Уязвимость в WhatsApp позволяет получить доступ к данным участников групповых чатов

Технически подкованный пользователь может получить доступ к большим объемам данных из публичных групп WhatsApp. ​

В минувшем месяце соучредитель WhatsApp Брайан Эктон (Brian Acton) призвал общественность удалить свои учетные записи в Facebook на фоне скандала вокруг утечки данных из соцсети, однако недочеты дизайна в самом мессенджере WhatsApp также могут поставить под угрозу конфиденциальность пользователей. Речь идет о публичных группах, позволяющих общаться сразу с несколькими пользователями в режиме online, обмениваться фотографиями и другим контентом.

Как показало совместное исследование, проведенное специалистами Федеральной политехнической школы в Лозанне (EPFL, Швейцария) и Лондонского университета королевы Марии (Queen Mary University of London, QMUL) Кираном Гаримеллой (Kiran Garimella) и Гаретом Тайсоном (Gareth Tyson), технически подкованный пользователь может получить доступ к большим объемам данных из публичных групп WhatsApp с помощью маломощного сервера, мобильного телефона, на котором установлен мессенджер, и нескольких скриптов и приложений. За шесть месяцев исследования специалистам удалось получить данные из 454 тыс. сообщений, отправленных свыше 45 тыс. пользователей WhatsApp в 178 групповых чатах, включая номера мобильных телефонов, изображения, видео и ссылки, которыми обменивались участники чатов.

Воспользовавшись интернет-поисковиками, эксперты составили список групповых чатов и с помощью автоматизированного скрипта присоединились к порядка 200-м группам. После этого на смартфон исследователей начало поступать огромное количество сообщений, которые WhatsApp хранит в локальной базе данных. Хотя данные отправляются в зашифрованном виде, ключ дешифрования хранится в оперативной памяти самого устройства. Используя технику, предложенную индийскими специалистами, Гаримелла и Тайсон смогли извлечь ключ и расшифровать сообщения. Как отмечается, использованный метод позволил получить доступ только к данным, опубликованным после добавления экспертов в группы, но не к той информации, что была опубликована ранее.