Fraudehelpdesk ontvangt tientallen meldingen per dag over WhatsApp-scam

De Fraudehelpdesk ontvangt de afgelopen dagen tientallen meldingen per dag, van mensen die de code invoerden en van ontvangers die het bericht alleen kregen over een WhatsApp-scam rond een ballerina, vertelt de organisatie aan Security.nl.

Een gekaapt WhatsApp-account kan op de telefoon van de eigenaar blijven werken terwijl een aanvaller chats meeleest en namens hem berichten stuurt. Voor bedrijven die WhatsApp gebruiken voor klant- of leverancierscontact, raakt dat betaalverzoeken, afspraken en klantgegevens. Een bericht staat in de juiste chat, maar dat vertelt niet wie er op dat moment toegang toe heeft.

Een stemverzoek leidt naar een apparaatkoppeling

De actie begint met een appje van een bekende. De ontvanger krijgt de vraag om op een jonge ballerina te stemmen, zodat zij een gratis dansles kan winnen. De meegestuurde link gaat naar een nepwebsite die om een telefoonnummer vraagt om de stem te verifiëren. Daarna stuurt WhatsApp een code die op die site moet worden ingevuld. De Fraudehelpdesk waarschuwde op 19 oktober dat de ingevoerde code het WhatsApp-account aan een apparaat van de oplichter koppelt.

Na die koppeling kan de aanvaller chats lezen en namens de eigenaar berichten sturen. De Fraudehelpdesk waarschuwt dat de aanvaller ook om een tweede verificatiecode kan vragen om het account volledig over te nemen. De aanvaller laat de gebruiker een bestaande koppelfunctie inzetten onder het voorwendsel van een stemactie.

De Duitse politie in Düren waarschuwde op 22 september voor dezelfde stemactie, waarbij het oorspronkelijke toestel bruikbaar bleef en een aanvaller een gekoppeld apparaat gebruikte om contacten te benaderen. De Nederlandse waarschuwing volgt daarmee op een al beschreven werkwijze.

Een bekend account kan de volgende deur openen

Klanten en leveranciers zien in een zakelijke chat een bekend nummer en een bestaande gespreksgeschiedenis. Een aanvaller kan vanuit dat account een betaalverzoek sturen, vragen om een rekeningnummer te wijzigen of een schadelijke link verspreiden. De Groningse politie noemde geldvragen en schadelijke links als mogelijke berichten uit een gekaapt account.

Een eerdere, afzonderlijke campagne liet zien hoe gekaapte WhatsApp-accounts als verspreidingskanaal dienen: aanvallers stuurden nepbedrijfsdocumenten met scripts die computers op afstand toegankelijk maakten. Dat was een andere aanval, maar de ingang was hetzelfde soort vertrouwen in een bestaand contact. In een bedrijf kan zo’n bericht verder reizen dan de medewerker die de code invulde.

Een betaal- of accountwijziging vraagt daarom om een tweede controle, bijvoorbeeld via het bekende telefoonnummer of een bestaand bedrijfsportaal. Dan wordt duidelijk of een verzoek ook buiten de mogelijk gekaapte chat klopt.

Extra accountbeveiliging dekt niet elke koppeling

Op 25 augustus kondigde Meta sterkere WhatsApp-beveiliging aan. Het bedrijf verving de zescijferige pincode voor tweestapsverificatie door een volledig wachtwoord en liet meer dan één passkey per account toe. Meta meldde bij die aankondiging dat meer dan een miljard mensen al een passkey hadden ingesteld. De wijziging roept voor zakelijke accounts ook de vraag op wie het nummer bezit en welk e-mailadres de herstelroute beheert.

Meta's aankondiging geeft geen cijfers over hoeveel overnames de nieuwe functies voorkomen. Ook bespreekt het bedrijf niet specifiek de truc waarbij iemand een apparaatkoppeling goedkeurt omdat die denkt een stem te bevestigen. De waarschuwing van de Fraudehelpdesk blijft daarom gericht op de handeling zelf: geen code invoeren op een onbekende website en geen onbekende apparaatkoppeling goedkeuren.

Meldingen zijn geen telling van overgenomen accounts

De tientallen meldingen per dag zijn dus geen telling van evenveel bevestigde accountovernames. De openbare waarschuwing van de Fraudehelpdesk noemt geen totaal aantal slachtoffers, geen schadebedrag en geen uitsplitsing naar particuliere of zakelijke accounts. Dat maakt de meldingen een signaal van verspreiding, niet een maat voor de schade.

Wie een onbekend apparaat ziet, kan het in WhatsApp uitloggen via de lijst met gekoppelde apparaten. WhatsApp adviseert die lijst regelmatig te controleren en onbekende sessies te beëindigen. Als iemand het account al heeft overgenomen, zegt WhatsApp dat opnieuw registreren met de eigen zescijferige sms-code alle andere aangemelde apparaten afmeldt. Daarna kan de accounthouder contacten waarschuwen en de berichten nalopen die tijdens de toegang zijn verstuurd.

De campagne gebruikt de normale mogelijkheid om een apparaat aan een account te koppelen en het vertrouwen in een bekende afzender. Omdat het oorspronkelijke toestel bruikbaar kan blijven, hoeft de eigenaar niet direct te merken dat iemand meekijkt. Een leverancier of klant kan daardoor eerder met de gevolgen te maken krijgen dan de accounthouder. Voor zakelijke gesprekken hoort de bevestiging van een gevoelig verzoek daarom buiten het afzendernummer zelf te liggen.