WhatsApp zavádí bezpečnostní režim určený novinářům, aktivistům a dalším lidem ohroženým sofistikovanými kyberútoky včetně státního spywaru. Jediným přepínačem aktivujete ochranu před škodlivými soubory, skryjete IP adresu i informace o profilu a zablokujete hovory od neznámých kontaktů.
Společnost WhatsApp oznámila zavedení nového bezpečnostního režimu, který zvyšuje ochranu před kybernetickými útoky. Funkce nazvaná „Přísné nastavení účtu“ je určena uživatelům, kteří mohou být terčem obzvláště sofistikovaných útoků, jako jsou veřejně známé osoby, novináři, aktivisté, obránci lidských práv, vládní pracovníci nebo vedoucí pracovníci firem, a funguje jako automatické zablokování určitých funkcí účtu s cílem zajistit soukromí.
Základní myšlenka je jednoduchá: čím více jste odhaleni, tím větší je pravděpodobnost, že se vás někdo pokusí napadnout využitím jakékoli mezery v aplikaci. Místo toho, aby se uživatel musel probírat všemi nabídkami nastavení, soustřeďuje nyní WhatsApp do jediného přepínače soubor opatření, která zpevňují profil účtu a minimalizují plochu pro útoky.
Přísné nastavení účtu blokuje přílohy a mediální obsah od odesílatelů, které neznáte, a zároveň ztlumuje hovory od neznámých kontaktů. Toto nové nastavení zakazuje náhledy odkazů, skrývá vaši IP adresu během hovorů, omezuje, kdo vás může přidat do skupiny, a zabraňuje lidem, kteří nejsou ve vašem adresáři, vidět váš profilový obrázek, informace „o“ a stav „online“.
Související článek
Jedná se o funkce, které již v aplikaci byly, ale uživatel je musel nastavovat jednu po druhé, a nyní je lze nakonfigurovat jediným klepnutím. To sice může omezit některé funkce aplikace – například nebudete moci přijímat některé legitimní soubory nebo zmeškáte hovory z neuložených čísel – ale cílem je poskytnout maximální ochranu těm, kteří ji potřebují, zejména v obzvláště citlivých obdobích (pokrytí konfliktů, volební kampaně, citlivá vyšetřování atd.).
Co přesně se změní při „přísném nastavení účtu“
Společnost Meta na svém oficiálním blogu upřesňuje, že tento režim spojuje několik již existujících vrstev ochrany a přidává nové. Stručně řečeno, jeho aktivace uplatňuje změny na čtyřech hlavních frontách:
- Zprávy a soubory: Mediální soubory (fotografie, videa, dokumenty, hlasové poznámky) od cizích osob se již nebudou automaticky stahovat. Uživatel musí ručně rozhodnout, co se má otevřít. Tím se snižuje riziko, že škodlivý soubor zneužije zranitelnost systému, aniž by uživatel cokoli udělal.
- Hovory: Hovory z čísel, která nejsou v telefonním seznamu, jsou ve výchozím nastavení ztlumeny. Stále se zobrazují v protokolu, ale telefon nezvoní. Tímto způsobem lze zastavit obtěžující kampaně, pokusy o sociální inženýrství nebo automatické hovory, které se snaží přimět uživatele k přijetí hovoru za účelem zahájení podvodu.
- Soukromí profilu: Fotografie, popis „o“ a stav „online“ jsou viditelné pouze pro vaše kontakty. Pro novináře nebo aktivistu může být pro útočníka cennou informací, že cizí osoba vidí, kdy jste online nebo jaké údaje zobrazujete na svém profilu.
- Skupiny a odkazy: Omezte, kdo vás může přidávat do skupin (ve výchozím nastavení pouze důvěryhodné kontakty), a zakažte náhledy odkazů. Tyto náhledy, které zobrazují název a obrázek webové stránky, naznačují, že se aplikace WhatsApp připojuje k danému serveru; jejich zakázání snižuje expozici škodlivým stránkám a zabraňuje nepřímému úniku informací.
Kromě toho funkce skrývá vaši IP adresu během hovorů tím, že směruje provoz přes servery WhatsApp, podobně jako to již platforma dělá s možností „Chránit IP adresu při hovorech“ představenou v roce 2023. To zabraňuje tomu, aby osoba na druhé straně hovoru mohla z vaší IP adresy odvodit vaši přibližnou polohu, což je obzvláště citlivé v kontextu pronásledování nebo cíleného sledování.
Proč Meta hovoří o „vysoce rizikových uživatelích“
Aplikace WhatsApp již ve výchozím nastavení nabízí koncové šifrování osobních zpráv a hovorů, které zajišťuje, že konverzace zůstanou soukromé před třetími stranami, včetně vlastních serverů společnosti Meta. Šifrování však nechrání před vším: útočník se může pokusit zneužít chyby v operačním systému, v samotné aplikaci nebo uživatele přimět k instalaci malwaru či sdílení citlivých údajů.
Společnost Meta na svém blogu vysvětluje, že stále přidává nová bezpečnostní opatření, zejména pro malou podmnožinu uživatelů, kteří mohou čelit pokročilým hrozbám, jako je použití komerčního spywaru (např. Pegasus a podobné nástroje) nebo vysoce personalizované phishingové kampaně. Měli byste ji zapnout pouze v případě, že se domníváte, že můžete být cílem sofistikované kybernetické kampaně. Většina lidí není cílem těchto typů útoků,“ upozorňuje WhatsApp.
Tento přístup zapadá do trendu ostatních technologických gigantů. Například společnost Apple spustila v roce 2022 v systémech iOS a macOS režim uzamčení, což je extrémní režim uzamčení, který omezuje funkce, jako jsou přílohy ve Zprávách, hovory FaceTime od cizích osob nebo spouštění určitých typů kódu v prohlížeči, právě proto, aby ochránila uživatele, kteří mohou být cílem spywaru vysoké úrovně. Společnost Google zase udržuje program pokročilé ochrany pro vysoce rizikové účty v Gmailu a dalších službách. Ve všech případech je odůvodnění stejné.
Ve všech případech je logika stejná: ne všichni uživatelé potřebují stejnou úroveň zabezpečení. Maximální zpřísnění zabezpečení účtu znamená obětovat pohodlí a některé funkce, což má smysl pro ty, kteří mohou být cílem útoku, ale ne nutně pro běžného uživatele.
Kontext: nedávné zranitelnosti a stále sofistikovanější útoky
Tato nová funkce je obzvláště vítaná ve světle nedávných událostí. Project Zero, bezpečnostní výzkumný tým společnosti Google, nedávno odhalil zranitelnost aplikace WhatsApp v systému Android související se škodlivými mediálními soubory zasílanými prostřednictvím skupinových chatů; tyto soubory se automaticky stahují bez interakce uživatele, pokud není povoleno pokročilé soukromí chatu nebo není vypnuto automatické stahování médií. Tento případ je příkladem toho, jak efektivně mohou útočníci zneužívat nejčastěji používané funkce aplikace.
V praxi se takové chyby kombinují s technikami sociálního inženýrství: útočník může proniknout do skupiny, vydávat se za někoho jiného nebo využít velké skupiny k odeslání zdánlivě neškodného souboru, který po stažení zneužije zranitelnost systému. WhatsApp tyto problémy obvykle opravuje pomocí aktualizací, ale doba mezi objevením, opravou a skutečnou instalací na všechna zařízení je pro útočníky příležitostí.
Zranitelnost také znovu poukázala na to, jak všudypřítomnost aplikace WhatsApp – více než 2 miliardy uživatelů po celém světě – z ní dělá atraktivní cíl pro útočníky a proč jsou další ochranná opatření stále nezbytnější. Organizace jako Citizen Lab a Amnesty International již léta dokumentují případy, kdy byl spyware využíván ke sledování novinářů a aktivistů prostřednictvím zdánlivě neškodných aplikací pro zasílání zpráv a hovorů.
V tomto kontextu funguje „Strict Account Settings“ jako jakýsi „dodatečný bezpečnostní pás“: nezabrání existenci zranitelností, ale ztíží jejich tiché a masové zneužití tím, že nutí uživatele vědoměji komunikovat s obsahem, který přijímá.
Jak povolit „přísné nastavení účtu“ a na co si dát pozor
Přísné nastavení účtů“ se již postupně zavádí po celém světě. Nemusí se objevit okamžitě na všech zařízeních, ale bude se objevovat v nejnovějších verzích aplikace pro Android i iOS.
Chcete-li je aktivovat, postupujte podle následujících kroků:
- Otevřete nastavení aplikace WhatsApp (ikona tří teček v systému Android nebo karta „Nastavení“ v systému iOS).
- Vyberte možnost „Soukromí“.
- Klepněte na část „Upřesnit “ (pokud je již ve vaší verzi k dispozici).
- Vyberte možnost „Přísné nastavení účtu“ a aktivujte ji.
WhatsApp upozorňuje, že tuto funkci můžete povolit pouze z primárního zařízení, nikoli z webové aplikace WhatsApp. To dává smysl z hlediska bezpečnosti: primární zařízení je to, které účet ovládá a kde platí nejcitlivější zásady. Vázaní klienti (například WhatsApp Web nebo desktopová aplikace) tato omezení zdědí, ale nemohou je měnit. Je třeba mít na paměti některé praktické dopady:
- Mohli byste přijít o legitimní zprávy nebo hovory od lidí, které ještě nemáte v adresáři. Pokud očekáváte důležitou komunikaci z nových čísel (například při náboru zaměstnanců nebo při používání aplikace WhatsApp jako kanálu zákaznického servisu), nemusí být nejvhodnější doba pro aktivaci.
- Uživatelský zážitek bude „klidnější“: Méně oznámení, méně příchozích hovorů od cizích lidí a více ručních kroků k otevření souborů nebo odkazů. To je cena za zvýšení úrovně zabezpečení.
- Je to vratné: Pokud v určitém okamžiku již tuto úroveň ochrany nepotřebujete, můžete ji vypnout stejnou cestou v nastavení.
Další doporučení pro rizikové uživatele
Přestože je „přísné nastavení účtu“ důležitým krokem vpřed, bezpečnostní experti trvají na tom, že žádné jednotlivé opatření není dostatečné. Pro ty, kteří se považují za vysoce rizikovou skupinu, doporučují organizace jako Výbor na ochranu novinářů a Access Now kombinaci těchto postupů:
- Vždy udržujte svůj operační systém a aplikace aktuální a instalujte bezpečnostní záplaty, jakmile jsou k dispozici.
- Povolte dvoufázové ověření (dodatečný PIN) v aplikaci WhatsApp, abyste zabránili tomu, že někdo zaregistruje vaše číslo na jiném zařízení bez vašeho svolení.
- Pravidelně kontrolujte zařízení propojená s vaším účtem (WhatsApp Web, desktopové aplikace) a odhlašujte se z těch, která nepoznáváte.
- Vyhýbejte se instalaci aplikací mimo oficiální obchody a buďte obezřetní vůči „upraveným“ verzím aplikace WhatsApp, které slibují další funkce.
- Obzvláště obezřetní buďte u odkazů a souborů, které přicházejí od neznámých kontaktů nebo dokonce od známých kontaktů, ale se zprávami, které jsou vytržené z kontextu.
Souběžně s tím sama společnost Meta v posledních letech přidává do aplikace WhatsApp další bezpečnostní funkce, jako je ochrana IP adresy při volání, ověření účtu prostřednictvím e-mailu, bezpečnostní kódy pro ověření identity kontaktů nebo zprávy, které po určité době zmizí[7] „Přísné nastavení účtu“ se k této sadě přidává jako další vrstva, určená ani ne tak pro běžné uživatele, jako pro ty, kteří se pohybují ve zvláště nepřátelském prostředí.
Ve scénáři, kdy se nástroje digitálního sledování stávají levnějšími a profesionálnějšími a kdy útoky již nejsou zaměřeny pouze na velké společnosti, ale i na jednotlivce, může možnost jediným dotykem zpřísnit WhatsApp znamenat rozdíl mezi zmařeným pokusem o útok a tichým vniknutím do soukromého života člověka.