Колдуны Вацапе: кто они, как работают их заклинания и как не стать жертвой

Термин «Колдуны Вацапе» (или «Волшебники WhatsApp») в рунете не имеет единого официального определения. Это коллективный образ, объединяющий несколько совершенно разных феноменов: от мошенников и социальных инженеров до специалистов по автоматизации и OSINT, а также героев городских легенд. В этой статье мы подробно разберем, кто они такие, как работают их «заклинания» и как не стать жертвой черной магии в цифровом мире.

Классификация «колдуньи»: от белой к черной

Условно всех «колдунов» можно разделить на три категории по этичности и легальности действий:

• 🧙‍♂️ «Белые маги» (White Hat) — Разработчики и автоматизаторы. Создают легальных ботов для бизнеса, настраивают WhatsApp Business API, пишут скрипты для рассылок (в рамках политики Meta), интегрируют CRM. Их «магия» — это код, документация и знание лимитов платформы.
• 🧙‍♀️ «Серые маги» — OSINT-специалисты и рекрутеры; Умеют находить открытую информацию по номеру телефона: профили в соцсетях, утечки баз данных (через сервисы вроде Have I Been Pwned), аватарки, статус «был в сети». Никакого взлома — только анализ открытых источников.
• 🧟 «Черные маги» — Мошенники, фишеры, продавчики «шпионского ПО». Именно их чаще всего имеют в виду, когда говорят «колдуны вацапе» в негативном контексте. Они продают иллюзию власти над чужим аккаунтом.

Гримуар «Черных магов»: популярные схемы обмана

Мошенники используют психологию и техническую неграмотность жертв. Вот их главные «заклинания»:

Ритнал «Код подтверждения» (Account Takeover)

Суть: Злоумышленник вводит ваш номер при входе в WhatsApp. Вам приходит SMS с 6-значным кодом. «Колдун» пишет вам (часто с поддельного аккаунта поддержки или взломанного аккаунта друга): «Привет, я случайно ввел твой номер, скинь код из смс, иначе мой аккаунт заблокируют».

Результат: Вы отдаете код — злоумышленник получает полный доступ к аккаунту, включает двухфакторную аутентификацию (2FA) и вы теряете профиль навсегда.

Обман «Шпионским ПО» (Spyware Scam)

Суть: Реклама в Telegram/ТикТок/YouTube: «Программа для чтения чужой переписки по номеру», «Просмотр удаленных сообщений», «Отслеживание геолокации без согласия».

Реальность:

1. Вы платите деньги (часто криптой) — получаете вирус, майнер или просто пустой архив.
2. Вам предлагают установить APK-файл на телефон жертвы (требует физического доступа и разблокировки) — это не «магия», это шпионское ПО (Stalkerware), использование которого уголовно наказуемо во многих странах.
3. Фишинговая страница входа в WhatsApp Web для кражи сессии (QR-код).

«Восстановление удаленного» и «Хак баз данных»

Продажа доступа к якобы слитым базам WhatsApp. Обычно это:

• Старые комбо-листы (email:password) от других утечек.
• Публично доступные OSINT-базы (номера, имена, фото из открытых профилей).
• Полный фейк — генерируются случайные номера.

Бизнес-мошенничество: «Массовые рассылки без бана»

Продажа «черных» шлюзов (WhatsApp Gateways) для спама. Используют фермы SIM-карт, эмуляторы (Android VM) и модифицированные клиенты (WhatsApp Business API хаки). Риск для клиента: блокировка номера, попадание в спам-базы, потеря денег без результата.

Техническая реальность: почему «магия» невозможна?

WhatsApp использует протокол Signal Protocol (E2EE — End-to-End Encryption).

Что это значит для «колдунов»:

• Сообщения шифруются на устройстве отправителя и расшифровываются только на устройстве получателя.
• На серверах Meta (Facebook) лежат только зашифрованные блобы. Ключей у Meta нет.
• Никакой «супер-хакер» не может прочитать переписку, перехватив трафик или взломав сервер. Нужен физический доступ к разблокированному телефону жертвы или её облачному бэкапу (если он не зашифрован паролем).

Единственные легальные «дыры» (Feature, not Bug):

1. WhatsApp Web / Linked Devices: Если вы оставили сессию открытую на чужом ПК или отсканировали чужой QR-код — они читают переписку в реальном времени. Защита: Регулярно проверяйте «Связанные устройства» в настройках.
2. Облачные бэкапы (Google Drive / iCloud): По умолчанию они не зашифрованы сквозно (до недавнего обновления с паролем/ключом). Уязвимость: доступ к Apple ID / Google Account жертвы = доступ к истории чатов. Защита: Включите сквозное шифрование бэкапа (Настройки -> Чат -> Резервное копирование -> Сквозное шифрование).
3. Уязвимости нулевого дня (0-day): Например, Pegasus (NSO Group). Стоят миллионы долларов, используются спецслужбами против высокопрофильных целей. Обычный пользователь не интересен.

Защита: Как не стать жертвой «черной магии»

Следуйте этим правилам гигиены, и никакие «колдуны» вам не страшны:

🛡 Базовые настройки безопасности (Обязательно!)

• Включите двухфакторную аутентификацию (2FA): Настройки -> Учетная запись -> Двухэтапная проверка. Придумайте PIN-код и укажите email для восстановления. Это защитит от перехвата аккаунта по SMS-коду.
• Скройте личную информацию: Настройки -> Приватность -> «Кто может видеть мою фото/инфо/статус/последнее время» -> «Мои контакты» или «Никто». Это усложнит OSINT-сборку по вашему номеру.
• Включите шифрование бэкапа: Настройки -> Чат -> Резервное копирование -> Сквозное шифрование -> Включить. Создайте надежный пароль или 64-значный ключ. Не теряйте его!
• Контроль сессий: Настройки -> Связанные устройства. Проверяйте раз в неделю. Видите незнакомое устройство? -> «Выйти».

🛡 Правила поведения (Социальная инженерия — главный вектор атаки)

1. Никому и никогда не сообщайте код из SMS/звонка от WhatsApp. Даже маме, даже «поддержке», даже другу, чей аккаунт «взломали».
2. Не сканируйте QR-коды с экрана чужого телефона или из подозрительных ссылок/письем («Войдите, чтобы получить подарок/проверить базу»).
3. Не устанавливайте APK-файлы из сторонних источников («моды» WhatsApp GB, YoWhatsApp, «шпионские приложения»). Это вирусы.
4. Проверяйте ссылки: Официальный сайт только whatsapp.com и web.whatsapp.com. Фишеры делают копии: vvhatsapp.com, whatsapp-web-login.com и т.д.

Юридический аспект: статьи УК РФ (и аналоги в СНГ)

Деятельность «черных колдунов» попадает под уголовное преследование:

• Ст. 272 УК РФ — Неправомерный доступ к компьютерной информации (взлом аккаунта).
• Ст. 273 УК РФ — Создание, распространение вредоносных программ (шпионское ПО, вирусы-крадеры).
• Ст. 159.6 УК РФ — Мошенничество с использованием электронных средств оплаты / кража цифровых активов.
• Ст. 138 УК РФ — Нарушение тайны переписки (установка stalkerware без согласия).

Покупателям» таких услуг тоже грозит ответственность (соучастие или приготовление к совершению преступления).

Феномен «Колдуны Вацапе» — это зеркало нашей цифровой неграмотности. Там, где пользователь видит магию (взлом за 5 минут, чтение мыслей партнера), специалист видит вектор атаки: фишинг, социальную инженерию, уязвимость нулевого дня или банальный обман на деньги.

Главное заклинание защиты: Критическое мышление + 2FA + Приватность настроек + Шифрование бэкапа.

Настройте безопасность прямо сейчас, и ни один «колдун» не сможет навредить вашему цифровому дому.

Статья подготовлена в информационных целях. Автор не несет ответственности за действия читателей. Помните: закон, лучшая защита от магии.