Вчені з Віденського університету виявили серйозну вразливість у WhatsApp, яка відкривала можливість для масового збору телефонних номерів користувачів через функцію пошуку контактів. Провівши простий перебір номерів на веб-версії платформи, дослідники отримали доступ до понад 3,5 млрд записів, що складає значну кількість телефонів її користувачів. Про це повідомляє Wired.
Крім телефонних номерів, вчені змогли завантажити аватари профілів для 57% акаунтів та публічний текст профілів для 29%, оскільки ці дані були доступні всім користувачам, які додали номер у контакти. Команда звітуючи про це Meta у квітні 2025 року, видалила зібрану інформацію. У жовтні компанія запровадила нові обмеження на швидкість запитів, щоб запобігти масовому збору даних.
Meta зазначила, що не виявила ознак злочинного використання цієї уразливості, а отримані дані вважають "базовими публічними даними". Проте дослідники підкреслюють, що вони не обходили жодних механізмів захисту, оскільки такі механізми просто не існували. Інший дослідник вже в 2017 році описував схожу уразливість, але вона залишилася усуненою.
Аналіз також виявив велику кількість акаунтів з публічно доступною інформацією. Наприклад, з 137 млн номерів з США, 44% мали відкриті фотографії. В Індії, де WhatsApp є найбільш популярним, цей показник досяг 62%.
Дослідники вважають, що бази даних такого масштабу можуть бути цікавими для спамерів або урядів країн, де WhatsApp заблоковано. Серед зібраних даних виявлено 2,3 млн номерів з Китаю та 1,6 млн з М'янми, що може створювати ризики для користувачів у цих країнах.
Команда також виявила повторювані криптографічні ключі у частини акаунтів, що може свідчити про використання неофіційних клієнтів WhatsApp, зокрема, тими, хто займається шахрайством.
Вчені підсумовують, що основна проблема полягає в використанні телефонного номера як універсального ідентифікатора. Він не був спроектований як приватний або унікальний ключ, але у WhatsApp саме він слугує основою для пошуку та підтвердження акаунтів. Meta вже тестує альтернативну систему нікнеймів.
