Meta élargit la recherche en matière de sécurité de WhatsApp avec une prime de 4 millions de dollars

Meta a élargi son programme de prime pour les bogues (bug bounty) de WhatsApp, annonçant de nouvelles incitations pour améliorer la recherche en matière de sécurité sur la plateforme de messagerie, accompagnées d'une prime de 4 millions de dollars attribuée aux hackers éthiques qui découvrent des vulnérabilités.

Selon le communiqué de presse de l'entreprise technologique publié mardi, WhatsApp est une cible lucrative pour les hackers parrainés par des États et les développeurs de logiciels espions commerciaux. Meta a déclaré que cette nouvelle initiative vise à faciliter l'enquête des chercheurs en sécurité sur les stratégies de piratage utilisées spécifiquement sur l'application de messagerie.

Meta lance le proxy de recherche WhatsApp pour les chercheurs en bug bounty

Meta a a introduit mis au point un outil nommé WhatsApp Research Proxy pour aider les chercheurs en sécurité à examiner plus efficacement le protocole réseau de la plateforme de messagerie. Initialement réservé à un groupe restreint de participants de longue date au programme de primes pour bugs, cet outil vise à simplifier les enquêtes sur l'infrastructure de WhatsApp.

Le proxy de recherche est conçu pour aider à découvrir des vulnérabilités qui pourraient autrement passer inaperçues, et des plans sont en cours pour étendre l'accès à davantage de chercheurs, ce qui devrait conduire à sa publication publique dans les mois à venir.

« Notre objectif est de réduire les barrières à l'entrée pour les universitaires et autres chercheurs qui ne sont peut-être pas aussi familiers avec les primes pour bogues afin de rejoindre notre programme », a déclaré un porte-parole de Meta. « Les clients WhatsApp et l'infrastructure serveur sont des cibles de choix, mais aussi parmi les surfaces les plus difficiles à analyser pour trouver des bogues. »

Meta verse 25 millions de dollars de primes à la participation mondiale à la chasse aux bogues

Meta a confirmé qu'elle a déjà versé 4 millions de dollars cette année pour près de 800 rapports validés. Au cours des 15 dernières années, l'entreprise a attribué plus de 25 millions de dollars à 1 400 chercheurs provenant de 88 pays, et a reçu environ 13 000 soumissions de chercheurs en sécurité du monde entier.

Selon le dernier blog de la maison mère de Facebook et Instagram, des chercheurs universitaires de l'Université de Vienne ont récemment signalé une nouvelle méthode pour énumérer les comptes WhatsApp à grande échelle. 

L'étude de l'Université de Vienne a généré des listes de numéros de téléphone possibles à l'aide d'outils open source, et a vérifié si les numéros étaient enregistrés sur conversations WhatsApp des informations publiquement accessibles. Bien que la recherche ait dépassé les limites prévues de la plateforme, Meta a déclaré qu'elle avait fourni des failles de sécurité précieuses qu'elle devait corriger.

D'autres bogues ont été trouvés dans une faille de validation incomplète sur les versions de WhatsApp antérieures à la v2.25.23.73, WhatsApp Business pour iOS v2.25.23.82 et WhatsApp pour Mac v2.25.23.83. 

Ces vulnérabilités auraient permis aux attaquants de traiter du contenu récupéré à partir d'URL arbitraires sur l'appareil d'un autre utilisateur. Meta a publié un correctif au niveau du système d'exploitation pour remédier à la CVE-2025-59489, une exploitation qui aurait pu installer des logiciels malveillants sur les appareils Quest pour exécuter du code arbitraire sur les applications Unity.

Lors de sa conférence annuelle des chercheurs en bug bounty, le chercheur en sécurité RyotaK a remporté le « Prix de l'impact le plus élevé » pour avoir identifié des bogues liés à la vulnérabilité de l'appareil Quest, provenant du code tiers d'Unity. Le chercheur a travaillé avec Unity pour résoudre le problème affectant les applications construites sur Unity 2017.1 et versions ultérieures.

Meta remporte une victoire juridique dans l'affaire antitrust intentée par la FTC américaine

L'annonce du programme de prime pour bogues de Meta fait suite à une victoire juridique dans son affaire antitrust contre la Federal Trade Commission (FTC) des États-Unis, comme a rapporté rapporté par Cryptopolitan mardi. 

La FTC avait allégué il y a cinq ans que Meta détenait un monopole dans le domaine des réseaux sociaux via Instagram et WhatsApp. Dans une opinion mémorandum, le juge James Boasberg du tribunal de district des États-Unis à Washington, DC, a déclaré que la FTC n'avait pas réussi à prouver son cas. 

« Qu'il ait joui ou non d'un pouvoir de monopole par le passé, l'agence doit démontrer qu'il détient toujours ce pouvoir aujourd'hui. Le verdict du tribunal aujourd'hui détermine que la FTC ne l'a pas fait. Un jugement en ce sens sera rendu ce jour. »

Le PDG de Meta, Mark Zuckerberg, l'ancienne directrice des opérations Sheryl Sandberg, le cofondateur d'Instagram, Kevin Systrom, et d'autres dirigeants ont tous témoigné plus tôt cette année. Le tribunal avait rejeté l'affaire en 2021 pour manque de preuves, bien que la FTC ait déposé une plainte modifiée cette année-là avec des métriques et des données utilisateur mises à jour. 

Boasberg a permis à l'affaire de se poursuivre en 2022 après un examen, mais il a finalement tranché en faveur de Meta cette semaine.

Joe Simonson, directeur des affaires publiques de la FTC, a fait valoir que Meta avait été favorisée par le juge Boasberg, qu'il affirmait être « actuellement confronté à des articles de destitution ». 

« Nous examinons toutes nos options », a déclaré Simonson aux journalistes après le verdict, insinuant qu'un autre appel pourrait être intenté.