Os investigadores de segurança estão a alertar os utilizadores do WhatsApp para uma técnica crescente de sequestro de contas da aplicação.Os hackers exploram a funcionalidade que permite ligar o browser à conta da vítima, de forma a usar o programa de mensagens no PC, sequestrando assim a conta sem necessitar de quebras de palavras-passe ou de violação de encriptação.Sequestrada a conta, os hackers podem ler mensagens em tempo real, descarregar conteúdos e enviar mensagens como se da vítima se tratassem. Este tipo de ataque, ao qual foi dado o nome de GhostPairing, começa com uma mensagem curta que aparentemente tem origem num contacto fidedigno e que normalmente contém um link que alega mostrar uma fotografia do destinatário.Para gerar credibilidade, a pré-visualização do link assemelha-se muitas vezes a um conteúdo do Facebook.Ao clicar no link, a vítima é redirecionada para uma página falsa de login do Facebook alojada num domínio semelhante. E é precisamente nesse momento que a página inicia um emparelhamento de dispositivos do WhatsApp.As vítimas são solicitadas a introduzir o número de telefone na página falsa, o que permite ao atacante desencadear um pedido de emparelhamento legítimo.O WhatsApp gera então um código de emparelhamento, que o atacante exibe no site fraudulento. Depois a vítima é instruída a inserir esse código no WhatsApp, autorizando, sem saber, a ligação a um novo dispositivo.Embora o WhatsApp indique claramente que um novo dispositivo está a ser adicionado, os investigadores afirmam que muitos utilizadores ignoram ou interpretam mal a mensagem durante o processo.Concluído o emparelhamento, os atacantes obtêm acesso total à conta sem necessidade de credenciais de autenticação.A Gen Digital alerta que muitas vítimas permanecem alheias ao facto de um dispositivo adicional ter sido ligado em segundo plano.Este ataque permite que os criminosos acompanhem conversas, recolham informações confidenciais, façam-se passar pela vítima e alarguem a sua rede de vítimas ao repetir o processo para contactos e grupos de chat.Os investigadores já observaram abusos semelhantes com recursos a links em ataques noutras plataformas de mensagens.A única forma fiável de detetar este tipo de ataque é verificar manualmente a secção "Dispositivos associados" nas definições do WhatsApp. Se o utilizador não reconhecer algum dos dispositivos, deve-o remover imediatamente da conta.Os utilizadores são também aconselhados a denunciar mensagens suspeitas e a ativar proteções adicionais da conta, incluindo a autenticação de dois fatores.Ferramentas como o software antivírus podem ajudar a identificar sites maliciosos e soluções de remoção de malware podem auxiliar caso haja suspeita de comprometimento adicional. Os serviços de proteção contra roubo de identidade podem reduzir os danos após a exposição de dados pessoais, embora não impeçam o sequestro da conta.Esta exploração por parte dos hackers demonstra que a sensibilização dos utilizadores continua a ser um ponto fraco deste tipo de aplicações, mesmo quando as plataformas fornecem avisos durante ações sensíveis.