Ja, WhatsApp kan gehackt worden. Hoewel de app standaard end-to-end-versleuteling gebruikt, zijn er verschillende manieren waarop kwaadwillenden toch toegang kunnen krijgen tot jouw account of berichten. Hoe dat werkt en wat je eraan doet, lees je hieronder.
Hoe kan WhatsApp gehackt worden?
De meest voorkomende manier is via SIM-swapping. Een aanvaller overtuigt jouw provider ervan dat hij jou bent, en laat het telefoonnummer overzetten naar een nieuwe simkaart. Daarna ontvangt hij de sms-verificatiecode die WhatsApp stuurt, en kan hij jouw account overnemen. Jij verliest op dat moment de toegang.
Een tweede veelgebruikte methode is phishing. Je ontvangt een bericht, vaak van een bekende of van een nep-WhatsApp-account, met het verzoek om een zescijferige code door te sturen. Die code is in werkelijkheid de verificatiecode voor jouw eigen account. Stuur je hem door, dan heeft de aanvaller directe toegang.
Daarnaast bestaat de zogeheten WhatsApp Web-truc. Als iemand even fysiek toegang heeft tot jouw telefoon, kan hij WhatsApp Web koppelen aan zijn eigen computer of browser. Daarna leest hij mee, ook als jij de telefoon weer bij je hebt. WhatsApp toont dit wel in de app, maar veel mensen kijken hier nooit naar.
Tot slot zijn er geavanceerdere aanvallen via spyware, zoals de bekende Pegasus-software. Daarmee kan een aanvaller, als hij toegang heeft tot jouw apparaat, berichten lezen nog vóór of ná de versleuteling. Dit soort aanvallen richt zich doorgaans op journalisten, activisten en politici, niet op de gemiddelde gebruiker.
Wat kan een hacker zien als hij toegang heeft?
Dat hangt af van de methode. Via WhatsApp Web of een overgenomen account kan iemand nieuwe berichten lezen en versturen. Bestaande gesprekken zijn daarbij niet altijd zichtbaar: een nieuw geregistreerd account heeft geen toegang tot je chatgeschiedenis. Die staat lokaal op jouw telefoon opgeslagen, of in een back-up in Google Drive of iCloud.
Bij spyware is het beeld ernstiger. Dan kan iemand meelezen met alle berichten, contacten inzien en soms ook microfoon of camera op afstand activeren. Dat is een heel andere situatie dan een gewoon overgenomen account.
Signalen dat je WhatsApp gehackt is
- Je krijgt een verificatiecode via sms zonder dat je die hebt aangevraagd.
- Contacten melden berichten van jou te hebben ontvangen die jij nooit hebt verstuurd.
- Je wordt plotseling uitgelogd en kunt niet meer inloggen.
- Je ziet bij “Gekoppelde apparaten” in de app een apparaat dat je niet herkent.
- Je batterij loopt ongewoon snel leeg (mogelijke spyware).
Wat doe je als je WhatsApp gehackt is?
Installeer WhatsApp opnieuw en registreer het account opnieuw met jouw telefoonnummer. WhatsApp staat maar op één telefoonnummer tegelijk geregistreerd. Zodra jij opnieuw inlogt met de verificatiecode, wordt de aanvaller automatisch uitgelogd. Dat is een belangrijk mechanisme: je kunt een account niet op twee apparaten tegelijk actief hebben via dezelfde registratie.
Daarna stel je direct een pincode in via Instellingen, Account, Verificatie in twee stappen. Met deze zescijferige pincode is jouw account beschermd, ook als iemand de sms-verificatiecode weet te onderscheppen.
Controleer ook welke apparaten gekoppeld zijn via WhatsApp Web. Dat doe je via het puntjesmenu of de instellingen onder “Gekoppelde apparaten”. Verwijder alles wat je niet herkent.
Zo maak je WhatsApp moeilijker te hacken
- Zet verificatie in twee stappen aan (een extra pincode naast de sms-code).
- Deel nooit een verificatiecode, ook niet als een bekende erom vraagt.
- Controleer regelmatig je gekoppelde apparaten.
- Gebruik een schermvergrendeling op je telefoon.
- Houd WhatsApp en je besturingssysteem up-to-date: beveiligingslekken worden zo gedicht.
- Wees voorzichtig met links in WhatsApp-berichten, ook van bekenden.
WhatsApp is voor de gemiddelde gebruiker geen makkelijk doelwit, maar ook geen onkraakbaar systeem. De zwakste schakel is bijna altijd de gebruiker zelf: een doorgestuurde code, een onbeheerde telefoon of een vergeten Web-sessie. Zet verificatie in twee stappen aan en controleer je gekoppelde apparaten. Die twee stappen lossen het grootste deel van het risico op.