WhatsApp-Sicherheitslücke lässt 3.5 Milliarden Telefonnummern von Nutzern preisgeben

WhatsApp steht unter Beobachtung, nachdem Forscher einen Sicherheitsfehler aufdeckten, der die Telefonnummern von rund 3,5 Milliarden Nutzern weltweit offengelegt hat. Berichten zufolge ziehen automatisierte Systeme Nutzerdetails ab, indem sie einfach die Verfügbarkeit der Nummer prüfen.

Laut dem Forschungsteam der Universität Wien existiert das Problem seit 2017, aber Meta hat es bis jetzt nicht öffentlich anerkannt. 

Die Kontaktfunktion der App ist die Quelle dieser Verwundbarkeit. Diese Entdeckung hat Bedenken geweckt, da WhatsApp eine der am häufigsten genutzten Apps ist und von Menschen für private Chats und persönliche Kommunikation vertraut wird. Experten sagen, dass eine solche Offenlegung von Telefonnummern in großem Maßstab die Risiken im Zusammenhang mit Datenschutz, Spam und gezielten Betrugsversuchen erhöht.

Forscher betrachten die Profilfotos der 3,5 Milliarden WhatsApp-Nutzer

Während sie nach Fehlern im Ende-zu-Ende-Verschlüsselungssystem von WhatsApp suchten, stellten österreichische Forscher fest, dass die Plattform keinen Rate-Limiting-Schutz bietet, um den Missbrauch ihrer Funktion zu verhindern, die prüft, ob eine Nummer bei WhatsApp registriert ist. 

Innerhalb von nur einer halben Stunde konnten sie 30 Millionen WhatsApp Zahlen in den USA registrierte Nutzer extrahieren, indem sie diesen Fehler ausnutzten. Bis zum Ende ihrer Forschung hatten sie die WhatsApp-Nummern von 3,5 Milliarden Nutzern weltweit gesammelt.

Ungefähr 57 % der 3,5 Milliarden WhatsApp-Nutzer hatten ihre Datenschutzeinstellungen so konfiguriert, dass sie ihr Profilbild für jeden sichtbar machen. Infolgedessen konnten die Forscher ihre Profilfotos leicht sammeln. Sie konnten auch den Profiltext von 29 % dieser 3,5 Milliarden WhatsApp-Nutzer einsehen.

Laut den Forschern könnten die Ergebnisse, wenn diese Technik von böswilligen Akteuren ausgenutzt würde, zu den größten Datenlecks in der Geschichte gehören. Nach diesem Test löschten sie alle gesammelten Daten und kontaktierten Meta mit ihren Ergebnissen.

Als Antwort erklärte Meta, dass aktiv an stärkeren Schutzmaßnahmen gegen großflächiges Scraping gearbeitet werde und dass die Erkenntnisse dazu beigetragen hätten, diese Systeme zu verbessern. Das Unternehmen behauptete auch, keine Anzeichen dafür gefunden zu haben, dass Kriminelle den Fehler ausnutzen.

Cybersicherheitsexperten haben Nutzer dazu geraten, Profile auf privat zu stellen, keine persönlichen Details im Bereich „Über mich“ zu veröffentlichen und die Freigabe von Status-Updates zu begrenzen. Für Unternehmen raten Experten dazu, die sicheren Funktionen der WhatsApp Business API zu nutzen. Jetzt liegt die Verantwortung für den Datenschutz auch bei den Nutzern.

Unterdessen hat Meta vorgestellt ein Tool namens WhatsApp Research Proxy eingeführt, das Sicherheitsforschern dabei hilft, das Netzwerkprotokoll der Messaging-Plattform effektiver zu untersuchen. Ursprünglich nur einer ausgewählten Gruppe langjähriger Bug-Bounty-Teilnehmer verfügbar, soll das Unternehmen damit Untersuchungen zur Infrastruktur von WhatsApp vereinfachen.

WhatsApp führt die Unterstützung für mehrere Konten für iPhone-Tester ein

WhatsApp führt ein Feature für iOS ein, das es Nutzern ermöglicht, mehrere Konten auf einem einzigen Gerät zu verwalten. Derzeit im Betatest verfügbar, ist die Funktion über TestFlight für ausgewählte Nutzer zugänglich. Berichten zufolge soll die Funktion die Kontoverwaltung vereinfachen.

Zusätzlich können Nutzer ihre alten Konten, die sie zuvor auf WhatsApp Business genutzt haben, wieder verbinden. Sobald das Konto verknüpft ist, werden alle Chats und Einstellungen automatisch synchronisiert.

Unterdessen hat sich das Gericht auf die Seite von Meta gestellt und die Kartellklage der US-Bundesbehörde für Kartellaufsicht (FTC) abgewiesen. Die in einer an NPR gesendeten E-Mail beschriebene Entscheidung wurde als Anerkennung des starken Wettbewerbs in der Branche gewertet. 

Der Fall wurde vor fünf Jahren eingereicht und ging auf eine Untersuchung zurück, die während der Trump-Administration begann. Es wurde argumentiert, dass Facebook, das später in Meta umbenannt wurde, eine Strategie des „Kaufens oder Begrabens“ verfolgt habe, indem es 2012 Instagram und 2014 WhatsApp übernommen habe, um Konkurrenten auszuschalten und ein Monopol im Social-Networking-Markt zu stärken. 

Die Das bedeutet, dass bezahlte Kooperationsbeiträge das Label „Bezahlte Partnerschaft“ anzeigen müssen. Darüber hinaus müssen Influencer sicherstellen, dass ihre Inhalte den geltenden Gesetzen entsprechen, einschließlich bat das Gericht, Mark Zuckerberg zu zwingen, die beiden Apps in unabhängige Einheiten zu trennen, um den Wettbewerb zu fördern und den Nutzern mehr Auswahlmöglichkeiten zu bieten.