WhatsApp mal vážnu chybu. Výskumníci vďaka nej zmapovali 3,5 miliardy účtov

WhatsApp už roky patrí medzi najpoužívanejšie komunikačné platformy na svete a jeho obrovský rozsah môže byť zároveň jeho slabinou. Nový výskum tímu z Univerzity vo Viedni a SBA Research ukazuje, že aj zdanlivo nenápadný mechanizmus kontaktov dokáže odhaliť globálny obraz o používateľoch.

Až tak, že vedci dokázali zmapovať 3,5 miliardy účtov, prakticky celú používateľskú základňu aplikácie. Hoci ide o už opravenú zraniteľnosť, jej dopad je bezprecedentný.

Výskum nemal nič spoločné s prelomením šifrovania správ, no napriek tomu ilustruje, aké riziká prináša rozsiahla centralizácia digitálnych služieb. Vedci v tomto prípade využili slabinu v mechanizme vyhľadávania kontaktov, ktorý štandardne porovnáva telefónne čísla z adresára používateľa so zoznamom účtov na serveroch WhatsAppu. Vďaka absencii dostatočného obmedzenia požiadaviek sa však dal tento systém premeniť na nástroj na systematické zisťovanie aktívnych účtov po celom svete.

Podľa preprintu výskumu, ktorý bude v roku 2026 prezentovaný na bezpečnostnej konferencii NDSS, vedci dokázali overiť viac než 100 miliónov telefónnych čísel za hodinu. Celkovo tak potvrdili existenciu účtov v 245 krajinách, vrátane tých, kde je WhatsApp oficiálne blokovaný. Získané dáta pozostávali z verejne dostupných informácií, teda telefónnych čísel, verejných kľúčov, časových pečiatok či profilových fotografií, ak boli nastavené ako verejné. Už tento skromný súbor údajov však stačil na odhalenie trendov v správaní používateľov, ich technickej výbave či veku účtov.

Výskumníci tak zistili napríklad globálne rozloženie platforiem (Android 81 %, iOS 19 %), rozdiely v tom, ako používatelia pristupujú k súkromiu, alebo fakt, že milióny účtov sa aktívne používajú aj v krajinách, kde je služba zakázaná. Objavili dokonca ojedinelé prípady, kde boli kryptografické kľúče opakovane použité na rôznych zariadeniach či číslach, čo naznačuje buď využitie neoficiálnych klientov, alebo potenciálne podvodné aktivity.

Zaujímavým, hoci nepriaznivým zistením je aj to, že takmer polovica telefónnych čísel z masívneho úniku Facebooku v roku 2021 zostala aktívna aj na WhatsAppe. To potvrdzuje dlhodobé riziko spojené s únikom údajov, nakoľko útočníci môžu tieto čísla využívať na phishing, podvody či sociálne inžinierstvo aj roky po incidente.

Výskumníci v štúdii zdôrazňujú, že k žiadnemu porušeniu šifrovania nedošlo a správy zostali súkromné. Problém sa týkal výlučne metadát, ktoré však pri analýze vo veľkom objeme dokážu prezradiť viac než si bežný používateľ uvedomuje. Dáta získané počas výskumu boli pred publikovaním kompletne zmazané.

Meta po oznámení zraniteľnosti nasadila nové obmedzenia a sprísnila viditeľnosť profilových informácií. WhatsApp zároveň potvrdil, že nenašli dôkazy o tom, že by bolo toto slabé miesto zneužívané útočníkmi pred zásahom výskumníkov. Spoločnosť priznáva, že ich vlastné anti-scraping mechanizmy už boli v príprave, no práve masívny test reálnymi výskumníkmi overil ich účinnosť.

Tím výskumníkov touto štúdiou nadväzuje na predchádzajúce analýzy doručovacích potvrdení či správy prekey kľúčov, ktoré upozornili na menej známe správania WhatsAppu. Tretia publikácia tak zapadá do širšieho obrazu, v ktorom sa ukazuje, že ani end-to-end šifrovanie nedokáže samo o sebe ochrániť používateľov pred únikmi metadát, ak systémy okolo neho nie sú dostatočne robustné.

Autori aj z tohto dôvodu tvrdia, že kontinuálny nezávislý výskum je nevyhnutný a že spolupráca medzi akademickou sférou a technologickými gigantmi môže reálne zlepšiť súkromie miliárd používateľov. WhatsApp sa zraniteľnosti zbavil, no otázka, koľko podobných slabín sa ešte v globálnych komunikačných sieťach skrýva, zostáva otvorená.