Κενό ασφαλείας στο WhatsApp εντόπισαν ερευνητές του Πανεπιστημίου της Βιέννης και του ερευνητικού κέντρου SBA Research, αποκαλύπτοντας πρόσβαση σε στοιχεία που αφορούσαν έως και 3,5 δισεκατομμύρια λογαριασμούς χρηστών. Η ΜΕΤΑ, ιδιοκτήτρια εταιρεία της εφαρμογής, συνεργάστηκε με τους επιστήμονες και έχει ήδη λάβει μέτρα για τον περιορισμό του προβλήματος.
Σύμφωνα με το Πανεπιστήμιο της Βιέννης, η ευπάθεια εντοπίστηκε στον μηχανισμό ανακάλυψης επαφών της πλατφόρμας. Η μελέτη «υπογραμμίζει τη σημασία της ανεξάρτητης έρευνας ασφαλείας σε δημοφιλείς πλατφόρμες επικοινωνίας» και αναδεικνύει τους κινδύνους που προκύπτουν από τη συγκέντρωση υπηρεσιών άμεσων μηνυμάτων. Τα αποτελέσματα θα παρουσιαστούν στο Συμπόσιο Ασφάλειας Δικτύου και Κατανεμημένων Συστημάτων (NDSS) το 2026.
Ο μηχανισμός ανακάλυψης επαφών του WhatsApp χρησιμοποιεί το βιβλίο διευθύνσεων του χρήστη για τον εντοπισμό άλλων χρηστών μέσω του αριθμού τηλεφώνου τους. Οι ερευνητές απέδειξαν ότι μπορούσαν να αναζητήσουν πάνω από 100 εκατομμύρια αριθμούς τηλεφώνου ανά ώρα, επιβεβαιώνοντας περισσότερους από 3,5 δισεκατομμύρια ενεργούς λογαριασμούς σε 245 χώρες.
«Κανονικά, ένα σύστημα δεν θα έπρεπε να ανταποκρίνεται σε τόσο μεγάλο αριθμό αιτημάτων σε τόσο σύντομο χρονικό διάστημα — ειδικά όταν προέρχονται από μία μόνο πηγή», εξηγεί ο επικεφαλής της έρευνας Γκάμπριελ Γκεγκενχούμπερ. Όπως προσθέτει, το ελάττωμα αυτό επέτρεψε την αποστολή απεριόριστων αιτημάτων προς τον διακομιστή, οδηγώντας σε αντιστοίχιση δεδομένων χρηστών παγκοσμίως.
Τα δεδομένα που χρησιμοποιήθηκαν ήταν δημόσια για όποιον γνώριζε τον αριθμό τηλεφώνου ενός χρήστη και περιελάμβαναν αριθμό τηλεφώνου, δημόσια κλειδιά, χρονικές σημάνσεις και, εφόσον είχαν οριστεί ως δημόσια, εικόνα και κείμενο προφίλ. Από αυτά, οι ερευνητές εξήγαγαν πληροφορίες όπως το λειτουργικό σύστημα, την ηλικία του λογαριασμού και τον αριθμό συνδεδεμένων συσκευών. Η μελέτη καταδεικνύει ότι ακόμη και περιορισμένα δεδομένα μπορούν να αποκαλύψουν κρίσιμες πληροφορίες σε ατομικό και μακροσκοπικό επίπεδο.
Ευρήματα σε χώρες με απαγόρευση και κατανομή συσκευών
Η έρευνα αποκάλυψε επίσης εκατομμύρια ενεργούς λογαριασμούς σε χώρες όπου το WhatsApp έχει απαγορευθεί, όπως η Κίνα, το Ιράν και η Μιανμάρ. Παράλληλα, καταγράφηκε αναλογία συσκευών Android 81% έναντι 19% για iOS.
Διαβεβαιώσεις για την ασφάλεια των μηνυμάτων
Οι ερευνητές τόνισαν ότι δεν είχαν πρόσβαση στο περιεχόμενο των μηνυμάτων ούτε δημοσίευσαν προσωπικά δεδομένα, ενώ όλα τα συλλεχθέντα στοιχεία διαγράφηκαν. Επανέλαβαν ότι το περιεχόμενο των μηνυμάτων παραμένει «κρυπτογραφημένο από άκρο σε άκρο» και δεν επηρεάστηκε από την έρευνα.
«Η κρυπτογράφηση προστατεύει το περιεχόμενο των μηνυμάτων, αλλά όχι απαραίτητα τα μεταδεδομένα», εξήγησε ο Αλιόσα Γιουντμάιερ, επισημαίνοντας ότι η ανάλυση τέτοιων δεδομένων σε μεγάλη κλίμακα μπορεί να δημιουργήσει κινδύνους για την ιδιωτικότητα. Ο Γκεγκενχούμπερ πρόσθεσε ότι «η ασφάλεια και το απόρρητο δεν είναι εφάπαξ επιτεύγματα, αλλά απαιτούν συνεχή επαναξιολόγηση καθώς η τεχνολογία εξελίσσεται».
Η αντίδραση της ΜΕΤΑ
Ο επικεφαλής μηχανικός του WhatsApp, Νίτιν Γκούπτα, ευχαρίστησε τους ερευνητές για τη συνεργασία, υπογραμμίζοντας ότι η πλατφόρμα ήδη εργαζόταν για την αποτροπή μαζικής συλλογής δεδομένων. Διαβεβαίωσε ότι τα μηνύματα των χρηστών παρέμειναν ασφαλή χάρη στην κρυπτογράφηση και ότι τα δεδομένα της μελέτης διαγράφηκαν με ασφάλεια.
Η ΜΕΤΑ έχει εφαρμόσει πλέον αντίμετρα για να κλείσει το κενό ασφαλείας που εντοπίστηκε, ενώ η έρευνα πραγματοποιήθηκε με αυστηρές ηθικές προδιαγραφές και τα ευρήματά της κοινοποιήθηκαν άμεσα στην εταιρεία.
