Publié le 16 novembre 2023 à 15h32. Une faille de sécurité majeure dans WhatsApp a permis à des chercheurs de scanner plus de 3,5 milliards de comptes à travers le monde, révélant des informations sur les utilisateurs et leur activité sur la plateforme.
- Des chercheurs ont exploité une vulnérabilité dans le mécanisme de découverte de contacts de WhatsApp.
- Plus de 100 millions de numéros de téléphone ont pu être interrogés chaque heure.
- La faille a été corrigée en collaboration avec Meta, la société mère de WhatsApp.
Des chercheurs de l’Université de Vienne ont mis en évidence une importante faille de sécurité au sein de l’application de messagerie WhatsApp. Cette vulnérabilité, liée à la manière dont WhatsApp synchronise les contacts avec son serveur, a permis d’évaluer l’ensemble des comptes actifs sur la plateforme, soit environ 3,5 milliards d’utilisateurs. L’information a été rendue publique ce mardi par l’université autrichienne.
Le problème résidait dans le processus de vérification de la présence d’un numéro de téléphone dans l’annuaire WhatsApp. Lorsqu’un utilisateur enregistre un nouveau contact, WhatsApp interroge son serveur pour déterminer si ce numéro est associé à un compte. Les chercheurs ont découvert qu’il était possible d’abuser de ce mécanisme pour interroger massivement des numéros de téléphone, sans restriction.
« Nous avons pu interroger plus de 100 millions de numéros de téléphone par heure », a expliqué Gabriel Gegenhuber, informaticien à l’Université de Vienne, à l’agence de presse autrichienne APA. Cette capacité a permis d’identifier un nombre considérable de comptes WhatsApp actifs à travers le monde. Bien que le nombre exact de comptes existants soit difficile à déterminer, les chercheurs estiment que le chiffre de 3,5 milliards représente une limite inférieure.
Au-delà du simple dénombrement, l’exploitation de cette faille a permis de collecter des métadonnées précieuses sur les utilisateurs. Ces données incluent le numéro de téléphone, les clés publiques utilisées pour le chiffrement de bout en bout, les horodatages d’activité, ainsi que, le cas échéant, la photo de profil et le texte de statut. À partir de ces informations, les chercheurs ont pu déduire des détails sur le système d’exploitation utilisé, l’ancienneté du compte et le nombre d’appareils connectés (par exemple, via WhatsApp Web).
L’étude a également révélé la présence de millions de comptes WhatsApp actifs dans des pays où l’application est officiellement interdite, tels que la Chine, l’Iran et le Myanmar. De plus, près de la moitié des numéros de téléphone impliqués dans une fuite de données massive de Facebook survenue en 2021 (affectant plus de 530 millions d’utilisateurs) étaient toujours actifs sur WhatsApp. Cette découverte souligne le risque persistant de compromission des numéros de téléphone et leur possible utilisation à des fins frauduleuses.
Meta, la société mère de WhatsApp, a été informée de la vulnérabilité par les chercheurs et a rapidement pris des mesures pour la corriger. La faille a été comblée, empêchant ainsi de futures exploitations.
Les chercheurs insistent sur le fait que le contenu des messages chiffrés de bout en bout n’a pas été consulté dans le cadre de cette étude et qu’aucune donnée personnelle n’a été publiée ou partagée. Toutes les données collectées ont été supprimées après l’analyse.
« Le chiffrement de bout en bout protège le contenu des messages, mais pas nécessairement les métadonnées associées », souligne Aljosha Judmayer, co-auteur de l’étude, de l’Université de Vienne. Les résultats de cette recherche, qui seront présentés lors d’une conférence aux États-Unis en février, mettent en évidence les risques liés à la collecte et à l’analyse à grande échelle de ces métadonnées.
