Ghost Pairing στο WhatsApp: Η προειδοποίηση του BSI και πως να αποτρέψετε την κρυφή κατάληψη λογαριασμού

Οι κυβερνοεγκληματίες εκμεταλλεύονται μια λειτουργία του WhatsApp για να αναλάβουν λογαριασμούς χρηστών.

Η μέθοδος ονομάζεται Ghost Pairing και—όπως προειδοποιεί και το BSI (Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφοριών της Γερμανίας)—μοιάζει αρχικά με μια απολύτως φυσιολογική διαδικασία αυθεντικοποίησης.

Παρακάτω θα δείτε πώς γίνεται η επίθεση και τι μπορείτε να κάνετε για να μην “φωλιάσει” κάποιος στο WhatsApp σας.

Τι εκμεταλλεύεται το Ghost Pairing στο WhatsApp

Για να συνδεθείτε στο WhatsApp Web υπάρχουν γενικά δύο τρόποι:

• Σάρωση QR code με τη συσκευή που θέλετε να συνδέσετε
• Επαλήθευση με αριθμό τηλεφώνου (εισαγωγή του αριθμού για επιβεβαίωση)

Και οι δύο επιλογές προσφέρουν γρήγορη πρόσβαση στον messenger από άλλες συσκευές. Ακριβώς όμως αυτό το χρήσιμο feature αξιοποιείται πλέον από κυβερνοεγκληματίες για να διεισδύσουν αθόρυβα στον λογαριασμό σας.

Ghost Pairing: Πώς γίνεται η κατάληψη λογαριασμού WhatsApp (βήμα-βήμα)

Για τη συγκεκριμένη απάτη—την οποία ειδικοί της κυβερνοασφάλειας αποκαλούν “Ghost Pairing”—προειδοποιεί πλέον και το BSI. Οι πρώτες σχετικές προειδοποιήσεις είχαν εμφανιστεί ήδη στα τέλη του 2025 από τους ειδικούς ασφαλείας της Gen.

Σε αναλυτική αναφορά τους δείχνουν πώς, μέσω Ghost Pairing, μπορούν να καταληφθούν ολόκληροι λογαριασμοί WhatsApp χωρίς οι περισσότεροι χρήστες να αντιληφθούν τι συνέβη.

Η επίθεση ξεκινά όπως πολλές phishing επιθέσεις:

1. Λαμβάνετε από έναν WhatsApp-επαφή σας ένα link.
2. Με την πρώτη ματιά, το link μοιάζει με URL του Facebook.
3. Το μήνυμα συνήθως γράφει κάτι όπως:
   • «Βρήκα μια φωτογραφία σου στις τοπικές ειδήσεις. Δες την.»

Αν πατήσετε το link, οδηγείστε σε μια δήθεν σελίδα αυθεντικοποίησης του Facebook. Εκεί σας ζητούν να εισάγετε τον αριθμό κινητού για να “συνδεθείτε”.

Στην πραγματικότητα πρόκειται για ψεύτικη σελίδα των δραστών. Μόλις πληκτρολογήσετε τον αριθμό σας, οι επιτιθέμενοι τον χρησιμοποιούν για να συνδέσουν τη δική τους συσκευή μέσω της λειτουργίας σύνδεσης/σύζευξης που αναφέραμε πριν.

Το WhatsApp εμφανίζει στη συνέχεια έναν 8-ψήφιο κωδικό, ο οποίος για λόγους ασφαλείας πρέπει να πληκτρολογηθεί στο smartphone.

Θεωρητικά, αυτός ο κωδικός θα έπρεπε να καταλήγει μόνο στον πραγματικό χρήστη, ώστε να αποτρέπεται η κατάληψη.

Όμως εδώ είναι το “κόλπο”: ο κωδικός εμφανίζεται μέσα στη fake σελίδα, μαζί με οδηγία να τον εισάγετε στο WhatsApp για να “συνδεθείτε” και να δείτε τη φωτογραφία.

Αν ολοκληρώσετε αυτό το τελευταίο βήμα, τότε ο λογαριασμός σας συνδέεται με τον browser/τη συσκευή των επιτιθέμενων.

Τι κερδίζουν οι επιτιθέμενοι

Με τη σύνδεση αυτή αποκτούν πρόσβαση σε:

• Συνομιλίες (chats)
• Επαφές
• Φωτογραφίες/βίντεο
• Φωνητικά μηνύματα (voice notes)

Επειδή μέσα στην εφαρμογή συχνά δεν αλλάζει κάτι εμφανές, η επίθεση μπορεί να παραμείνει απαρατήρητη, ενώ οι δράστες διαβάζουν τα πάντα “σιωπηλά”.

Γιατί το Ghost Pairing είναι τόσο επικίνδυνο

Σύμφωνα με τους ερευνητές ασφάλειας, η κατάληψη του λογαριασμού και η πρόσβαση σε ευαίσθητα δεδομένα είναι μόνο η μισή απειλή.

Μόλις ένας λογαριασμός καταληφθεί, γίνεται ο ίδιος πηγή phishing: οι κυβερνοεγκληματίες μπορούν να στείλουν σε όλες τις επαφές του θύματος παρόμοια fake links, να καταλάβουν και τους δικούς τους λογαριασμούς και να επαναλάβουν την ίδια διαδικασία κλιμακώνοντας την επίθεση.

Τι να κάνετε αν υποψιάζεστε Ghost Pairing (άμεσες ενέργειες)

Αν πιστεύετε ότι πέσατε θύμα, μπορείτε να δράσετε άμεσα:

1. Ανοίξτε το WhatsApp στο βασικό σας κινητό.
2. Πατήστε τις τρεις τελείες (πάνω δεξιά) για να ανοίξετε το μενού.
3. Επιλέξτε «Συνδεδεμένες συσκευές» (Linked devices).
4. Ελέγξτε τη λίστα με τις συσκευές και το πότε ήταν τελευταία ενεργές.
5. Πατήστε σε όποια συσκευή δεν αναγνωρίζετε και κάντε αποσύνδεση εξ αποστάσεως.

Πρόληψη: Πώς να προστατευτείτε πριν συμβεί

Όπως συμβαίνει συχνά με επιθέσεις phishing, η βασική συμβουλή είναι απλή:

• Αν λάβετε περίεργο μήνυμα από επαφή που σας προτρέπει να πατήσετε link, μην το κάνετε.
• Επικοινωνήστε με το άτομο από άλλο κανάλι (τηλέφωνο, SMS, άλλη πλατφόρμα) και ρωτήστε αν το έστειλε.
• Αν ο φίλος/η φίλη δεν γνωρίζει τίποτα, πρόκειται για κυβερνοεπίθεση. Ενημερώστε τον/την για να ανακτήσει τον λογαριασμό του/της και προειδοποιήστε κοινές επαφές.

Η ενημέρωση μέσα στην οικογένεια ή την ομάδα (π.χ. συνάδελφοι) βοηθά σημαντικά: όταν όλοι γνωρίζουν τη μέθοδο, εντοπίζουν πιο εύκολα τα fake μηνύματα.

Πρακτικές ασφάλειας

Το Ghost Pairing βασίζεται περισσότερο στην παραπλάνηση παρά σε “σπάσιμο” της κρυπτογράφησης. Γι’ αυτό η καλύτερη άμυνα είναι ένας συνδυασμός από ρυθμίσεις ασφαλείας, έλεγχο συσκευών και σωστή συμπεριφορά σε ύποπτα μηνύματα.

Αρχικά, ενεργοποιήστε την Επαλήθευση σε 2 βήματα (Two‑step verification) μέσα από: Ρυθμίσεις → Λογαριασμός → Επαλήθευση σε 2 βήματα. Ορίστε ένα PIN που δεν σχετίζεται με ημερομηνίες/μοτίβα και προσθέστε email ανάκτησης, ώστε να μειώσετε τις πιθανότητες μόνιμου “κλειδώματος” σε περίπτωση παραβίασης.

Δώστε επίσης προσοχή σε έναν συχνό σύμμαχο τέτοιων επιθέσεων: την πίεση χρόνου. Μηνύματα τύπου «δες το τώρα», «είναι επείγον» ή «σε εκθέτει» στοχεύουν στο να πατήσετε γρήγορα.

Πριν ανοίξετε οποιοδήποτε link, ελέγξτε αν ο αποστολέας γράφει “εκτός χαρακτήρα”, αν το URL έχει περίεργη μορφή ή αν η σελίδα ζητά στοιχεία που δεν ταιριάζουν (π.χ. σύνδεση Facebook μέσα από WhatsApp για “φωτογραφία”).

Για καλύτερη θωράκιση, ακολουθήστε τα παρακάτω:

• Κρατήστε ενημερωμένο WhatsApp και λειτουργικό σύστημα.
• Κλειδώστε τη συσκευή με PIN/βιομετρικά και ενεργοποιήστε κλείδωμα εφαρμογής όπου υπάρχει.
• Ελέγχετε εβδομαδιαία τις Συνδεδεμένες συσκευές και αποσυνδέετε ό,τι δεν αναγνωρίζετε.
• Μην κοινοποιείτε ποτέ κωδικούς επαλήθευσης ή 8-ψήφιους κωδικούς σύνδεσης, ακόμα κι αν “φαίνεται επίσημο”.
• Περιορίστε ποιος βλέπει φωτογραφία προφίλ/κατάσταση/τελευταία εμφάνιση (Ρυθμίσεις → Απόρρητο).
• Προσέξτε τα backups: αν κρατάτε αντίγραφα σε cloud, χρησιμοποιήστε ισχυρή προστασία λογαριασμού (π.χ. 2FA σε Apple/Google).
• Αν συμβεί παραβίαση, ενημερώστε άμεσα τις επαφές σας ότι στάλθηκαν ύποπτα links από εσάς.

Τέλος, αν διαχειρίζεστε ομάδες (σχολείο, σύλλογο, επιχείρηση), συμφωνήστε σε έναν απλό κανόνα: «κανένα link δεν ανοίγεται χωρίς επιβεβαίωση από δεύτερο κανάλι». Αυτός ο κανόνας από μόνος του κόβει μεγάλο ποσοστό επιθέσεων κοινωνικής μηχανικής.