Уязвимость WhatsApp: Новые данные о безопасности пользователей

Исследователи из Венского университета обнаружили серьезную уязвимость в WhatsApp, которая позволяла массово собирать телефонные номера пользователей через механизм поиска контактов. Используя простой перебор номеров через веб-версию сервиса, им удалось получить доступ к более чем 3,5 миллиардам записей, фактически создав базу телефонных номеров большинства пользователей платформы. Об этом сообщает Wired.
Кроме номеров, исследователи смогли загрузить аватары профилей для 57% аккаунтов и публичный текст профиля для 29%, поскольку эти данные WhatsApp показывает всем, кто добавляет номер в контакты. Команда уведомила Meta о проблеме в апреле 2025 года и уничтожила собранную базу. В октябре компания внедрила более строгие ограничения на скорость запросов, чтобы закрыть возможность массовых проверок.
Meta заявила, что не обнаружила признаков злонамеренного использования этой техники, а предоставленная информация была "базовыми публичными данными". Однако исследователи подчеркивают, что они не обошли защитные механизмы – таких механизмов просто не существовало. Другой исследователь описывал подобную уязвимость еще в 2017 году, но она не была устранена.
Анализ также показал значительное количество аккаунтов с публичной информацией. Например, среди 137 миллионов номеров из США 44% имели открытые фотографии. В Индии, где WhatsApp наиболее популярен, этот показатель достиг 62%.
Исследователи считают, что базы данных такого масштаба могут заинтересовать спам-компании или правительства стран, где WhatsApp заблокирован. Среди полученных данных они обнаружили 2,3 миллиона номеров из Китая и 1,6 миллиона из Мьянмы, что могло создать риски для пользователей в этих странах.
Команда также нашла повторяющиеся криптографические ключи в некоторых аккаунтах – это может свидетельствовать о использовании неофициальных клиентов WhatsApp, особенно теми, кто занимается мошенничеством.
Исследователи подводят итог, что главная проблема – использование телефонного номера как универсального идентификатора. Он изначально не был задуман как приватный или уникальный ключ, но в WhatsApp именно он служит основой для поиска и подтверждения аккаунтов. Meta уже тестирует систему никнеймов как альтернативу.