Una falla di WhatsApp ha messo a rischio quasi tutti i numeri di telefono salvati sull’app
In gergo si chiamo Bug bounty program. Il funzionamento è semplice: le società che si occupano di servizi digitali mettono a disposizione delle taglie per chi trova dei bug nel codice. Più l’azienda è grande, più aumenta il rischio, più le taglie sono generose. Lo scorso ottobre Apple ha annunciato che è disposta a pagare anche 2 milioni di dollari per chi trova i bug più critici. Nel 2016 il programma era stato avviato con taglie da 200.000 dollari.
Nelle ultime ore la versione statunitense di Wired ha dato notizia di un bug trovato all’interno di questi programmi che ha messo a rischio praticamente tutti i numeri di telefono salvati su WhatsApp. Un trucco semplice, che replicato però in modo procedurale può consentire di scaricare quasi tutti i numeri di telefono salvati sull’app.
La scoperta di un team di ricercatori
La falla è stata scoperta da un gruppo di ricercatori dell’Università di Vienna. Se volete controllare i dettagli tecnici trovate tutta la documentazione sul portale GitHub. In breve, su WhatsApp è possibile sapere se un contatto è iscritto alla piattaforma. Non solo. Spesso è possibile vedere subito anche la foto profilo, il nome scelto per WhatsApp e la bio.
Un utente normale porta a termine questa operazione con i numeri che ha in rubrica o comunque con quelli che ha salvato per poi inviare un messaggio. I ricercatori hanno scoperto che non c’è un limite al numero di richieste che si possono fare. La conclusione è semplice. Provando ogni possibile numero di telefono al mondo sono riusciti a ricostruire un archivio con 3,5 miliardi di numeri di telefono iscritti a WhatsApp. Per la precisione: 3.456.622.387.
Nel paper i ricercatori scrivono che se questa falla fosse stata trovata da criminali sarebbe diventata la “fuga di dati più grande nella storia”. Non solo. Oltre al numero di telefono i ricercatori hanno recuperato in molti casi anche la foto profilo e una breve biografia. Nello specifico di tutto il dataset sono riusciti ad entrare una foto profilo nel 57% dei casi e una una bio nel 29% dei casi.
La risposta di WhatsApp
Lo chiariamo. La notizia di questa falla è stata diffusa solo dopo che Meta ha risolto il bug. Non solo. Sempre secondo Meta non ci sono tracce di attacchi all’app basati su questa vulnerabilità. Qui la posizione di un portavoce di Meta riportata dal blog 9To5Mac: “Siamo grati ai ricercatori dell'Università di Vienna per la loro collaborazione e la loro diligenza nell'ambito del nostro programma Bug Bounty. Questa collaborazione ha identificato con successo una nuova tecnica di enumerazione che ha superato i limiti previsti, consentendo ai ricercatori di estrarre informazioni di base disponibili al pubblico”.
