Ученые из Венского университета обнаружили серьезную уязвимость в WhatsApp, которая позволяла злоумышленникам массово собирать телефонные номера пользователей через механизм поиска контактов. Благодаря простому перебору номеров через веб-версию сервиса, им удалось получить более 3,5 миллиардов записей, что представляет собой огромную базу телефонов большинства пользователей платформы. Об этом сообщает Wired.
Кроме номеров, исследователи смогли загрузить аватары профилей для 57% аккаунтов и публичный текст профиля для 29%, так как эти данные WhatsApp отображает всем, кто добавляет номер в свои контакты. Команда сообщила о проблеме Meta в апреле 2025 года и уничтожила собранную базу. В октябре компания ввела более жесткие ограничения на скорость запросов, чтобы предотвратить массовые проверки.
Meta заявила, что не обнаружила признаков злонамеренного использования этой техники и что полученная информация была "базовыми публичными данными". Тем не менее, исследователи подчеркивают, что они не обходили защитные механизмы – таких механизмов просто не существовало. Подобную уязвимость описывал другой исследователь еще в 2017 году, но она так и не была устранена.
Анализ также показал значительное количество аккаунтов с публичной информацией. Например, среди 137 миллионов номеров из США 44% имели открытые фотографии. В Индии, где WhatsApp наиболее популярен, этот показатель достиг 62%.
Исследователи считают, что базы такого масштаба могут быть интересны для спам-кампаний или для правительств стран, где WhatsApp заблокирован. Среди собранных данных они обнаружили 2,3 миллиона номеров из Китая и 1,6 миллиона из Мьянмы, что может представлять риски для пользователей в этих странах.
Команда также обнаружила повторяющиеся криптографические ключи в некоторых аккаунтах – это может свидетельствовать о использовании неофициальных клиентов WhatsApp, особенно теми, кто занимается мошенничеством.
Исследователи подводят итог, что основная проблема заключается в использовании телефонного номера как универсального идентификатора. Он не был задуман как приватный или уникальный ключ, но в WhatsApp он служит основой для поиска и подтверждения аккаунтов. Meta уже тестирует систему никнеймов в качестве альтернативы.
