Вчені з Віденського університету виявили серйозну уразливість у WhatsApp, що дозволяла зловмисникам масово збирати телефонні номери користувачів через механізм пошуку контактів. Завдяки простому перебору номерів через веб-інтерфейс сервісу, їм вдалося отримати більше 3,5 мільярдів записів, що представляє собою величезну базу телефонів більшості користувачів платформи. Про це повідомляє Wired.
У додаток до номерів, дослідники здобули аватари профілів для 57% акаунтів і публічний текст профілю для 29%, оскільки ці дані WhatsApp доступні усім, хто додає номер у свої контакти. Команда виявила цю проблему Meta у квітні 2025 року та знищила зібрану інформацію. У жовтні компанія впровадила жорсткіші обмеження на швидкість запитів, щоб запобігти масовим перевіркам.
Meta зазначила, що не виявила ознак зловмисного використання цієї техніки, а інформація, що була отримана, є "базовими публічними даними". Проте дослідники підкреслюють, що вони не обходили захисні механізми – таких механізмів просто не існувало. Подібну уразливість описував інший дослідник ще у 2017 році, але її так і не усунули.
Аналіз також виявив велику кількість акаунтів із публічно доступною інформацією. Наприклад, серед 137 мільйонів номерів зі США 44% мали відкриті фотографії. В Індії, де WhatsApp є найбільш популярним, цей показник досяг 62%.
Дослідники вважають, що дані такого масштабу можуть бути цікавими для спам-кампаній або для урядів країн, де WhatsApp заблоковано. Серед зібраних даних вони виявили 2,3 мільйона номерів з Китаю та 1,6 мільйона з М'янми, що може створити ризики для користувачів у цих країнах.
Команда також виявила повторювані криптографічні ключі у частини акаунтів – це може свідчити про використання неофіційних клієнтів WhatsApp, зокрема тими, хто займається шахрайством.
Дослідники підсумовують, що основна проблема полягає у використанні телефонного номера як універсального ідентифікатора. Він не був задуманий як приватний або унікальний ключ, але у WhatsApp саме він служить основою для пошуку та підтвердження акаунтів. Meta вже тестує систему нікнеймів як альтернативу.
