Pag-hijack ng Messaging App: Paano Ninanakaw ng mga Hacker ang mga Account at Paano Ito Pigilan

"Hoy, aksidente kong naipadala ang verification code ko sa number mo. Pwede mo bang i-forward sa akin?"

Ang mukhang inosenteng mensaheng ito ang unang hakbang ng pinakakaraniwang messaging app hijacking scam sa buong mundo. Kung mahuhulog ka dito, mawawala ang iyong account sa loob ng ilang segundo — at magsisimula nang mag-mensahe ang attacker sa iyong mga contact, na nagpapanggap na ikaw.

Ang mga messaging app ay may bilyun-bilyong gumagamit sa buong mundo, kaya ito ang pinakamalaking target para sa account takeovers. Ayon sa Action Fraud data, tumaas ng 300% ang mga messaging app hijackings sa pagitan ng 2023 at 2025.

Paano Gumagana ang Messaging App Hijacking

1. Pagnanakaw ng Verification Code

Ang klasikong paraan. Ini-trigger ng attacker ang login flow ng messaging app para sa iyong phone number, na nagge-generate ng 6-digit code na ipinapadala sa iyo sa pamamagitan ng SMS. Pagkatapos ay ginagamit nila ang social engineering sa iyo (o sa sinumang may access sa iyong telepono) para ibahagi ang code na iyon.

Hakbang	Ano ang Nangyayari
1	Inilalagay ng attacker ang iyong phone number sa bagong device
2	Nagpapadala sa iyo ng 6-digit SMS code
3	Nagme-mensahe sa iyo ang attacker na nagpapanggap na kaibigan o support
4	Ibinabahagi mo ang code
5	Nag-log in ang attacker, na-log out ka

2. SIM Swap Attacks

Isang mas sopistikadong paraan kung saan kinukumbinsi ng mga kriminal ang iyong mobile carrier na ilipat ang iyong phone number sa bagong SIM. Pagkatapos ay natatanggap na nila ang lahat ng iyong SMS messages, kasama ang mga verification codes.

3. Pag-exploit ng Web Sessions

Kung may makakuha ng maikling pisikal na access sa iyong telepono, maaari nilang i-link ang iyong account sa kanilang computer. Pagkatapos ay maaari nilang basahin at ipadala ang mga mensahe nang tahimik sa loob ng ilang linggo.

4. Malware at Spyware

Ang mga malisyosong app na naka-install sa iyong device ay maaaring mag-intercept ng SMS messages o kahit ma-capture ang iyong session tokens nang direkta.

Mga Senyales na Na-hijack ang Iyong Account

Panoorin ang mga babalang ito:

• Hindi inaasahang "Your phone number is no longer registered" messages
• Mga kaibigan na nag-uulat ng kakaibang mensahe mula sa iyong account
• Mga web sessions na hindi mo kinikilala
• Biglaang pag-log out sa iyong messaging app
• Mga two-step verification PIN request na hindi mo na-trigger

Mga Hakbang sa Pag-recover (Kung Na-hijack Ka Na)

Hakbang 1: I-re-register ang iyong number

Buksan ang iyong messaging app, ilagay ang iyong phone number, at mag-verify gamit ang SMS code. Awtomatiko nitong lo-log out ang attacker.

Hakbang 2: Alertuhan ang iyong mga contact

Agad na ipaalam sa mga kaibigan at pamilya sa pamamagitan ng ibang channels. Para sa sensitibong komunikasyon habang nire-recover, nag-aalok ang LOCK.PUB ng password-protected encrypted chat rooms na hindi nangangailangan ng pag-install ng app — kapaki-pakinabang kapag nakompromiso ang iyong pangunahing messenger.

Hakbang 3: Suriin ang mga web sessions

Pumunta sa Settings > Linked Devices at mag-log out sa lahat ng hindi kilalang sessions.

Hakbang 4: I-enable ang two-step verification

Settings > Account > Two-step verification > Enable. Mag-set ng 6-digit PIN na kakailanganin paminsan-minsan at kapag nire-re-register ang iyong number.

Hakbang 5: Mag-report sa mga awtoridad

Kung may nangyaring financial fraud, mag-report sa iyong lokal na cybercrime unit (hal. IC3 sa US, Action Fraud sa UK).

Checklist sa Pag-iwas

Setting	Paano I-enable	Bakit Mahalaga
Two-step verification	Settings > Account > Two-step verification	Nangangailangan ng PIN kahit na ninakaw ang code
Login notifications	Naka-enable bilang default	Nag-aalerto kapag na-access ang account
Biometric lock	Settings > Privacy > App Lock	Pumipigil sa hindi awtorisadong pisikal na access
Itago ang "Last Seen"	Settings > Privacy > Last Seen	Binabawasan ang social engineering info

Ang mga Gintong Patakaran

1. Huwag kailanman ibahagi ang verification codes — Walang lehitimong serbisyo o kaibigan ang hihihingi kailanman
2. I-enable ang two-step verification — Ang isang setting na ito lang ay humaharang sa karamihan ng hijacking attempts
3. I-lock ang iyong voicemail — Maaaring ma-intercept ng mga attacker ang mga code na naiwan sa default voicemail PINs
4. Maging mapagduda sa pagmamadali — Laging gumagawa ng artipisyal na time pressure ang mga scammer
5. Gumamit ng PIN para sa iyong SIM — Makipag-ugnayan sa iyong carrier para mag-set ng SIM transfer PIN

Pagprotekta sa Mga Group Chat at Business Accounts

Kung nagma-manage ka ng mga messaging group o business accounts:

• I-restrict kung sino ang makakapag-add sa iyo sa mga grupo (Settings > Privacy > Groups)
• Gumamit ng business API na may tamang access controls
• Huwag kailanman ibahagi ang sensitibong business credentials sa pamamagitan ng chat messages
• Para sa kumpidensyal na document sharing, gamitin ang LOCK.PUB password-protected memos sa halip na magpadala ng plaintext sa chat

Ano ang Nangyayari Pagkatapos ng Hijack?

Kapag nakontrol na ng attacker ang iyong account, karaniwan nilang:

1. Mina-message ang iyong mga contact na humihingi ng emergency money transfers
2. Sumasali sa iyong mga group chats para mag-phish ng mas maraming biktima
3. Ina-access ang iyong message history (kung naka-backup sa cloud)
4. Nagpapanggap na ikaw para sa pangmatagalang mga scam

Lumalaki ang pinsala sa bawat minutong may access ang attacker. Kritikal ang bilis ng pagtugon.

Mga Pangwakas na Kaisipan

Mapipigilan ang messaging app hijacking. Ang two-step verification lang ay humaharang sa malaking bahagi ng mga atake. Maglaan ng dalawang minuto ngayon para i-enable ito kung hindi mo pa nagagawa.

Kapag kailangan mong magbahagi ng sensitibong impormasyon — mga password, financial details, pribadong dokumento — isaalang-alang ang paggamit ng LOCK.PUB para gumawa ng password-protected links o end-to-end encrypted chat rooms. Libre ito, hindi nangangailangan ng pag-install ng app, at pinapanatiling ligtas ang iyong data kahit ma-compromise ang isang messaging account.