kontrolni kod A7K9-M2P4 u WhatsAppu za provjeru vašeg računa", čime se postiže isti tihi rad WhatsApp Web companion hijack kao skeniranje QR koda. Prekid svih povezanih uređaja u 1. koraku trenutno prekida i sesije povezane s QR-om i sesije povezane s kodom od 8 znakova.
13. Upozorite svoje kontakte i grupne razgovore da je lažna sesija nakratko pristupila vašem računu:
14. Objavite jasno ažuriranje statusa ili poruku bilo kojem kontaktu kojeg je napadač poslao tako da nitko ne klikne vezu za krađu identiteta, skenira sekundarni QR kod ili pošalje novac putem Zellea, Venma, Revoluta ili crypto.
15. Rotirajte sve lozinke, početne izraze kriptovalute ili osjetljive fotografije koje su se nalazile u vašem chatu "Pošaljite sebi poruku / Spremljene poruke":
16. Milijuni ljudi koriste WhatsApp "Message Yourself (You)", Telegram "Saved Messages", Signal "Note to Self" ili osobni Discord Server kao privatnu bilježnicu za pohranjivanje lozinki, fotografija vozačkih dozvola/putovnica, poreznih PDF-ova i fraza za oporavak kriptovalute. U trenutku kada napadač poveže popratni preglednik stolnog računala putem QR koda, prvi chat koji preuzima njegova automatizirana skripta je Saved Messages / Note to Self / You.

Stablo odlučivanja: dijagnosticiranje i uklanjanje QR otmice povezanih uređaja (QRLJacking)¶

Slijedite ovo stablo odlučivanja kako biste identificirali kako se napadač povezao s vašim računom i potpuno prekinuli njegov pristup:

flowchart TD
    Symptom["Neobjašnjene poslane poruke, arhivirani razgovori, potvrde o čitanju ili čudna sesija radne površine nakon skeniranja QR koda ili unosa koda od 8 znakova"] --> AppType{"Koja je platforma za razmjenu poruka bila ciljana?"}

    AppType -->|"WhatsApp (QR kod ILI kod 'Veza s telefonskim brojem' od 8 znakova)"| WAPath["KORAK 1A: Otvorite WhatsApp -> Postavke -> Povezani uređaji -> Dodirnite svaki uređaj na popisu -> Dodirnite 'Odjava'"]

    AppType -->|"Signal (QR povezane radne površine)"| SigPath["KORAK 1B: Otvorite Signal -> Postavke -> Povezani uređaji -> Dodirnite Neprepoznata radna površina -> Dodirnite 'Unlink'"]

    AppType -->|"Telegram (QR prijava / aktivna sesija)"| TGPath["KORAK 1C: Otvorite Telegram -> Postavke -> Uređaji -> Dodirnite 'Prekini sve druge sesije' + Omogućite lozinku za provjeru u 2 koraka"]

    AppType -->|"Discord ('Skeniraj QR kod' Nitro/prijevara s verifikacijom poslužitelja)"| DiscPath["KORAK 1D: Otvorite Discord -> Postavke -> Uređaji -> 'Odjava sa svih poznatih uređaja' + Odmah promijenite zaporku za Discord (resetira glavni autentičan token) + Uklonite spremljene kartice za plaćanje"]

    WAPath --> AuditSaved["KORAK 2: Pregledajte 'Pošaljite sebi poruke / Spremljene poruke / Bilješke sebi' i 'Arhivirane razgovore' da vidite koje je podatke napadač preuzeo ili poslao"]
    SigPath --> AuditSaved
    TGPath --> AuditSaved
    DiscPath --> AuditSaved

    AuditSaved --> SecretsExposed{"Jesu li lozinke, početne fraze, API ključevi ili ID fotografije pohranjeni u vašoj povijesti razgovora?"}

    SecretsExposed -->|"Da: Pohranjeno u 'Spremljenim porukama' ili Nedavnim razgovorima"| RotateSecrets["HITNO: Rotirajte sve izložene lozinke/ključeve, premjestite kripto u novu početnu frazu i zamrznite kredit ako je ID/SSN bio izložen"]
    SecretsExposed -->|"Nema osjetljivih vjerodajnica u razgovorima"| NotifyContacts["KORAK 3: Dearhivirajte skrivene razgovore, izbrišite prijevarne poruke za sve i upozorite kontakte da ne klikaju veze"]

    RotateSecrets --> NotifyContacts

Kako QRLJacking ("Ghost Pairing") radi iza kulisa¶

Zašto postoji QRLJacking (Quick Response Code Login Jacking) postati omiljeni vektor napada špijunskih skupina koje sponzorira država (APT28, Star Blizzard, UNC4221) i financijski prevaranti koji ciljaju na novinare, rukovoditelje i obične korisnike? Budući da u potpunosti zaobilazi svaku tradicionalnu sigurnosnu kontrolu na vašem računu:

1. Zašto SMS 2FA, PIN-ovi za potvrdu u dva koraka i zaključavanje registracije NE prestaju QRLJacking¶

Kada napadač pokuša ukrasti vaš WhatsApp, Signal ili Telegram račun na staromodan način (upisivanjem vašeg telefonskog broja u novi telefon), udari u dva zida: 1. Moraju presresti 6-znamenkasti SMS ili glasovni poziv poslan vašem mobilnom operateru. 2. Čak i ako presretnu taj SMS, pogodili su vaš PIN za potvrdu u dva koraka / PIN za zaključavanje registracije.

QRLJacking obilazi oba zida okrećući smjer prijave: 1. Korak 1 (napadač generira Live Pairing Socket): Napadačev automatizirani poslužitelj Node.js / Playwright otvara pravi bezglavi preglednik na web.whatsapp.com, discord.com/login, ili web.telegram.org. Taj službeni poslužitelj generira živi, ​​dinamički osvježavajući QR kod za kriptografsko uparivanje (vrijedi 20 do 60 sekundi, kontinuirano se ažurira putem WebSocketa). 2. Korak 2 (napadač prenosi QR kod uživo na stranicu za privlačenje): Napadač ugrađuje tu živu WebSocket QR sliku unutar uvjerljive phishing web stranice: - "Cloudflare / WhatsApp Sigurnosna provjera: skenirajte ovaj QR kod u WhatsAppu (Settings > Linked Devices) kako biste potvrdili svoj račun i spriječili obustavu." - "Ekskluzivna pozivnica za zajednicu: skenirajte pomoću WhatsAppa da biste se pridružili VIP的投资/Crypto/Neighborhood grupi." - "Razdor Wick / Captcha.bot Provjera poslužitelja: Skenirajte ovaj QR kod s mobilnom aplikacijom Discord kako biste otključali sve kanale na ovom poslužitelju." - "WhatsApp mamac s kodom od 8 znakova (Link with Phone Number)": Umjesto da uopće prikaže QR kod, napadač klikne "Veza s telefonskim brojem" na svom web.whatsapp.com zaslon, upisuje vaš telefonski broj, prima kod od 8 znakova (G4M9-K2L8), i prikazuje vam poruku koja kaže: "Da biste potvrdili da ste čovjek / RSVP na ovaj događaj, unesite kod G4M9-K2L8 kada WhatsApp iskoči na vašem telefonu." 3. Korak 3 (Vaš telefon kriptografski potpisuje javni ključ napadača): Budući da skenirate QR kod (ili upisujete kod od 8 znakova) sa svog već autentificiranog primarnog telefona, WhatsApp/Signal/Telegram/Discord ovo tretira kao da namjerno uparujete vlastito prijenosno računalo. Vaš telefon generira novi identifikacijski ključ za više uređaja, potpisuje javni ključ napadača (Curve25519), te odmah grupira i učitava šifriranu povijest vaših nedavnih poruka ravno u napadačev preglednik.

2. Usporedba platformi: Što napadač dobiva kada skenirate njihov QR kod za prijavu¶

Faza 1: Zadržavanje u hitnim slučajevima platforma po platforma i forenzika¶

1. WhatsApp: Revizija i čišćenje povezanih uređaja (i zaustavljanje napada kodom od 8 znakova)¶

1. Otvorite WhatsApp na svom primarnom pametnom telefonu.
2. Dodirnite Postavke (dolje desno na iPhoneu) ili Izbornik s tri točke (gore desno na Androidu) -> dodirnite Povezani uređaji.
3. Prije nego što dodirnete "Odjava" na nepoznatom uređaju, napravite snimku zaslona Linked Devices zaslon ako vam trebaju dokazi za radno mjesto, uhođenje ili policijsku istragu:
4. Dodirnite unos nepoznatog uređaja (Google Chrome (Windows) ili Mac OS): WhatsApp će prikazati zadnju aktivnu vremensku oznaku, a ponekad i približan grad/lokaciju te sesije.
5. Dodirnite Odjava na svakom pojedinom navedenom uređaju (čak i ako jedan izgleda kao "Google Chrome", odjavite se sa svih njih kako biste bili 100% sigurni da je utičnica preglednika napadača uništena; uvijek možete kasnije ponovno povezati svoje stvarno prijenosno računalo).
6. Odmah provjerite svoju WhatsApp mapu "Arhivirano":
7. Pomaknite se do samog vrha popisa Chats i dodirnite Arhivirano.
8. Prevaranti koji otmu WhatsApp Web sesiju gotovo uvijek Arhiviraju i Isključuju razgovore prijatelja/članova obitelji koje aktivno varaju tako da kada vaš prijatelj odgovori "Naravno, koji je vaš Zelle/bankovni račun?", na zaslonu vašeg telefona ne iskače nikakva obavijest.
9. Otvorite svaki arhivirani chat, izbrišite sve prijevarne poruke koje je napadač poslao (Dodirnite i držite > Izbriši > Izbriši za sve) i odmah nazovite ili glasovno zabilježite te kontakte.
10. Isključite Push upite "Poveži s telefonskim brojem" ignorirajući neželjene kodove:
11. Ako ikada primite neželjenu push obavijest od WhatsAppa koja glasi "Pokušavate li povezati uređaj? Unesite kod..." kada niste samo zatražili kod na vlastitom računalu, odmah dodirnite Odbaci / Odustani; netko je upisao vaš broj telefona web.whatsapp.com nadajući se da ćete unijeti njihovu šifru.

2. Telegram: Što učiniti ako vas Telegram blokira da prekinete hakersku sesiju (The 24-Hour New Device Rule)¶

Telegram ima ozloglašeno sigurnosno pravilo: Novoprijavljena sesija ne može prekinuti starije aktivne sesije dok se nova sesija ne prijavi 24 sata. - Scenarij A (Vaš telefon je VEĆ bio prijavljen na Telegram prije nego što je napadač skenirao QR kod): Budući da je vaš telefon starija sesija, a napadačev preglednik povezan s QR-om novija sesija, vaš telefon može odmah prekinuti napadačevu sesiju bez čekanja. Idite na Postavke > Uređaji, dodirnite sesiju napadača i dodirnite Prekini sesiju (ili dodirnite Prekini sve druge sesije). - Scenarij B (napadač je čekao 24 sata nakon povezivanja svoje QR sesije, prekinuo vašu telefonsku sesiju, a vi ste se danas ponovno prijavili na svoj telefon): Sada se vaš telefon smatra "novim uređajem (mlađim od 24 sata)", tako da kada dodirnete sesiju napadača da biste je prekinuli, Telegram iskače s pogreškom koja glasi: "Iz sigurnosnih razloga ne možete prekinuti starije sesije s nedavno povezanog uređaja. Pričekajte 24 sata." Evo kako odmah pobijediti 24-satno zaključavanje: 1. Provjerite imate li još bilo koji drugi stariji uređaj (kao što je iPad, stari telefon ili kućno računalo s Telegram Desktop) koji je bio prijavljen na vaš Telegram račun više od 24 sata; otvorite Postavke > Uređaji na tom starijem uređaju i odmah ukinite napadača. 2. Odmah idite na Postavke > Privatnost i sigurnost > Potvrda u dva koraka (Cloud Password) i omogućite Cloud Password ili promijenite svoju postojeću Cloud Password + E-poštu za oporavak tako da vas napadač ne može zaključati. 3. Postavite Postavke > Uređaji > Automatski prekini stare sesije na najkraći interval (1 week), ostanite u svom Settings > Devices na zaslonu čim istekne 24-satno vrijeme (ili promatrajte napadača koji pokušava prekinuti vašu novu sesiju) i pritisnite Prekini sve druge sesije čim se 24-satni prozor isprazni.

3. Discord: Oporavak od otmice "Scan QR Code / Fake Verification Bot / Free Nitro"¶

Zašto su otmice Discord QR-a jedinstveno opasne: Za razliku od WhatsApp Weba (gdje QR skeniranje stvara samo ograničenu prateću sesiju koja ne može promijeniti lozinku vašeg računa ili telefonski broj), skeniranje QR koda za prijavu na Discord (Settings > Scan QR Code) predaje napadačevom pregledniku potpuni glavni korisnički token za autentifikaciju. U roku od 5 sekundi od vašeg skeniranja, napadačeva automatizirana bot skripta: - Čekovi users/@me/billing/payment-sources i kupuje 10x 9,99 USD ili 99,99 USD Discord Nitro Gift Subscriptions koristeći svoju spremljenu Visa, Mastercard ili PayPal (slanjem poveznica za Nitro dar koji se može iskoristiti hakeru). - Šalje DM za krađu identiteta ("Bro check out this game I'm testing" ili "Free $50 Steam gift card") svakoj osobi na vašem popisu prijatelja i svakom Discord poslužitelju kojem pripadate. - Ispada uporan Discord Backup Code ili mijenja vaš app.asar desktop klijent ako je također pokrenut zlonamjerni softver.

Točni koraci za oporavak Discorda: 1. Otvorite Discord -> Korisničke postavke (ikona zupčanika) > Moj račun > Promjena lozinke. Promjena vaše lozinke za Discord odmah poništava svaki postojeći autentifikacijski token na svim uređajima i skriptama, izbacujući napadača za manje od 1 sekunde. 2. Idite na Korisničke postavke > Uređaji i kliknite Odjavi sve poznate uređaje za dobru mjeru. 3. Idite na Korisničke postavke > Moj račun > Višefaktorska provjera autentičnosti: - Kliknite Prikaži pričuvne kodove > Generiraj nove kodove (jer je napadačeva skripta automatski preuzela kopiju vaših starih 8-znamenkastih Discord pričuvnih kodova čim ste skenirali QR kod). - Uklonite sve neprepoznate Sigurnosne ključeve/zaporke ili SMS rezervne autentifikacije koje je napadač dodao. 4. Idite na Korisničke postavke > Naplata i Pretplate/Inventar poklona: - Izbrišite sve spremljene kreditne kartice i PayPal veze. - Ako je napadač kupio neovlaštene Discord Nitro Gifts na vašoj kartici, NEMOJTE prvo podnijeti zahtjev za storniranje kreditne kartice svojoj banci (Discordov automatizirani sustav naplate trajno zabranjuje svaki Discord račun koji podnese zahtjev za storniranje bankovnog iznosa). Umjesto toga, odmah pošaljite Discord Trust & Safety/Unauthorized Transaction Refund Ticket na dis.gd/billing navodi da je vaš račun ugrožen putem QR phishinga; Podrška za Discord može poništiti neiskorištene Nitro darove i vratiti novac na vašu karticu bez zabrane vašeg računa.

Faza 2: Rješavanje problema krađe podataka iz "Spremljenih poruka" / "Pošaljite poruku sebi"¶

Nakon što ste izbacili napadača iz Povezanih uređaja, posvetite 10 minuta reviziji koji su osjetljivi podaci bili izloženi u vašoj povijesti razgovora:

1. Otvorite svoj samo-chat (Message Yourself na WhatsAppu, Saved Messages na Telegramu, Note to Self na Signalu):
2. Jeste li ikada sami sebi poslali poruku lozinke, bankovnog broja, fotografije svoje kreditne kartice, fotografije putovnice/vozačke dozvole, povrata poreza, SSH ključa ili kripto početne fraze od 12/24 riječi?
3. Automatizirano QRLJacking okviri (EvilQr, QRLJacker, i prilagođeni Telegram/WhatsApp dumperi) programirani su za preuzimanje 100 posto vaših medija i teksta unutar prvih 15 sekundi QR skeniranja.
4. Ako je fraza kripto početne fraze ili privatni ključ ikada zalijepljen ili fotografiran u vašoj povijesti razgovora, tretirajte ga kao ugroženog odmah i slijedite naše pražnjenje novčanika kriptovalute i kompromitacija početne fraze vodič.
5. Ako je fotografija vaše iskaznice socijalnog osiguranja, vozačke dozvole ili putovnice bila u vašoj povijesti razgovora, postavite besplatno zamrzavanje kredita na Equifax, Experian i TransUnion koristeći naš odgovor na krađu identiteta vodič.
6. Pretražite svoju traku za razgovor u potrazi za visokorizičnim ključnim riječima:
7. U gornjoj traci za pretraživanje WhatsAppa, Signala, Telegrama ili Discorda tražite jedno po jedno:
   • password / passcode / PIN
   • login / account
   • bank / routing / IBAN
   • seed / phrase / wallet / 0x
8. Rotirajte svaku pojedinačnu vjerodajnicu koja se pojavljuje u tim rezultatima pretraživanja.

Faza 3: Trajna obrana od otmice QR koda i pratećeg uređaja¶

Uvedite ovih pet zaštitnih mjera već danas kako ni vi ni član obitelji ne biste mogli biti prevareni da povežete lažni prateći uređaj:

• 1. Shvatite razliku između uobičajene aplikacije kamere na vašem telefonu i skenera "Poveži uređaj" u aplikaciji:
• Normalni QR kodovi (izbornici restorana, ulaznice za događaje, Wi-Fi kodovi, javne veze ili legitimni WhatsApp/Telegram wa.me / t.me veze za grupni poziv) skeniraju se vašom uobičajenom aplikacijom za kameru za iPhone ili Android, koja pretpregledava URL (https://...).
• Skeneri "Poveži uređaj" u aplikaciji (WhatsApp > Settings > Linked Devices > Link a Device, Signal > Linked Devices, Discord > Scan QR Code) služe samo za prijavu drugog računala na vaš račun. Nikad ne otvarati Settings > Linked Devices osim ako fizički ne sjedite ispred svog osobnog prijenosnog računala koje ste upravo otvorili web.whatsapp.com na sebi.
• 2. Omogućite biometrijsko zaključavanje aplikacija i šifre za WhatsApp, Signal i Telegram:
• Iako WhatsApp već zahtijeva Face ID / Touch ID / Fingerprint prije otvaranja Link a Device kamera, uključivanje App Lock (Settings > Privacy > App Lock / Screen Lock) sprječava nekoga tko posudi vaš otključani telefon na 15 sekundi na zabavi, u baru ili uredskom stolu da otvori WhatsApp i skenira QR kod na vlastitom telefonu kako bi u tišini špijunirao vaše poruke sljedećih 14 dana.
• (Napomena: Domaće prisluškivanje putem WhatsApp Web / Signal Desktop / Telegram Web, gdje ljubomorni partner ili kolega zgrabi vaš otključani telefon na 10 sekundi dok ste u toaletu i skenira QR kod na njihovom laptopu, jedan je od najčešćih oblika međuljudskog špijuniranja.)
• 3. revizija Settings > Linked Devices Jednom mjesečno na svim aplikacijama za slanje poruka:
• Neka vam otvaranje bude mjesečna navika Linked Devices / Active Sessions u WhatsAppu, Signalu, Telegramu, Discordu i Google/Apple ID-u kako biste potvrdili da nije priložen nijedan nepoznati preglednik ili radna površina.
• 4. UKLJUČITE potvrdu u dva koraka (Registration Lock / Cloud Password):
• Dok potvrda u dva koraka ne blokira QRLJacking (jer QRLJacking događa s vašeg telefona na koji ste već prijavljeni), uključite Potvrdu u dva koraka u WhatsAppu (Settings > Account > Two-step verification), Signal (Settings > Account > Registration Lock), i Telegram (Settings > Privacy and Security > Two-Step Verification) sprječava napadača da eskalira popratnu sesiju u potpuno preuzimanje primarnog telefonskog broja.
• 5. Nikada nemojte spremati obične tekstualne lozinke, početne fraze ili ID fotografije u "Spremljene poruke" ili "Bilješku za sebe":
• Izbrišite sve lozinke, fotografije kreditnih kartica i početne fraze iz svojih aplikacija za razmjenu poruka danas (Delete for Everyone) i premjestite ih u namjenski kriptirani upravitelj lozinki bez znanja (Bitwarden, 1Password, KeePassXC ili Apple Passwords).

Regionalni brojevi za hitne slučajeve i protokoli agencija¶

Neovlašteni pristup računima za razmjenu privatnih poruka putem QRLJacking ili tiho povezivanje pratećeg uređaja zločin je prema zakonima o prisluškivanju, uhođenju i zlouporabi računala diljem svijeta:

• Sjedinjene Države i Kanada:
• Hitne službe: Birajte 911 ako otmica računa uključuje uhođenje u obitelji, seksualno iznuđivanje ili neposrednu prijetnju fizičkoj sigurnosti.
• FBI Centar za pritužbe na internetski kriminal (IC3) & CISA: Prijavite preuzimanja računa pomoću QR koda i prijevare s financijskim lažnim predstavljanjem na ic3.gov (CISA i FBI izdali su posebne savjete o ruskim/APT Signal i WhatsApp QR phishing povezanog uređaja koji cilja vladine, vojne i novinarske račune).
• Kanadski centar za borbu protiv prijevara (CAFC): Javite se na antifraudcentre-centreantifraude.ca ili 1-888-495-8501.
• Ujedinjeno Kraljevstvo:
• Hitne službe: Birajte 999 (ili 101 za policiju koja nije hitna).
• Action Fraud & NCSC: Prijavite neovlašteni pristup računu za razmjenu poruka prema Zakonu o zlouporabi računala iz 1990. na actionfraud.police.uk (0300 123 2040) i prijavite zlonamjerne QR phishing URL-ove NCSC-u na ncsc.gov.uk.
• Europska unija:
• Hitne službe: Birajte 112 u svim zemljama članicama EU.
• Nacionalne jedinice za kibernetički kriminal i ENISA: Prijavite putem Europolovog portala za kibernetički kriminal (europol.europa.eu/report-a-crime/report-cybercrime-online).
• Australija i Novi Zeland:
• Hitne službe: Birajte 000 u Australiji ili 111 na Novom Zelandu.
• IzvješćeCyber ​​(ACSC) & Scamwatch (Australija): Prijavite WhatsApp/Telegram "Hi Mum / Impersonation" i preuzimanja QR računa na cyber.gov.au (1300 CYBER1) ili scamwatch.gov.au.
• CERT NZ (Novi Zeland): izvješće na cert.govt.nz.
• Indija i Azija-Pacifik:
• Indijski nacionalni portal za prijavu kibernetičkog kriminala: Birajte 1930 ili prijavite otmice WhatsAppa/Telegrama na cybercrime.gov.in.
• Singapurske policijske snage (SPF Anti-Scam Centre) & CSA: Nazovite 1799 (ScamShield) ili 1800-722-6688 (Singapur je iskusio goleme valove lažnih prijevara s QR poveznicama "Singpass / Election / Survey" WhatsApp Web).

Često postavljana pitanja¶

Kako bi netko mogao čitati moje WhatsApp ili Signal poruke na svom računalu kada su WhatsApp i Signal "End-to-End Encrypted"?¶

Enkripcija s kraja na kraj (`E2EE`) znači da su poruke šifrirane između ovlaštenih uređaja vašeg računa i ovlaštenih uređaja vašeg primatelja tako da ih ni telekom operateri ni sam poslužitelj za slanje poruka ne mogu pročitati tijekom prijenosa. Međutim, kada skenirate napadača `WhatsApp Web` ili `Signal Desktop` QR kod pomoću vašeg telefona Povezani uređaji skener (ili kada netko s fizičkim pristupom vašem otključanom telefonu skenira vlastiti zaslon prijenosnog računala), vaš telefon kriptografski označava napadačevo računalo kao jedna od VAŠIH službenih end-to-end kriptiranih popratnih krajnjih točaka. Od tog trenutka dok ne kliknete "Odjava" u Povezanim uređajima, vaš telefon šifrira kopiju svake poruke posebno za ključ preglednika napadača.

Koja je razlika između skeniranja QR koda mojom iPhone/Android aplikacijom Camera u odnosu na skeniranje unutar WhatsApp/Signal/Discord skenera "Povezani uređaji"?¶

Kada skenirate QR kod pomoću svoje standardne **iPhone ili Android aplikacije Camera**, QR kod obično sadrži web poveznicu (`https://...`), što može dovesti do web stranice za krađu identiteta ([quishing](qr-code-phishing-quishing-parking-meter-decals-and-malicious-redirects.md)) koja od vas traži da upišete lozinku ili broj kreditne kartice, **ali samo skeniranje web URL-a vašom uobičajenom aplikacijom kamere ne može automatski povezati sesiju WhatsApp Weba ili Signal Desktopa**. Nasuprot tome, kada vas prevarant uvjeri da otvorite **WhatsApp / Signal / Telegram / Discord -> Postavke -> Povezani uređaji -> Poveži uređaj** i usmjerite *taj* skener u aplikaciji na njihov QR kod (ili upišite njihov kod za uparivanje od 8 znakova), vi izravno izvršavate rukovanje za uparivanje kriptografskog uređaja koje napadaču daje trenutni pristup vašem računu bez da ste ikada upisali lozinka.

Može li napadač koji je povezao a WhatsApp Web ili Signal Desktop sesije i dalje čita moje poruke nakon što dodirnem "Odjava / Prekini vezu" u Povezanim uređajima?¶

Ne, ne za nove poruke poslane nakon što ih prekinete. U trenutku kada tapnete Odjava / Prekid veze pod Postavke > Povezani uređaji, vaš primarni pametni telefon opoziva kriptografski identifikacijski ključ tog pratećeg uređaja na poslužitelju i rotira ključeve pošiljatelja za više uređaja (`Sender Key` ratchets) sa svim vašim kontaktima i grupnim razgovorima. Napadačev preglednik odmah prekida vezu i nikada ne može dešifrirati drugu dolaznu ili odlaznu poruku, iako zadržavaju sve stare poruke koje je njihov preglednik već preuzeo tijekom prozora u kojem su bili povezani.

Kako je ljubomorni partner ili supružnik pročitao sve moje WhatsApp ili Telegram poruke bez instaliranja špijunske aplikacije na moj telefon?¶

Metoda broj 1 koju koriste domaći prisluškivači za čitanje partnerovih WhatsApp, Signal, Telegram ili iMessage chatova zahtijeva nema špijunskog softvera na vašem telefonu: dok spavate ili se tuširate, osoba otključava vaš telefon (znajući vašu šifru od 4 do 6 znamenki na ekranu), otvara `WhatsApp > Settings > Linked Devices > Link a Device`, te skeniraju QR kod na vlastitom laptopu ili tabletu (`web.whatsapp.com`). Budući da vaš telefon nakon toga radi potpuno normalno, žrtve često prođu mjesecima a da ne shvate da popratni preglednik tiho prima svaku poruku. Uvijek provjerite `Settings > Linked Devices` u svim aplikacijama za razmjenu poruka, promijenite lozinku za otključavanje zaslona telefona i uključite biometrijsko **Zaključavanje aplikacija** unutar WhatsAppa, Signala i Telegrama.

Zašto je WhatsApp iskočio obavijest s upitom "Unesite kod za povezivanje novog uređaja" kada nikada nisam otvorio WhatsApp Web?¶

WhatsApp je dodao značajku tzv "Umjesto veze s telefonskim brojem" na `web.whatsapp.com` za korisnike čije su kamere na telefonu pokvarene. Jer svatko tko zna vaš 10-znamenkasti broj mobitela može upisati vaš broj telefona `web.whatsapp.com` i kliknite "Dalje", napadač može pokrenuti tu skočnu obavijest na vašem telefonu u bilo kojem trenutku dok vas zove ili vam šalje poruku pretvarajući se da ste WhatsApp podrška ili vozač dostavljača tražeći od vas da "unesete kod od 8 znakova `XXXX-XXXX` da potvrdite svoj račun". Nikada nemojte upisivati ​​kod od 8 znakova u WhatsApp osim ako to niste osobno zatražili na zaslonu vlastitog računala prije 5 sekundi.

Povezani vodiči¶

• Krađa identiteta QR koda (quishing), naljepnice za parkirne satove i zlonamjerna preusmjeravanja
• Otimanje prosljeđivanja poziva i preuzimanje PIN-a govorne pošte
• Zamjena SIM kartice: kako otkriti, zaustaviti i oporaviti se od otmice SIM kartice
• Otkrivanje stalkerwarea, spywarea i keyloggera na telefonima
• Krađa identiteta pristanka za OAuth, odobravanje zlonamjernih aplikacija trećih strana i opoziv API tokena
• Brojevi hitnih službi po državama

Izvori i službene upute¶

• Agencija za kibernetičku sigurnost i sigurnost infrastrukture (CISA), Agencija za nacionalnu sigurnost (NSA), & FBI (Sjedinjene Američke Države): Zajedničko savjetovanje o kibernetičkoj sigurnosti o ciljanju signala, WhatsAppa i Telegrama putem zlonamjernih "povezanih uređaja" QR kodova koje sponzorira ruska država i kibernetički kriminal (QRLJacking / Ghost Pairing).
• Open Worldwide Application Security Project (OWASP): QRLJacking (Quick Response Code Login Jacking) Okvir napada i protumjere za otmicu sesije.
• Nacionalni centar za kibernetičku sigurnost (NCSC) (Ujedinjeno Kraljevstvo) & Agencija za kibernetičku sigurnost Singapura (CSA): Javna upozorenja o kampanjama krađe identiteta QR koda na WhatsAppu, socijalnom inženjeringu kodova za uparivanje s 8 znakova i reviziji povezanih uređaja.
• Sigurnosna bijela knjiga za WhatsApp (Meta) & Specifikacije protokola signala: Arhitektura end-to-end enkripcije za više uređaja, opoziv ključa pratećeg uređaja i zagrljaj ključa pošiljatelja.