Vulnérabilité WhatsApp : 3.5 milliards de numéros de téléphone d'utilisateurs exposés

WhatsApp est sous le feu des critiques après qu'un chercheur a mis en lumière une faille de sécurité ayant exposé les numéros de téléphone d'environ 3,5 milliards d'utilisateurs dans le monde. Selon les rapports, des systèmes automatisés récupèrent les détails des utilisateurs simplement en vérifiant la disponibilité du numéro.

Selon l'équipe de recherche de l'Université de Vienne, ce problème existe depuis 2017, mais Meta ne l'a reconnu publiquement que maintenant. 

La fonction de découverte de contacts de l'application est à l'origine de cette vulnérabilité. Cette découverte suscite des inquiétudes car WhatsApp est l'une des applications les plus utilisées et fait confiance pour les messageries privées et les communications personnelles. Les experts affirment qu'une telle exposition de numéros de téléphone en grand nombre augmente les risques liés à la vie privée, au spam et aux arnaques ciblées.

Les chercheurs consultent les photos de profil des 3,5 milliards d'utilisateurs de WhatsApp

En recherchant des failles dans le système de chiffrement de bout en bout de WhatsApp, des chercheurs autrichiens ont découvert que la plateforme ne dispose pas de protection par limitation du débit pour empêcher l'abus de sa fonctionnalité vérifiant si un numéro est enregistré sur WhatsApp. 

En seulement une demi-heure, ils ont pu extraire 30 millions de numéros WhatsApp enregistrés aux États-Unis en exploitant cette faille. À la fin de leurs recherches, ils avaient collecté les numéros WhatsApp de 3,5 milliards d'utilisateurs dans le monde entier.

Environ 57 % des 3,5 milliards d'utilisateurs WhatsApp avaient configuré leurs paramètres de confidentialité pour afficher leur photo de profil à tout le monde. Par conséquent, les chercheurs ont facilement pu récupérer leurs photos de profil. Ils ont également pu consulter le texte de profil de 29 % de ces 3,5 milliards d'utilisateurs WhatsApp.

Selon les chercheurs, si cette technique était exploitée par des acteurs malveillants, les résultats pourraient figurer parmi les plus importantes fuites de données jamais enregistrées. Après ce test, ils ont supprimé toutes les données collectées et contacté Meta avec leurs résultats.

En réponse, Meta a indiqué qu'un travail actif était mené pour renforcer les protections contre le scraping à grande échelle et que ces découvertes ont permis d'améliorer ces systèmes. L'entreprise a également affirmé n'avoir détecté aucun signe d'utilisation de cette faille par des criminels.

Les experts en cybersécurité conseillent aux utilisateurs de définir leurs profils en privé, d'éviter de partager des informations personnelles dans la section « À propos » et de limiter le partage de statuts. Pour les entreprises, ils recommandent d'utiliser les fonctionnalités sécurisées de l'API WhatsApp Business. Désormais, la protection des données est également une responsabilité de l'utilisateur.

Parallèlement, Meta a a introduit mis au point un outil nommé WhatsApp Research Proxy pour aider les chercheurs en sécurité à examiner plus efficacement le protocole réseau de la plateforme de messagerie. Initialement réservé à un groupe restreint de participants de longue date au programme de primes pour bugs, cet outil vise à simplifier les enquêtes sur l'infrastructure de WhatsApp.

WhatsApp introduit le support multi-comptes pour les testeurs iPhone

WhatsApp lance une fonctionnalité pour iOS permettant aux utilisateurs de gérer plusieurs comptes sur un seul appareil. Actuellement en phase de test bêta, cette fonctionnalité est accessible à certains utilisateurs via TestFlight. Selon les rapports, elle vise à simplifier la gestion des comptes.

De plus, les utilisateurs pourront reconnecter leurs anciens comptes qu'ils utilisaient sur WhatsApp Business. Dès la liaison du compte, tous les chats et préférences seront synchronisés automatiquement.

Par ailleurs, le tribunal s'est prononcé en faveur de Meta, rejetant le recours antitrust intenté par la Federal Trade Commission (FTC). Cette décision, décrite dans un courriel envoyé à NPR, a été perçue comme une reconnaissance de la forte concurrence dans ce secteur. 

L'affaire a été déposée il y a cinq ans et découle d'une enquête lancée sous l'administration Trump. Elle soutenait que Facebook, plus tard renommé Meta, avait adopté une stratégie de « racheter ou enterrer » en acquérant Instagram en 2012 et WhatsApp en 2014 pour éliminer la concurrence et renforcer un monopole sur le marché des réseaux sociaux. 

Le FTC a demandé au tribunal d'exiger que Mark Zuckerberg sépare les deux applications en entités indépendantes afin de promouvoir la concurrence et offrir aux utilisateurs un plus grand choix.