האם מישהו יכול לקרוא את הודעות ה-WhatsApp שלכם מטלפון אחר? כך בודקים

יש שלוש דרכים קלות להגיע להודעות שלכם, ואף אחת מהן לא כרוכה בפיצוח הצפנה:

• מכשיר מקושר. WhatsApp, Signal, Telegram, iMessage, Google Messages ו-Messenger מאפשרים כולם להשתמש בחשבון שלכם במחשב או בטאבלט. כל מי שמחזיק את הטלפון הלא נעול שלכם לדקה יכול להוסיף מכשיר כזה, והמכשיר ממשיך לקרוא גם אחרי שהטלפון חוזר אליכם.
• מספר הטלפון שלכם. ב-WhatsApp, ב-Telegram וב-Signal, המספר שלכם הוא פרטי ההתחברות שלכם. מי שמשיג את הקוד שנשלח אליו יכול להתחבר בתור אתם.
• הטלפון עצמו, או הגיבויים שלו. מכשירים אחרים שמחוברים לחשבון Apple שלכם, מחשב שמסנכרן את ההודעות שלכם, או אפליקציית ריגול שמישהו התקין.

בואו נעבור עליהן אחת אחת.

מכשיר מקושר מקבל עותק משלו של כל הודעה. ב-WhatsApp וב-Signal, האפליקציה של השולח מצפינה כל הודעה בנפרד לכל מכשיר בחשבון שלכם: הטלפון שלכם, וגם המחשב הנייד שמישהו הוסיף. ההצפנה מקצה לקצה עדיין עובדת בצורה מושלמת. היא פשוט סופרת את המחשב הנייד הזה כאחד הקצוות שלכם.

וזו לא רק המשטרה. בפברואר 2025 דיווח צוות מודיעין האיומים של Google שקבוצות האקרים הקשורות לרוסיה שלחו למשתמשי Signal קודי QR ממולכדים, חלקם מוסווים כהזמנות לקבוצות. סריקה של קוד כזה קישרה בשקט את המכשיר של התוקף לחשבון של הקורבן.

החדשות הטובות: מכשירים מקושרים מופיעים בהגדרות של האפליקציה, ואפשר להסיר אותם. WhatsApp גם מנתק מכשיר מקושר אחרי 30 יום בלי שימוש, ו-Google Messages מבטל את ההתאמה אחרי כמה שבועות. אבל מי שקורא כל יום שומר על הקישור בחיים.

פתחו כל אפליקציה שאתם משתמשים בה והסתכלו ברשימת המכשירים שלה. כל מה שאתם לא מזהים, נתקו:

עשו את זה בכל אפליקציה שאתם משתמשים בה, לא רק בזו שמדאיגה אתכם. מחשב שמקושר ל-Telegram או ל-Google Messages שלכם קורא בדיוק כמו מחשב שמקושר ל-WhatsApp.

ב-WhatsApp, ב-Telegram וב-Signal, מספר הטלפון שלכם הוא החשבון שלכם. מוכיחים שהוא שלכם, בדרך כלל עם קוד בן שש ספרות ב-SMS, ונכנסים. השאלות הנפוצות של Telegram עצמו אומרות את זה במפורש: הפעילו אימות דו-שלבי כדי ש"מספר הטלפון לבדו לא יספיק כדי להתחבר לחשבון שלכם".

על זה בנויה ההונאה הנפוצה ביותר ב-WhatsApp. מגיעה הודעה, הרבה פעמים מחשבון של חבר שכבר נפרץ: סליחה, שלחתי לך קוד בטעות, אפשר לשלוח לי אותו בחזרה? הקוד הוא שלכם, בשביל החשבון שלכם. אם תשלחו אותו, תנותקו מהחשבון, ומישהו אחר יקבל את ההודעות החדשות שלכם ויכתוב לאנשי הקשר שלכם בשמכם.

אז לעולם אל תשתפו קוד שמגיע לטלפון שלכם, אפילו לא עם חבר. גם WhatsApp אומר את זה. והפעילו את הנעילה הנוספת שכל אפליקציה מציעה: אימות דו-שלבי ב-WhatsApp (הגדרות > חשבון > אימות דו-שלבי) וב-Telegram (הגדרות > פרטיות ואבטחה > אימות דו-שלבי), ונעילת הרשמה ב-Signal (הגדרות > חשבון > נעילת הרשמה).

אפשר גם לקחת לכם את המספר ישירות. בהחלפת SIM, עבריינים משכנעים את חברת הסלולר שלכם להעביר את המספר שלכם לכרטיס ה-SIM שלהם. בבריטניה, החלפות SIM לא מורשות עלו ב-1,055% ב-2024, לפי שירות מניעת ההונאות Cifas, ובעוד 38% ב-2025.

ומספר טלפון לבדו חושף עליכם הרבה. בהרבה מדינות הוא רשום על שמכם, וב-2025 חוקרים אימתו 3.5 מיליארד חשבונות WhatsApp פשוט על ידי בדיקה של מספרי טלפון. זה חלק גדול מהסיבה שבנינו אפליקציית מסרים בלי מספרי טלפון (באנגלית).

ב-iPhone, הודעות ה-iMessage שלכם יכולות להופיע במכשירי Apple אחרים שמחוברים לחשבון Apple שלכם: iPad ישן, Mac משפחתי משותף, מחשב נייד ששכחתם ממנו. בדקו את הרשימה תחת הגדרות > [השם שלכם] והסירו כל מה שאתם לא משתמשים בו. בדיקת בטיחות (הגדרות > פרטיות ואבטחה > בדיקת בטיחות) הולכת רחוק יותר: היא מראה לאילו מכשירים, אנשים ואפליקציות יש גישה, ומאפשרת לנתק אותם בצעד אחד.

ויש גם אפליקציות ריגול, שנקראות לעיתים קרובות stalkerware, שמישהו מתקין כשהטלפון הלא נעול שלכם בידיים שלו. לפי Coalition Against Stalkerware, סימני האזהרה כוללים סוללה שמתרוקנת מהר, קפיצות בשימוש בנתונים, עליות לא מוסברות בזמן מסך והתראות מוזרות. אבל הסימן המובהק ביותר הוא אדם שיודע על ההודעות שלכם דברים שהוא לא אמור לדעת.

אם אתם חושדים שבן או בת זוג, או אקס, התקינו משהו, היזהרו. הקואליציה מזהירה שהסרה של האפליקציה עלולה להתגלות ולהפוך את המצב למסוכן יותר, ושהיא גם מוחקת ראיות. דברו קודם עם גורם תמיכה.

עברו על זה פעם אחת, ושוב בכל פעם שמשהו מרגיש לא בסדר:

1. 1פתחו את רשימת המכשירים המקושרים בכל אפליקציית מסרים שאתם משתמשים בה, ונתקו כל מה שאתם לא מזהים.
2. 2הפעילו אימות דו-שלבי ב-WhatsApp וב-Telegram, ונעילת הרשמה ב-Signal.
3. 3לעולם אל תשתפו קוד שמגיע לטלפון שלכם, אפילו לא עם חבר.
4. 4ב-iPhone, הריצו את בדיקת הבטיחות ועברו על המכשירים שמחוברים לחשבון Apple שלכם.
5. 5הגדירו לטלפון קוד גישה חזק, ואל תמסרו אותו לאחרים כשהוא לא נעול.
6. 6שימו לב לסימני האזהרה של אפליקציות ריגול.

בדיקת ההגדרות האלה עובדת, אבל צריך לזכור לעשות אותה, בכל אפליקציה, שוב ושוב. בנינו את Morse כך שרוב הדלתות האלה פשוט לא קיימות מלכתחילה:

• אין מכשירים מקושרים. חשבון Morse חי בטלפון אחד. אין גרסת ווב, אין אפליקציה למחשב ואין מכשיר שני לקשר, כך שאף אחד לא יכול להוסיף מכשיר בשקט בזמן שהטלפון שלכם בידיים שלו.
• אין מספר טלפון. Morse אף פעם לא מבקש מספר, כך שאין קוד ב-SMS שאפשר לגרום לכם למסור ואין מספר שאפשר להשתלט עליו בהחלפת SIM. עוד על הודעות בלי מספר טלפון.
• מפתחות שנשארים בטלפון שלכם. ב-iPhone, המפתחות של Morse נשמרים רק עבור הטלפון הזה, כך שאי אפשר לקרוא גיבוי בשום מכשיר אחר. ב-Android, Morse לא נכלל בכלל בגיבויים בענן.
• נעילה שבאמת נועלת. עם קוד PIN, Morse ננעל ברגע שיוצאים ממנו וסוגר את מסד הנתונים שלו, כך שטלפון שנשאר לא נעול על השולחן לא פותח את הצ'אטים שלכם. ולחצן מצוקה מוחק את החשבון שלכם בצעד אחד, אפילו ממסך פתיחת הנעילה.

מגבלה אחת, בכנות: אף אפליקציה לא יכולה להגן על מה שמופיע על המסך שלכם מפני מי שמחזיק את הטלפון הלא נעול שלכם בזמן שצ'אט פתוח, או מפני רוגלה שמקליטה את המסך. קוד גישה חזק לטלפון הוא עדיין הנעילה הראשונה שלכם.