Conform TechSpot, cercetarea scoate în evidență compromisurile între confortul utilizatorului și confidențialitate, în special pentru produsele cu audiențe globale masive care se bazează pe procese de înregistrare simplificate. Deși Meta a răspuns la aceste constatări și a întărit ulterior măsurile de control, capacitatea cercetătorilor de a accesa informații private pentru miliarde de utilizatori subliniază riscurile inerente ale sistemelor de descoperire a contactelor la scară largă.
Creșterea internațională explozivă a WhatsApp s-a bazat mult timp pe procesul său simplu de înscriere și descoperire a contactelor. Permițând utilizatorilor să se conecteze prin introducerea unui număr de telefon, aplicația oferă acces instantaneu la contacte și mesagerie sincronizată pe diverse dispozitive – caracteristici care au ajutat aplicația să atingă o acoperire globală masivă.
Acest design, totuși, lasă serviciul vulnerabil la enumerare, în care un atacator parcurge blocuri mari de numere de telefon pentru a determina care dintre ele corespund conturilor înregistrate.
Într-un studiu recent, cercetătorii austrieci de la Universitatea din Viena au automatizat acest proces exploatând interfața aplicației web a WhatsApp, care la acel moment nu avea suficiente controale de limitare a ratei. Prin trimiterea sistematică a unor secvențe mari de numere de telefon, sistemul lor a identificat peste 3,5 miliarde de conturi WhatsApp active.
În multe cazuri, enumerarea a scos la iveală și imaginile de profil ale utilizatorilor și, pentru un procent semnificativ, textele de status vizibile public. Nu a fost necesară niciun fel de hacking sau ocolire a protecțiilor – datele erau accesibile implicit datorită designului de înregistrare și descoperire a conturilor al WhatsApp.
Cercetătorii au constatat că aproximativ 57% dintre utilizatorii enumerați aveau fotografii de profil, în timp ce aproximativ 29% aveau textul “despre” vizibil public. Analiza lor pe țări a arătat diferențe semnificative în setările de confidențialitate: în Statele Unite, 44% dintre conturi afișau imagini de profil și 33% aveau text de status neprivat.
Procentele erau și mai mari în țări precum India și Brazilia, unde WhatsApp este mai omniprezent cultural și setările de confidențialitate sunt mai puțin ajustate. În India, 62% din aproape 750 de milioane de conturi enumerate afișau imagini publice, comparativ cu 61% în Brazilia.
Descoperirile subliniază preocupările de lungă durată privind confidențialitatea: chiar și datele “publice” limitate pot permite profilarea sau țintirea la scară largă de către spammeri, escroci sau guverne ostile. Enumerarea a identificat milioane de conturi în regiuni unde WhatsApp este oficial interzis, cum ar fi China și Myanmar – locuri unde simpla instalare a aplicației a declanșat, în unele cazuri, controlul sau detenția guvernamentală.
Lipsa controalelor robuste de limitare a ratei pe clientul web al WhatsApp a fost centrală pentru succesul studiului. Sistemul a gestionat peste 100 de milioane de verificări pe oră, o scară care nu a fost demonstrată anterior. Abordarea nu a exploatat nicio vulnerabilitate și s-a bazat în întregime pe funcționalitatea intenționată.
Alte platforme au prevenit scraping-ul masiv similar prin limitarea server-side, dar WhatsApp nu a implementat bariere semnificative la momentul efectuării cercetării.
Meta a introdus controale mai puternice doar după ce cercetătorii și-au dezvăluit descoperirile și au furnizat Meta un exemplar al setului de date, pe care Meta l-a solicitat ulterior să fie șters. Măsuri de protecție îmbunătățite au fost implementate la aproximativ șase luni după aceea, lăsând miliarde de înregistrări ale utilizatorilor potențial accesibile pentru luni sau mai mult.
Nu este prima dată când enumerarea WhatsApp a fost semnalată. O problemă similară a fost documentată de un cercetător olandez în 2017, dar Meta, pe atunci Facebook, a răspuns subliniind setările de confidențialitate controlate de utilizatori, mai degrabă decât să implementeze schimbări profunde în backend.
Răspunsul public al Meta la studiul austriac a subliniat că niciun mesaj nu a fost expus, citând criptarea end-to-end a WhatsApp și a spus că informațiile expuse erau “disponibile public” în funcție de setările utilizatorului. Compania a adăugat că îmbunătățea deja sistemele anti-scraping și a creditat cercetarea academică pentru ajutorul la validarea acelor măsuri.
Cercetătorii, totuși, contestă caracterizarea Meta, observând că nu au întâmpinat restricții semnificative și au fost capabili să colecteze datele expuse folosind doar funcționalități documentate. Ei susțin că limitarea ratei, deși esențială, nu poate elimina niciodată complet riscul de colectare masivă.
Între timp, Meta testează un sistem de conectare bazat pe nume de utilizator, care ar putea ajuta la reducerea probabilității expunerilor similare în viitor.
