Meta erweitert Sicherheitsforschung bei WhatsApp mit einem 4-Millionen-Dollar-Bounty

Meta hat sein Bug-Bounty-Programm für WhatsApp erweitert und neue Anreize zur Verbesserung der Sicherheitsforschung auf der Messaging-Plattform angekündigt, zusammen mit einer Auszahlung von 4 Millionen US-Dollar an White-Hat-Hacker, die Sicherheitslücken entdecken.

Laut der Pressemitteilung des Technologieunternehmens, die am Dienstag veröffentlicht wurde, ist WhatsApp ein lukratives Ziel für staatlich unterstützte Hacker und kommerzielle Spyware-Entwickler. Meta sagte, die neue Initiative zielt darauf ab, es Sicherheitsforschern zu erleichtern, Hacking-Strategien zu untersuchen, die speziell auf den App-Messenger abzielen.

Meta startet WhatsApp Research Proxy für Bug-Bounty-Forscher

Meta hat vorgestellt ein Tool namens WhatsApp Research Proxy eingeführt, das Sicherheitsforschern dabei hilft, das Netzwerkprotokoll der Messaging-Plattform effektiver zu untersuchen. Ursprünglich nur einer ausgewählten Gruppe langjähriger Bug-Bounty-Teilnehmer verfügbar, soll das Unternehmen damit Untersuchungen zur Infrastruktur von WhatsApp vereinfachen.

Der Research Proxy soll dabei helfen, Sicherheitslücken aufzudecken, die sonst unentdeckt bleiben könnten, und Pläne zur Erweiterung des Zugangs für mehr Forscher sind in Vorbereitung, was zu seiner öffentlichen Freigabe in den kommenden Monaten führen wird.

„Unser Ziel ist es, die Einstiegshürde für Akademiker und andere Forscher zu senken, die mit Bug-Bounties möglicherweise nicht so vertraut sind, um sich unserem Programm anzuschließen“, sagte ein Meta-Sprecher. „WhatsApp-Clients und Server-Infrastruktur sind hochrangige Ziele, gehören aber auch zu den schwierigsten Oberflächen, um Fehler darin zu finden.“

Meta zahlt 25 Millionen US-Dollar an globale Bug-Hunting-Teilnehmer aus

Meta bestätigte, dass es in diesem Jahr bereits 4 Millionen US-Dollar für fast 800 validierte Berichte ausgezahlt hat. Im Laufe der letzten 15 Jahre hat das Unternehmen mehr als 25 Millionen US-Dollar an 1.400 Forscher aus 88 Ländern vergeben und erhielt ungefähr 13.000 Einreichungen von Sicherheitsforschern weltweit.

Laut dem neuesten Blog des Mutterunternehmens von Facebook und Instagram haben Akademiker der Universität Wien kürzlich eine neuartige Methode zur skalaren Enumeration von WhatsApp-Konten gemeldet. 

Die Studie der Universität Wien generierte Listen möglicher Telefonnummern unter Verwendung von Open-Source-Tools und prüfte, ob die Nummern auf WhatsApp- öffentlich zugänglichen Informationen registriert waren. Obwohl die Forschung die beabsichtigten Grenzen der Plattform überschritt, sagte Meta, sie habe wertvolle Sicherheitslücken geliefert, die es zu mildern galt.

Andere Fehler wurden in einer unvollständigen Validierungsfehlern in WhatsApp-Versionen vor v2.25.23.73, WhatsApp Business für iOS v2.25.23.82 und WhatsApp für Mac v2.25.23.83 gefunden. 

Die Sicherheitslücken hätten Angreifern ermöglichen können, Inhalte, die von beliebigen URLs auf einem anderen Gerät eines Benutzers abgerufen wurden, zu verarbeiten. Meta veröffentlichte einen Patch auf Betriebssystemebene, um CVE-2025-59489 zu beheben, einen Exploit, der Malware auf Quest-Geräten installieren und beliebigen Code in Unity-Anwendungen ausführen hätte können.

Auf seiner jährlichen Bug Bounty Researcher Conference gewann der Sicherheitsforscher RyotaK den „Most Impact Award“ für das Identifizieren von Fehlern aus der Quest-Gerätesicherheitslücke, die auf Unity-Drittanbietercode zurückzuführen ist. Der Forscher arbeitete mit Unity zusammen, um das Problem zu lösen, das Apps betraf, die auf Unity 2017.1 und später aufgebaut waren.

Meta zählt rechtlichen Sieg im Antitrust-Fall der US-FTC

Die Ankündigung des Bug-Bounty-Programms von Meta kommt unmittelbar nach einem rechtlichen Sieg in ihrem Antitrust-Fall gegen die US-Bundeswettbewerbsbehörde FTC, wie berichtete von Cryptopolitan am Dienstag berichtet. 

Die FTC hatte vor fünf Jahren behauptet, Meta habe ein Monopol im sozialen Networking durch Instagram und WhatsApp. In einer Memorandum-Opinion sagte Richter James Boasberg vom US-Bezirksgericht in Washington, DC, die FTC habe ihren Fall nicht beweisen können. 

„Egal ob Meta in der Vergangenheit Monopolmacht genoss, die Agentur muss zeigen, dass sie diese Macht jetzt weiterhin innehat. Das Urteil des Gerichts heute stellt fest, dass die FTC dies nicht getan hat. Ein entsprechendes Urteil wird heute ergehen.“

Meta-CEO Mark Zuckerberg, ehemalige operative Chefin Sheryl Sandberg, Instagram-Mitbegründer Kevin Systrom und andere Führungskräfte gaben alle ihre Aussagen bereits in diesem Jahr ab. Das Gericht hatte den Fall 2021 mangels Beweisen abgewiesen, obwohl die FTC in diesem Jahr eine geänderte Klage mit aktualisierten Metriken und Benutzerdaten einreichte. 

Boasberg ließ den Fall 2022 nach einer Überprüfung weiterlaufen, aber er entschied in dieser Woche schließlich zugunsten von Meta.

Joe Simonson, der Direktor für öffentliche Angelegenheiten der FTC, argumentierte, Meta sei von Richter Boasberg bevorzugt worden, von dem er behauptete, er sei „derzeit Gegenstand von Impeachment-Verfahren.“ 

„Wir prüfen alle unsere Optionen“, sagte Simonson den Reportern nach dem Urteil und deutete an, dass es eine weitere Berufung geben könnte.