امنیت و حریم خصوصی واتساپ

حسابی که گرفته شد

مثلا فرض کنید یه پیام از یه دوست قدیمی میاد: «سلام، اشتباهی یه کد برات فرستادم، می‌شه بفرستیش؟» کد رو می‌فرستید، و چند دقیقه بعد، واتساپتون می‌گه شماره‌تون روی یه گوشی دیگه ثبت شده و شما بیرونید. حالا همون آدم، از حساب شما، به همه‌ی گروه‌ها و مخاطب‌هاتون همین پیام رو می‌فرسته.

درس کد یک‌بارمصرف این زنجیره رو گفت. این درس، قدم‌به‌قدم و از روی متن راهنمای رسمی واتساپ، می‌گه چطور جلوش رو بگیرید، و بقیه‌ی تنظیم‌هایی که امنیت و حریم خصوصی واتساپتون رو بیشتر می‌کنن. یه نکته‌ی همیشگی: واتساپ ظاهر برنامه رو زیاد عوض می‌کنه و روی اندروید و آیفون جای گزینه‌ها یکم فرق داره. ما اسم انگلیسی هر گزینه رو، همون‌طور که توی راهنمای واتساپ هست، می‌نویسیم؛ اگه جاش فرق داشت، توی تنظیمات با همون اسم جستجو کنید.

درهای واتساپ

حساب واتساپ رو مثل یه خونه با چند تا در و پنجره تصور کنید. در اصلی، شماره‌ی تلفنه: هر کی کد پیامکی شماره‌ی شما رو داشته باشه، از این در وارد می‌شه. پنجره‌ها، چیزهایی‌ان که بقیه بی ورود هم ازشون شما رو می‌بینن: عکس پروفایل، آخرین بازدید، اضافه کردن شما به گروه، تماس گرفتن. و درهای پشتی، دستگاه‌های وصل‌شده و پشتیبان‌هان. هر تنظیمی که این درس می‌گه، یکی از این‌ها رو می‌بنده. درس پیام‌رسان‌ها کنار هم گفت واتساپ پیام‌ها رو سرتاسری می‌کنه؛ این درس درباره‌ی همه‌ی چیزهای دیگه‌ست.

ایمیل قفل دوم

موقع روشن کردن تایید دومرحله‌ای، واتساپ یه ایمیل هم می‌خواد. ندادنش راحت‌تره، ولی ندید. طبق راهنمای واتساپ، اگه رمز رو فراموش کنید و ایمیل داده باشید، گزینه‌ی «فراموش کردید؟» یه لینک بازنشانی به همون ایمیل می‌فرسته. بی ایمیل، باید هفت روز صبر کنید. ایمیلی بدید که بهش دسترسی دارید و خودش محکمه؛ چون حالا اون ایمیل هم یکی از کلیدهای واتساپتونه. درس حساب گوگل.

اگه رمز قفل دوم یادم رفت

«تایید دومرحله‌ای واتساپ رو فراموش کردم» از جستجوهای پرتکراره. طبق راهنمای واتساپ: اگه ایمیل داده بودید، از لینک بازنشانی استفاده کنید. اگه نه، باید هفت روز صبر کنید، که از آخرین باری که حسابتون با موفقیت به واتساپ وصل شده حساب می‌شه، و بعد می‌تونید از Settings، Account، Two-step verification رمز رو عوض کنید. همون راهنما صاف می‌گه هیچ راهی برای کوتاه کردن این هفت روز نیست.

و یه هشدار مهم از همون راهنما: اگه هیچ‌وقت تایید دومرحله‌ای رو روشن نکرده بودید ولی واتساپ رمزش رو ازتون می‌خواد، ممکنه کسی که حسابتون رو گرفته بود، خودش روشنش کرده باشه تا شما نتونید برگردید. اونجا هم باید هفت روز صبر کنید. این یه دلیل دیگه‌ست که خودتون، از الان، روشنش کنید.

پس‌کی واتساپ

واتساپ پس‌کی هم داره. طبق بلاگ رسمیش، با پس‌کی می‌تونید با اثر انگشت، چهره یا قفل صفحه‌ی گوشی دوباره وارد واتساپ بشید، به جای اینکه منتظر کد پیامکی بمونید؛ و واتساپ اعلام کرده بیش از یه میلیارد نفر با پس‌کی ازش محافظت می‌کنن. درس پس‌کی گفت چرا پس‌کی روی سایت جعلی کار نمی‌کنه و کسی نمی‌تونه ازتون بگیرتش؛ برای واتساپ یعنی کد پیامکی، که درس کد یک‌بارمصرف گفت چقدر دزدیده می‌شه، دیگه تنها در نیست. توی تنظیمات واتساپ، بخش Account، دنبال Passkeys بگردید؛ اگه نیست، هنوز به گوشی شما نرسیده.

تایید روی گوشی قدیمی

واتساپ چند تا محافظت پشت پرده هم داره که لازم نیست روشنشون کنید، ولی خوبه بشناسیدشون. طبق بلاگ رسمیش، وقتی حسابتون رو به یه گوشی تازه می‌برید، ممکنه واتساپ روی گوشی قدیمی ازتون بپرسه که واقعا خودتونید، تا اگه کسی بی‌اجازه بخواد حساب رو جابه‌جا کنه، شما خبردار بشید. اسمش «محافظت از حساب» (Account Protect)‌ه. پس اگه یه روز روی گوشیتون پرسید «می‌خواید واتساپ رو به یه دستگاه دیگه ببرید؟» و شما این کار رو نمی‌کردید، رد کنید و تایید دومرحله‌ای رو چک کنید.

همون بلاگ از دو تا محافظت دیگه هم می‌گه: «تایید دستگاه» (Device Verification)، که پشت پرده چک می‌کنه حساب از یه گوشی آلوده دزدیده نشه، و «کد امنیتی خودکار» (Automatic Security Codes)، که با روشی به اسم Key Transparency، خودکار چک می‌کنه اتصال سرتاسری امنه، بی اینکه مجبور باشید کد ۶۰ رقمی رو دستی مقایسه کنید.

بررسی حریم خصوصی

واتساپ یه راهنمای قدم‌به‌قدم داره به اسم «بررسی حریم خصوصی» (Privacy Checkup) که طبق بلاگ رسمیش، همه‌ی تنظیم‌های مهم حریم خصوصی رو یه جا جلوتون می‌ذاره تا سطح محافظت رو انتخاب کنید. از Settings، بعد Privacy، گزینه‌ی Start checkup رو بزنید. اگه حوصله‌ی خوندن کل این درس رو ندارید، همین یه کار بیشترش رو انجام می‌ده؛ بقیه‌ی درس می‌گه هر تنظیم چیه و چرا.

کی چی ببینه

طبق راهنمای تنظیم‌های حریم خصوصی واتساپ، از Settings، بعد Privacy، می‌تونید برای هر کدوم از این‌ها تعیین کنید کی ببینه: آخرین بازدید و آنلاین بودن (Last seen and online)، عکس پروفایل (Profile photo)، «درباره» (About)، مکان زنده (Live location)، و وضعیت (Status). گزینه‌ها معمولا «همه» (Everyone)، «مخاطب‌های من» (My contacts)، «مخاطب‌های من به جز…» و «هیچ‌کس» (Nobody)‌ان.

قاعده‌ی خوب برای بیشتر آدم‌ها: هیچ‌چیز روی «همه» نباشه. عکس پروفایل روی «همه» یعنی هر غریبه‌ای که شماره‌تون رو داره، صورتتون رو می‌بینه؛ و همین عکس رو کلاهبردارها برای ساختن حساب جعلی به اسم شما برمی‌دارن. آخرین بازدید روی «همه» یعنی هر کسی می‌تونه بفهمه کی بیدارید و کی آنلاین می‌شید.

تیک آبی و مکان زنده

دو تا تنظیم دیگه هم توی همون بخش Privacy هست. «رسید خوندن» (Read receipts)، همون تیک‌های آبی، به فرستنده می‌گه پیامش رو خوندید. اگه خاموشش کنید، بقیه نمی‌فهمن کی پیامشون رو خوندید، ولی شما هم رسید خوندن بقیه رو نمی‌بینید؛ این کار توی گروه‌ها اثری نداره. برای کسی که نمی‌خواد زیر فشار «دیدی و جواب ندادی» باشه، یا نمی‌خواد کسی از روی تیک‌ها بفهمه بیداره، خوبه.

«مکان زنده» (Live location) جای شما رو برای یه مدت مشخص، لحظه‌به‌لحظه، با یه نفر یا یه گروه شریک می‌شه. برای یه قرار یا یه سفر خوبه، ولی هر چند وقت یه بار، توی Settings، Privacy، Live location، ببینید جای شما با کی شریکه و هر چیزی که لازم نیست رو متوقف کنید. همون‌طور که درس حریم خصوصی گوگل گفت، اشتراک مکانی که یادتون رفته، یعنی یه نفر هنوز می‌دونه کجایید.

گروه‌ها

توی همون Settings، Privacy، گزینه‌ی Groups تعیین می‌کنه کی بتونه شما رو به گروه اضافه کنه. راهنمای واتساپ می‌گه می‌شه این رو طوری تنظیم کرد که مخاطب‌های ناشناس نتونن شما رو به گروه اضافه کنن. «مخاطب‌های من» رو انتخاب کنید. خیلی از کلاهبرداری‌های «سرمایه‌گذاری» و «کار در خونه» با اضافه کردن آدم‌ها به یه گروه شروع می‌شن، که توش ده‌ها حساب جعلی از سود حرف می‌زنن؛ درس مهندسی اجتماعی گفت چرا این‌قدر کار می‌کنه.

وضعیت و کسب‌وکارها

«وضعیت» (Status) واتساپ، مثل استوری اینستاگرام، عکس یا متنیه که ۲۴ ساعت برای بقیه دیده می‌شه. توی Settings، Privacy، Status، می‌تونید تعیین کنید فقط مخاطب‌ها ببینن، یا همه به جز چند نفر، یا فقط چند نفر خاص. عکس خونه، بچه‌ها، بلیت سفر یا کارت بانکی رو، حتی برای ۲۴ ساعت، روی وضعیت نذارید؛ درس فیشینگ هدفمند گفت همین تیکه‌ها چطور کنار هم گذاشته می‌شن.

وقتی با یه کسب‌وکار توی واتساپ حرف می‌زنید، ممکنه پیام‌ها رو یه سرویس دیگه از طرف اون شرکت مدیریت کنه، و واتساپ این رو توی خود چت نشون می‌ده. پیام به کسب‌وکار رو مثل پیام به پشتیبانی یه شرکت در نظر بگیرید: کارمندهای اون شرکت می‌خوننش. و یادتون باشه، هیچ کسب‌وکار واقعی‌ای توی واتساپ از شما رمز، کد تایید یا رمز کارت نمی‌خواد.

تماس ناشناس

طبق بلاگ رسمی واتساپ، گزینه‌ی «ساکت کردن تماس‌گیرنده‌های ناشناس» (Silence unknown callers) تماس‌های هرزنامه، کلاهبرداری و آدم‌های ناشناس رو خودکار کنار می‌ذاره: گوشی زنگ نمی‌زنه، ولی تماس توی فهرست تماس‌ها دیده می‌شه، که اگه آشنا بود، بهش زنگ بزنید. جاش توی Settings، Privacy، بخش Calls‌ه. این به‌خصوص جلوی تماس‌های خودکار و «پشتیبانی» جعلی که درس کلاهبرداری تلفنی گفت رو می‌گیره.

پیام‌های زیاد از ناشناس‌ها

اگه شماره‌تون جایی عمومی شده، مثلا روی یه آگهی، ممکنه یهو پیام‌های زیادی از حساب‌های ناشناس بگیرید. طبق راهنمای حریم خصوصی واتساپ، یکی دیگه از تنظیم‌های پیشرفته، بستن حجم زیاد پیام از حساب‌های ناشناسه، که توی همون بخش Advanced هست. اگه شماره‌ی کاری یا آگهی دارید، روشنش کنید.

تنظیم‌های سخت‌گیرانه

واتساپ برای کسایی که بیشتر از بقیه هدف حمله‌ان، مثل روزنامه‌نگارها و چهره‌های عمومی، یه حالت جدا به اسم «تنظیم‌های سخت‌گیرانه‌ی حساب» (Strict account settings) معرفی کرده. طبق بلاگ رسمیش، با روشن کردنش، بعضی تنظیم‌های حساب روی سخت‌گیرانه‌ترین حالت قفل می‌شن، و واتساپ بعضی کارها رو محدود می‌کنه، مثلا پیوست و رسانه از کسایی که توی مخاطب‌هاتون نیستن بسته می‌شه. جاش Settings، Privacy، Advanced‌ه، و بلاگ می‌گه کم‌کم به همه می‌رسه، پس شاید هنوز روی گوشی شما نباشه. برای بیشتر آدم‌ها، تنظیم‌های جدا جدای این درس کافیه.

قفل چت

اگه گوشیتون گاهی دست بقیه‌ست، مثلا بچه‌ها، می‌تونید چت‌های خاص رو قفل کنید. طبق راهنمای واتساپ، چت‌های قفل‌شده توی یه پوشه‌ی جدا، پشت یه تایید اضافه، پنهان می‌شن، و طرف مقابل از قفل شدن خبردار نمی‌شه. برای استفاده، اول یه «کد مخفی» (Secret code) می‌سازید. برای قفل کردن یه چت، اسم اون چت رو بزنید و گزینه‌ی Chat lock رو روشن کنید. این فقط جلوی کسی که گوشی باز شما دستشه رو می‌گیره؛ برای بقیه، قفل خود گوشی مهم‌تره.

حریم خصوصی پیشرفته‌ی چت

یه امکان تازه‌تر، «حریم خصوصی پیشرفته‌ی چت» (Advanced chat privacy)‌ه. طبق بلاگ رسمی واتساپ، اگه برای یه چت روشنش کنید، بقیه نمی‌تونن از اون چت خروجی بگیرن و پیام‌های اون چت برای امکانات هوش مصنوعی استفاده نمی‌شن. برای روشن کردن، اسم چت رو بزنید و Advanced Chat Privacy رو انتخاب کنید. برای گروه‌هایی که توش حرف‌های حساس زده می‌شه، یا گفتگوهای خانوادگی، خوبه. درس هوش مصنوعی.

پیام خودنابود

پیام خودنابود (Disappearing messages) بعد از یه مدت از روی هر دو گوشی پاک می‌شه. طبق راهنمای واتساپ، می‌تونید یه «زمان پیش‌فرض» برای همه‌ی چت‌های تازه بذارید: Settings، Privacy، Default message timer، و یکی از ۲۴ ساعت، ۷ روز یا ۹۰ روز رو انتخاب کنید. می‌شه اونو روی چت‌های فعلی هم گذاشت؛ ولی فقط روی پیام‌هایی که از اون به بعد فرستاده می‌شن اثر داره، نه پیام‌های قبلی.

همون‌طور که درس سرتاسری گفت، پیام خودنابود جلوی اسکرین‌شات طرف مقابل رو نمی‌گیره؛ برای کم کردن چیزهاییه که روی گوشی‌ها می‌مونه. واتساپ برای عکس و ویدیو یه گزینه‌ی «یک‌بار دیدن» (View once) هم داره، که فقط یه بار باز می‌شه و طبق بلاگ رسمیش، جلوی اسکرین‌شات گرفتن ازش رو هم می‌گیره؛ ولی هنوز می‌شه با یه گوشی دیگه از صفحه عکس گرفت.

دستگاه‌های وصل‌شده

واتساپ رو می‌شه روی کامپیوتر، تبلت یا یه گوشی دوم هم باز کرد. هر کدوم یه «سر» تازه‌ست که پیام‌ها روش باز می‌شن. طبق راهنمای واتساپ: روی گوشی اصلی، سه نقطه (More options)، بعد Linked devices، دستگاه رو انتخاب کنید و Log out. هر چند وقت یه بار این فهرست رو ببینید؛ کامپیوتری که یه بار توی محل کار یا کافی‌نت وصل کردید و خارج نشدید، هنوز همه‌ی پیام‌های تازه رو می‌گیره. راهنماهای واتساپ می‌گن دستگاه‌های وصل‌شده، اگه مدتی گوشی اصلی استفاده نشه، خودبه‌خود خارج می‌شن؛ ولی منتظرش نمونید.

یه راه رایج دزدیدن واتساپ اینه که کلاهبردار، به یه بهونه، ازتون می‌خواد یه کیوآرکد رو با واتساپ اسکن کنید؛ اون کیوآرکد، کامپیوتر اون رو به حساب شما وصل می‌کنه. کیوآرکد «وصل کردن دستگاه» رو فقط وقتی اسکن کنید که خودتون پشت همون کامپیوتر نشستید. درس فیشینگ با کیوآرکد.

کد امنیتی

درس سرتاسری گفت هر چت دونفره‌ی واتساپ یه «کد امنیتی» (Security code) داره، یه کیوآرکد و یه عدد ۶۰ رقمی، که توی صفحه‌ی اطلاعات مخاطب، بخش Encryption، دیده می‌شه، و اگه با گوشی طرف یکی باشه، مطمئن می‌شید کسی وسط راه نیست. طبق راهنمای واتساپ، می‌تونید اعلانی روشن کنید که هر وقت کد امنیتی یه مخاطب عوض شد، بهتون بگه. عوض شدن کد معمولا یعنی طرف گوشی عوض کرده یا برنامه رو از نو نصب کرده؛ ولی اگه همزمان یه پیام عجیب، مثل درخواست پول یا کد، اومد، از یه راه دیگه، مثلا تماس معمولی، چک کنید.

پشتیبان

پیام‌های واتساپ سرتاسری‌ان، ولی پشتیبانشون روی گوگل درایو یا آی‌کلود، اگه خودش سرتاسری نباشه، با کلید اون شرکت قفل می‌شه، نه شما. طبق راهنمای واتساپ، پشتیبان سرتاسری با یه پس‌کی، یه رمز، یا یه کلید ۶۴ رقمی قفل می‌شه، و اون رمز یا کلید تنها راه باز کردن پشتیبان یا بردنش به گوشی تازه‌ست؛ اگه گمش کنید و به چت‌هاتون هم دسترسی نداشته باشید، واتساپ هم نمی‌تونه بازش کنه. روشن کردنش از Settings، Chats، Chat backup، End-to-end encrypted backup‌ه. رمز یا کلیدش رو توی مدیر رمز، یا روی کاغذ کنار کدهای پشتیبان بقیه‌ی حساب‌ها، نگه دارید.

کدی که نخواستید

اگه پیامکی اومد که «کد واتساپ شما…» و خودتون کاری نکرده بودید، یعنی یکی شماره‌ی شما رو توی واتساپ یه گوشی دیگه زده. مرکز راهنمای واتساپ برای همین یه صفحه‌ی جدا داره. کاری که باید بکنید: کد رو به هیچ‌کس ندید، به هر پیامی که کد رو می‌خواد جواب ندید، و اگه تایید دومرحله‌ای روشن نیست، همین الان روشنش کنید. تا وقتی کد پیش خودتونه، کسی نمی‌تونه وارد حسابتون بشه.

اگه حساب گرفته شد

طبق راهنمای واتساپ برای حساب هک‌شده:

1. واتساپ رو روی گوشی خودتون باز کنید و Log back in، بعد Continue رو بزنید.
2. شماره‌تون رو با کد کشور کامل وارد کنید.
3. کد ۶ رقمی که با پیامک یا تماس میاد رو وارد کنید.
4. بعد از برگشتن، تایید دومرحله‌ای رو روشن کنید و دستگاه‌های وصل‌شده رو ببینید.
5. به خانواده و دوستان، از راه دیگه، خبر بدید که از طرف شما پیام عجیب یا درخواست پول ممکنه رفته باشه.

همون راهنما چند تا نکته‌ی مهم داره: عوض کردن رمز کافی نیست، و تنها راه بیرون کردن کلاهبردار، ثبت‌نام دوباره با کد ۶ رقمیه، که همه‌ی دستگاه‌های وصل رو هم خارج می‌کنه؛ بی سیم‌کارتی با همون شماره، برگشتن ممکن نیست، پس اگه گوشی گم شده، اول از اپراتور سیم‌کارت تازه بگیرید؛ و چون پیام‌ها روی گوشی ذخیره می‌شن، ممکنه تاریخچه برنگرده، مگه از پشتیبان. اگه وقتی برگشتید، واتساپ رمز تایید دومرحله‌ای خواست که شما نذاشته بودید، هفت روز صبر کنید. درس پیام‌رسان هک شد کاملش رو می‌گه.

بلاک و گزارش

اگه یه حساب ناشناس پیام کلاهبرداری یا مزاحمت فرستاد، بلاک (Block) و گزارش (Report) کنید. طبق راهنمای واتساپ، هر دو از صفحه‌ی همون چت یا اطلاعات مخاطب انجام می‌شه. یادتون باشه، همون‌طور که درس سرتاسری گفت، با گزارش دادن، گوشی شما چند پیام آخر اون گفتگو رو برای واتساپ می‌فرسته تا بررسیش کنه؛ این کار رمزنگاری بقیه‌ی چت‌ها رو نمی‌شکنه.

نسخه‌ی غیررسمی

نسخه‌های تغییریافته‌ی واتساپ، با اسم‌هایی که «پلاس» یا اسم‌های دیگه دارن و امکاناتی مثل دیدن پیام‌های پاک‌شده وعده می‌دن، رو یه شرکت دیگه ساخته، و همه‌ی پیام‌های شما از دستشون رد می‌شه. واتساپ استفاده از این نسخه‌ها رو مجاز نمی‌دونه و ممکنه حسابی که باهاشون کار می‌کنه رو ببنده. واتساپ رو فقط از فروشگاه رسمی گوشی یا سایت رسمی واتساپ بگیرید. درس برنامه‌ی جعلی.

ده دقیقه، یه بار

1. Settings، Account، Two-step verification: روشن، با رمز طولانی و ایمیل.
2. Settings، Privacy، Start checkup: همه‌ی قدم‌ها.
3. عکس پروفایل، آخرین بازدید و «درباره» روی «مخاطب‌های من».
4. Groups روی «مخاطب‌های من».
5. Calls: ساکت کردن تماس‌گیرنده‌های ناشناس.
6. Advanced: محافظت IP در تماس روشن، پیش‌نمایش لینک خاموش.
7. Linked devices: هر چی نمی‌شناسید، Log out.
8. Chats، Chat backup: پشتیبان سرتاسری.

اشتباه‌های رایج

• «دوستم گفت کد رو اشتباهی فرستاده، دادم.» کدی که برای شماره‌ی شماست، کلید حساب شماست.
• «تایید دومرحله‌ای رو روشن کردم ولی ایمیل ندادم.» فراموش کنید، هفت روز بیرون می‌مونید.
• «عکس پروفایلم روی همه‌ست.» هر غریبه‌ای می‌بینه و می‌تونه برای حساب جعلی برداره.
• «یه کیوآرکد اسکن کردم که گفتن برای تایید حسابه.» شاید دستگاه یکی دیگه رو وصل کردید؛ Linked devices رو ببینید.
• «پیام‌ها سرتاسری‌ان، پس پشتیبانم هم امنه.» پشتیبان سرتاسری رو جدا روشن کنید.
• «واتساپ پلاس امکانات بیشتری داره.» همه‌ی پیام‌هاتون از دست یه شرکت دیگه رد می‌شه، و ممکنه حساب بسته بشه.

آخرین بررسی راهنمای رسمی واتساپ: ۲۴ مهر ۱۴۰۵.