Meta expande pesquisa de segurança do WhatsApp com recompensa de US$ 4 milhões

A Meta expandiu seu programa de recompensa por bugs (bug bounty) para o WhatsApp, anunciando novos incentivos para melhorar a pesquisa de segurança na plataforma de mensagens, juntamente com uma recompensa de US$ 4 milhões para hackers de chapéu branco que descobrirem vulnerabilidades.

De acordo com o comunicado à imprensa da empresa de tecnologia divulgado na terça-feira, o WhatsApp é um alvo lucrativo para hackers patrocinados por estados e desenvolvedores de spyware comercial. A Meta disse que a nova iniciativa busca facilitar para pesquisadores de segurança investigar estratégias de hacking usadas especificamente no aplicativo de mensagens.

Meta lança o WhatsApp Research Proxy para pesquisadores de bug bounty

A Meta apresentou uma ferramenta chamada WhatsApp Research Proxy para ajudar os pesquisadores de segurança a examinar o protocolo de rede da plataforma de mensagens de forma mais eficaz. Inicialmente disponível para um grupo seleto de participantes de longo prazo do programa de recompensa por bugs, a empresa disse que isso ajuda a simplificar as investigações na infraestrutura do WhatsApp.

O Research Proxy destina-se a auxiliar na descoberta de vulnerabilidades que, de outra forma, poderiam passar despercebidas, e os planos para expandir o acesso a mais pesquisadores estão em andamento, o que levará ao seu lançamento público nos próximos meses.

“Nosso objetivo é reduzir a barreira de entrada para acadêmicos e outros pesquisadores que possam não estar tão familiarizados com programas de bug bounty para se juntarem ao nosso programa”, disse um porta-voz da Meta. “Os clientes do WhatsApp e a infraestrutura do servidor são alvos de alto valor, mas também estão entre as superfícies mais difíceis para encontrar bugs.”

Meta distribui US$ 25 milhões em pagamentos por participação global em caça a bugs

A Meta confirmou que já pagou US$ 4 milhões neste ano por quase 800 relatórios validados. Ao longo dos últimos 15 anos, a empresa premiou mais de US$ 25 milhões para 1.400 pesquisadores de 88 países, e recebeu aproximadamente 13.000 submissões de pesquisadores de segurança de todo o mundo.

De acordo com o último blog da empresa-mãe do Facebook e do Instagram, pesquisadores acadêmicos da Universidade de Viena relataram recentemente um método novo para enumerar contas do WhatsApp em escala. 

O estudo da Universidade de Viena gerou listas de possíveis números de telefone usando ferramentas de código aberto e verificou se os números estavam registrados no conversas no WhatsApp compilou informações publicamente acessíveis. Embora a pesquisa tenha excedido os limites pretendidos da plataforma, a Meta disse que forneceu falhas de segurança valiosas que precisavam ser mitigadas.

Outros bugs foram encontrados em uma falha de validação incompleta nas versões do WhatsApp anteriores à v2.25.23.73, no WhatsApp Business para iOS v2.25.23.82 e no WhatsApp para Mac v2.25.23.83. 

As vulnerabilidades poderiam ter permitido que atacantes processassem conteúdo recuperado de URLs arbitrários no dispositivo de outro usuário. A Meta lançou um patch em nível de sistema operacional para corrigir o CVE-2025-59489, uma exploração que poderia instalar malware em dispositivos Quest para executar código arbitrário em aplicativos Unity.

Em sua Conferência Anual de Pesquisadores de Bug Bounty, o pesquisador de segurança RyotaK ganhou o “Prêmio de Maior Impacto” por identificar bugs na vulnerabilidade do dispositivo Quest, rastreada até o código de terceiros da Unity. O pesquisador trabalhou com a Unity para resolver o problema que afetava aplicativos construídos no Unity 2017.1 e versões posteriores.

Meta conta com vitória legal em caso antitruste contra a FTC dos EUA

O anúncio do programa de bug bounty da Meta vem na sequência de uma vitória legal em seu caso antitruste contra a Comissão Federal de Comércio (FTC) dos EUA, já que reportou por Cryptopolitan na terça-feira. 

A FTC alegou há cinco anos que a Meta detinha um monopólio nas redes sociais por meio do Instagram e do WhatsApp. Em uma opinião memorizada, o juiz James Boasberg, do Tribunal Distrital dos EUA em Washington, DC, disse que a FTC não conseguiu provar seu caso. 

“Seja ou não a Meta tenha desfrutado de poder de monopólio no passado, a agência deve mostrar que continua a detê-lo agora. O veredicto do Tribunal hoje determina que a FTC não o fez. Um julgamento declarando isso será emitido hoje.”

O CEO da Meta, Mark Zuckerberg, a ex-chefe de operações Sheryl Sandberg, o co-fundador do Instagram, Kevin Systrom, e outros executivos prestaram depoimentos no início deste ano. O tribunal havia arquivado o caso em 2021 por falta de evidências, embora a FTC tenha apresentado uma queixa emendada naquele ano com métricas e dados de usuários atualizados. 

Boasberg permitiu que o caso prosseguisse em 2022 após uma revisão, mas finalmente decidiu a favor da Meta nesta semana.

Joe Simonson, diretor de assuntos públicos da FTC, argumentou que a Meta foi favorecida pelo juiz Boasberg, a quem ele afirmou estar “atualmente enfrentando artigos de impeachment.” 

“Estamos revisando todas as nossas opções”, disse Simonson aos repórteres após a decisão, insinuando que outro recurso poderia ocorrer.