Уязвимость WhatsApp приводит к утечке номеров телефонов 3.5 млрд пользователей

WhatsApp находится под пристальным вниманием после того, как исследователи обнаружили сбой в безопасности, который привел к раскрытию номеров телефонов около 3,5 млрд пользователей по всему миру. Согласно сообщениям, автоматизированные системы извлекают данные пользователей, просто проверяя доступность номера.

Согласно исследовательской команде из Венского университета, проблема существует с 2017 года, но Meta публично не признавала ее до сих пор. 

Источник этой уязвимости — функция обнаружения контактов в приложении. Это открытие вызвало обеспокоенность, поскольку WhatsApp является одним из самых популярных приложений, которому люди доверяют для частных чатов и личного общения. Эксперты говорят, что такое массовое раскрытие номеров телефонов повышает риски в области конфиденциальности, спама и целевых мошеннических схем.

Исследователи просматривают фотографии профилей 3,5 млрд пользователей WhatsApp

Ища недостатки в системе сквозного шифрования WhatsApp, австрийские исследователи обнаружили, что платформа не имеет защиты от ограничения частоты запросов (rate-limiting) для предотвращения злоупотреблений функцией проверки регистрации номера в WhatsApp. 

Всего за полчаса им удалось извлечь 30 млн WhatsApp номеров зарегистрированных в США, эксплуатируя этот недостаток. К концу исследования они собрали номера WhatsApp 3,5 млрд пользователей по всему миру.

Примерно 57% из 3,5 млрд пользователей WhatsApp имели настройки конфиденциальности, настроенные на отображение фотографии профиля всем. В результате исследователи легко смогли собрать и их фотографии профиля. Они также могли просматривать текстовую информацию профиля 29% этих 3,5 млрд пользователей WhatsApp.

По словам исследователей, если бы эта техника была использована злоумышленниками, результаты могли бы стать одними из крупнейших утечек данных в истории. После этого теста они удалили все собранные данные и связались с Meta, предоставив свои результаты.

В ответ Meta заявила, что ведется активная работа над усилением защиты от масштабного сбора данных (скрейпинга) и что выводы помогли улучшить эти системы. Компания также утверждала, что не обнаружила признаков того, что преступники используют этот недостаток.

Эксперты по кибербезопасности посоветовали пользователям установить профили в режим «приватный», не указывать личные данные в разделе «О себе» и ограничить публикацию статусов. Для бизнеса эксперты советуют использовать безопасные функции WhatsApp Business API. Теперь конфиденциальность также является ответственностью пользователя.

Тем временем Meta запустил имеет инструмент под названием WhatsApp Research Proxy, помогающий исследователям безопасности эффективнее изучать сетевой протокол мессенджера. Изначально доступный ограниченной группе долгосрочных участников программы вознаграждений за обнаружение уязвимостей (bug bounty), компания заявила, что он помогает упростить расследования инфраструктуры WhatsApp.

WhatsApp внедряет поддержку нескольких аккаунтов для тестировщиков на iPhone

WhatsApp внедряет функции для iOS, которая позволяет пользователям управлять несколькими аккаунтами на одном устройстве. В настоящее время функция находится в бета-тестировании и доступна избранным пользователям через TestFlight. Согласно сообщениям, функция предназначена для упрощения управления аккаунтами.

Кроме того, пользователи смогут повторно подключить свои старые аккаунты, которые они использовали в WhatsApp Business. Как только аккаунт будет связан, все чаты и настройки будут синхронизированы автоматически.

Тем временем суд встал на сторону Meta, отклонив антимонопольный иск, поданный Федеральной торговой комиссией (FTC). Решение, описанное в электронном письме, отправленном NPR, было воспринято как признание сильной конкуренции в секторе. 

Иск был подан пять лет назад и вытекал из расследования, начатого в период администрации Трампа. В нем утверждалось, что Facebook, позже переименованный в Meta, придерживался стратегии «купи или похорони», приобретя Instagram в 2012 году и WhatsApp в 2014 году, чтобы устранить конкурентов и укрепить монополию на рынке социальных сетей. 

Корпоративные FTC просил суд потребовать, чтобы Марк Цукерберг разделил два приложения на независимые сущности для продвижения конкуренции и предоставления пользователям большего выбора.