WhatsApp sotto attacco, chiunque può rubare il tuo numero: 3,5 miliardi di utenti a rischio

Un nuovo allarme preoccupa gli utenti di WhatsApp, cosa c’è da sapere e come ci si può difendere da quest’ultima insidia

Sembra proprio che non ci sia “pace” per gli utenti WhatsApp, un bug di sicurezza ha praticamente reso pubblici i numeri di telefono di più di 3,5 miliardi di utenti nell’intero globo terrestre. Una vulnerabilità che sembra essere causata dall’assenza di rate limiting nelle query di verifica contatti, pare inoltre che Meta già nel 2017 fosse stata avvisata di questa criticità e non abbia fatto – all’epoca – nulla per risolverla.

In pratica si sarebbe dovuta implementare questa protezione, ancor di più vista la portata dei contatti gestiti dall’applicazione di Meta. Un’esposizione dei numeri di telefono, oltre che di informazioni quale stato e molte volte anche immagini è un rischio non indifferente alla luce delle numerose tipologie di truffe che circolano al momento, molte delle quali utilizzano proprio WhatsApp come veicolo.

Numeri degli utenti WhatsApp esposti, pericoli e cosa c’è da sapere

A evidenziare l’enormità di tale falla sono stati alcuni ricercatori dell’Università di Vienna che hanno provveduto a estrarre 30 milioni di numeri USA in 30 minuti, con l’intenzione proprio di dimostrare come sia facile farlo attraverso un enumeration attack automatizzato.

Una tecnica attraverso la quale con richieste automatizzate al server WhatsApp si possono ottenere combinazioni numeriche per ottenere i numeri attivi sulla piattaforma. Questa assenza di trhottling ha fondamentalmente reso possibile che fossero eseguiti miliardi di query senza alcuna interruzione. Una falla tecnica che per Meta, soprattutto alla luce di ciò che dice il GDPR, è difficile da giustiziare. La società statunitense avrebbe dovuto aumentare i controlli basati su IP per evitare che si verificasse uno scenario così rischioso. L’azienda avrebbe già avviato l’implementazione di misure di protezione, sottolineando anche che non ha evidenziato utilizzi malevoli di questa falla. Ma il problema resta comunque tale: cosa può causare una simile criticità?

Di fatto esporre in questo modo i numeri di telefono è una violazione degli articoli 5 e 32 del GDPR, inoltre questo enorme dataset alla mercé di cybercriminali sarebbe altamente rischioso, perché potrebbe essere una grande risorsa da sfruttare sia per campagne di disinformazione, ma anche a pericoli come la sorveglianza di massa, attacchi di spear phishing e molto altro ancora. L’impiego di 8 anni da parte di Meta per iniziare a risolvere questo problema ha comunque sollevato una serie di critiche contro l’azienda statunitense e la poca attenzione verso la sicurezza degli utenti.