Дата подготовки материала: 10:10:41 ()․
WhatsApp – один из самых популярных мессенджеров в мире‚ насчитывающий более 2 млрд активных пользователей․ Долгое время считалось‚ что сквозное шифрование надежно защищает содержимое переписки․ Однако‚ как показало исследование специалистов Венского университета‚ даже при наличии шифрования существуют способы получить метаданные и личную информацию без взлома криптографии․
Что такое уязвимость?
Уязвимость связана с функцией поиска контактов по номеру телефона‚ которая доступна любому пользователю WhatsApp․ При вводе номера в поле поиска приложение отвечает‚ существует ли такой аккаунт в системе‚ и‚ если да‚ возвращает ограниченный набор данных: фото профиля‚ текстовый статус и время последней активности․ Эти ответы не требуют авторизации и не защищены ограничением частоты запросов‚ что открывает возможность для массового автоматизированного перебора․
Как исследователи провели атаку
- Сформировали диапазон всех возможных мобильных номеров (с учётом кодов стран и операторов)․
- Запустили скрипт‚ который последовательно отправлял запросы в функцию поиска контактов WhatsApp․
- Сохраняли ответы‚ содержащие информацию о существующих аккаунтах․
- Получили базу из ≈3‚5 млрд номеров‚ а также фотографии профилей и текстовые статусы у значительной части записей․
Важно подчеркнуть‚ что метод не требовал обхода шифрования‚ взлома серверов или использования вредоносного ПО – он просто воспользовался легальной‚ но недостаточно защищённой функцией поиска․
Масштаб утечки
- Охват: почти все активные номера WhatsApp на планете (~3‚5 млрд)․
- География: включая регионы‚ где мессенджер официально запрещён (например‚ около 2‚3 млн номеров из Китая)․
- Дополнительные данные: у ~57 % найденных аккаунтов имелись фотографии профиля‚ у ~29 % – текстовое описание в профиле․
- Продолжительность: уязвимость эксплуатировалась на протяжении примерно восьми лет до её публичного раскрытия․
Последствия для пользователей
Хотя содержание личных чатов остаётся защищённым сквозным шифрованием‚ раскрытие следующей информации может привести к ряду рисков:
- Социальная инженерия: злоумышленники могут использовать известные номера для целевого фишинга или спама․
- Профилирование: комбинация номера‚ фото и статуса позволяет создавать детальные портреты пользователей․
- Связывание с другими сервисами: номер телефона часто используется как идентификатор в банковских‚ государственных и коммерческих системах․
- Увеличение поверхности атаки: знание активного номера упрощает попытки SIM‑свапа или перехвата SMS‑кодов․
Как защититься
Полностью уязвимость можно устранить только на стороне WhatsApp (Meta)․ Тем не менее‚ пользователи могут снизить потенциальный вред:
- Ограничить видимость профиля: в настройках конфиденциальности установить «Кто может видеть моё фото профиля» и «Кто может видеть мой статус» – «Мои контакты» или «Никто»․
- Отключить обнаружение по номеру: хотя такая опция отсутствует в текущих версиях‚ можно использовать второй номер (виртуальный или рабочий) исключительно для WhatsApp‚ оставляя личный номер скрытым․
- Включить двухфакторную аутентификацию (2FA): добавляет PIN‑код при регистрации номера на новом устройстве‚ что усложняет захват аккаунта даже если злоумышленник знает номер․
- Регулярно обновлять приложение: обновления могут включать улучшения защиты от автоматизированных запросов․
- Бдительность к подозрительным сообщениям: не переходить по ссылкам от неизвестных отправителей и не divulge коды подтверждения․
Случай с «гаданием» номеров в WhatsApp наглядно демонстрирует‚ что защита приватности зависит не только от силы шифрования‚ но и от правильной реализации вспомогательных функций․ Масштабный перебор номеров через легальный поиск контактов показал‚ как можно собрать огромные объёмы метаданных без непосредственного взлома системы․ Для пользователей ключевым шагом является осознанная настройка конфиденциальности и использование дополнительных мер защиты (2FA‚ ограничение видимости профиля)․ Ожидается‚ что Meta внесёт изменения в механизм поиска контактов‚ введя ограничения по частоте запросов и требующие подтверждения владельца номера‚ что значительно снизит риск подобных атак в будущем․
Материал подготовлен на основе данных‚ опубликованных SecurityLab‚ 9to5mac и исследований Венского университета (Австрия) на дату ․